ConnectWise meldde op 22 oktober 2026 dat de tests en beveiligingsvalidatie voor het herstel van Cloud Backup vorderden. Toegang voor het terugzetten van back-ups verwachtte het bedrijf begin van de daaropvolgende week, mits de validatie slaagde. Partners moesten de getroffen applicatieverbindingen uitgeschakeld houden totdat ConnectWise formele instructies gaf.
Herstel van Cloud Backup bleef afhankelijk van validatie
ConnectWise publiceerde op 16 oktober een eerste melding over ongeoorloofde toegang rond Cloud Backup. Op 17 oktober zei het bedrijf dat aanvallers toegang hadden gekregen tot applicatie-identiteiten en dat het de toegang van Cloud Backup had uitgeschakeld. ConnectWise meldde op 19 oktober dat het de accounts en aanmeldgegevens in de getroffen omgeving volledig had gereset. Op 21 oktober begon het bedrijf met gefaseerd herstel, onder voorbehoud van beveiligingsvalidatie.
In de update van 22 oktober meldde ConnectWise dat de tests en validatie voortgang boekten. Het bedrijf verwachtte toegang voor het terugzetten van back-ups begin van de daaropvolgende week, als de validatie slaagde. Het meldde ook geen aanwijzingen te hebben dat de versleutelde, geïsoleerde back-uparchieven waren geraadpleegd.
Hoe applicatie-identiteiten toegang tot Microsoft 365 boden
Microsoft schreef de ConnectWise-gerelateerde activiteit toe aan Storm-0940, dat het omschreef als een actor die aan de Chinese staat is gelieerd. Volgens Microsoft gebruikte Storm-0940 ARTEX al in september 2026. Dat opensourceframework voor penetratietests coördineert meerdere AI-agenten, kan verschillende AI-modellen gebruiken en kan met weinig menselijke tussenkomst taken uitvoeren van verkenning tot data-exfiltratie.
Na de toegang tot meerdere ConnectWise-cloudapplicatie-identiteiten gebruikte de actor applicaties met eerder toegekende rechten om aanmeldpogingen te doen bij meer dan 2.250 tenants. Daarvoor was geen interactieve aanmelding door een medewerker nodig. Microsoft meldde vervolgactiviteit via Microsoft Graph en in directory’s in meerdere klantomgevingen, waaronder verkenning en wijzigingen van applicatiegegevens. In meerdere aanvallen kregen de aanvallers volgens Microsoft binnen minder dan drie uur na de eerste doelwitselectie toegang tot bevoorrechte cloudrechten.
De route die Microsoft beschreef, liep van gecompromitteerde ConnectWise-applicatie-identiteiten en eerder verleende rechten naar aanmeldpogingen bij tenants. Het cijfer van meer dan 2.250 betreft tenants waarop die pogingen waren gericht; Microsoft meldde daarnaast vervolgactiviteit in meerdere klantomgevingen.
Twee verschillende activiteitensets in Microsofts bevindingen
Microsoft beschreef ook een afzonderlijke password-spraycampagne tussen 10 en 14 oktober 2026. Daarbij registreerde het meer dan 151.000 mislukte aanmeldpogingen tegen 327 accounts bij acht organisaties. In die activiteitenset nam Microsoft geen geslaagde authenticatie, tokenuitgifte, Microsoft Graph-aanroep of directorywijziging waar.
De campagne piekte op 11 oktober op 2.900 mislukte pogingen per minuut. Op één dag waren het er meer dan 111.000; 48 accounts kregen elk meer dan 1.000 mislukte pogingen. Deze bevindingen gaan over de password-spraycampagne. Microsoft beschreef de ConnectWise-applicatie-identiteiten en de vervolgactiviteit in klantomgevingen als afzonderlijke activiteit.
Wat beheerders volgens Microsoft moeten controleren
Microsoft adviseerde beheerders de getroffen verbindingen uitgeschakeld te houden totdat ConnectWise formele herstelinstructies gaf. Het adviseerde enterprise-applicaties niet als eerste stap te verwijderen, maar op applicatie-ID te zoeken in plaats van op weergavenaam. Bewaar relevante aanmeld- en auditlogboeken van Microsoft Entra, Microsoft Purview Audit-gegevens, SIEM-gegevens en beschikbare Microsoft Graph-telemetrie.
Microsoft adviseerde activiteit vanaf ten minste 15 oktober te controleren. Voor aanmeldingen van service principals, identiteiten waarmee applicaties zich aanmelden, raadde het aan terug te kijken tot 1 oktober als die gegevens nog beschikbaar waren. Controleer ook op toegevoegde applicatiegegevens, nieuwe applicaties of eigenaren, roltoewijzingen, toestemmingen en wijzigingen aan gebruikers of groepen. Kijk daarnaast naar ongebruikelijke toegang tot e-mail en bestanden. Koppel aanmeldingen aan latere Graph-acties, directorywijzigingen en toegang tot gegevensbronnen.
ConnectWise gaf de applicatie-ID 506e08f9-6e9a-4da4-942b-a099a03644ae op voor controle van service-principal-aanmeldingen rond Cloud Backup.
