In zijn update van 23 oktober koppelde ConnectWise het herstel van Cloud Backup aan succesvolle tests en beveiligingsvalidatie. Het bedrijf verwachtte begin van de daaropvolgende week toegang tot back-upherstel te kunnen bieden, als die validatie slaagde. ConnectWise zei ook dat bestaande back-uparchieven versleuteld, geïsoleerd en bewaard bleven, zonder aanwijzingen voor compromittering.
Herstel hing af van tests en validatie
ConnectWise meldde ongeoorloofde toegang tot applicatiegegevens van Cloud Backup, voorheen SkyKick. In de update van 23 oktober verwachtte het bedrijf de hersteltests en beveiligingsvalidatie vóór het einde van dat weekend af te ronden. Herinschrijving van diensten zou daarna gefaseerd plaatsvinden.
De melding over de archieven betrof opgeslagen back-uparchieven. SaaS Security en Cloud Management waren ook opgeschort omdat ze met Cloud Backup waren geïntegreerd. ConnectWise zei geen aanwijzingen te hebben dat andere producten of diensten waren getroffen.
Wiz zag pogingen bij andere softwareleveranciers
Wiz meldde waargenomen activiteit rond Okta, Entra en AWS Cognito, met verkenning van applicatieroutes en API’s, tests van OAuth-callbacks en niet-ondertekende JWT-tokens, en pogingen via accountherstelroutes. Ook zag Wiz tests van tenantisolatie, de scheiding tussen klantomgevingen, en registraties met tijdelijke e-mailadressen. Volgens Wiz mislukten de meeste waargenomen pogingen.
Sommige sessies duurden volgens Wiz 24 tot 30 uur. Nadat IP-adressen waren geblokkeerd, verschenen er binnen enkele minuten nieuwe adressen. Die observaties beschrijven pogingen bij leveranciers; ze stellen niet vast dat elk doelwit is gecompromitteerd.
Microsoft onderscheidde twee aanvalsfases
Microsoft schreef de ConnectWise-compromittering toe aan Storm-0940, een aan China gelieerde actor. Volgens Microsoft gebruikte de actor ARTEX, een agentisch AI-framework voor penetratietests, om verkenning, scans, password spraying en misbruik van OAuth-applicaties te versnellen.
Van 10 tot en met 14 oktober 2026 zag Microsoft een password-spraycampagne tegen 327 accounts bij acht organisaties. De campagne veroorzaakte meer dan 151.000 mislukte aanmeldingen. In die fase zag Microsoft geen geslaagde authenticatie, tokenuitgifte, Microsoft Graph-aanroep of wijziging in de directory.
Vanaf 15 oktober zag Microsoft actoren zich met identiteiten van meerdere ConnectWise-cloudapplicaties aanmelden bij klantomgevingen. In sommige omgevingen volgden verkenning en wijzigingen aan applicatiegegevens, identiteiten, groepen en geprivilegieerde rollen. Microsoft meldde daarnaast meer dan 2.250 aanmeldpogingen bij tenants die verband hielden met ARTEX-activiteit.
NeoTeo beschreef eerder aanmeldactiviteit in Microsoft 365-tenants tijdens het ConnectWise-incident. Microsoft benadrukte dat de aanwezigheid van een getroffen applicatie of een geslaagde authenticatie op zichzelf geen toegang tot klantgegevens of exfiltratie aantoont.
