Microsoft schreef Storm-0940 de compromittering van ConnectWise-applicaties toe en meldde dat de aanvaller via die apps bij ruim 2.250 Microsoft 365-tenants probeerde in te loggen. Dat aantal telt pogingen, geen bevestigde slachtoffers: Microsoft zei dat de meeste pogingen mislukten, maar zag vervolgactiviteit in meerdere omgevingen.
Wat de 2.250 pogingen zeggen
Een tenant is de afzonderlijke Microsoft 365-omgeving van een organisatie. De aanvaller gebruikte ConnectWise-applicaties die al toegang hadden tot klantomgevingen. Daardoor waren interactieve aanmeldingen van individuele gebruikers niet nodig.
Microsoft zag in meerdere omgevingen verkenning via Microsoft Graph, wijzigingen in toepassingsreferenties en pogingen om identiteiten, groepen en bevoorrechte rollen aan te passen. Bij meerdere aanvallen werd bevoorrechte toegang tot de cloud bereikt, soms binnen drie uur nadat een doelwit was gekozen. Een geslaagde aanmelding bewijst op zichzelf niet dat klantgegevens zijn ingezien of buitgemaakt.
Twee afzonderlijke operaties
De ConnectWise-applicatie-identiteiten en de password-spraycampagne waren twee verschillende operaties. Bij password spraying proberen aanvallers veel wachtwoorden uit op accounts. Microsoft plaatste de piek van 2.900 mislukte pogingen per minuut op 11 oktober in die afzonderlijke campagne, niet bij het misbruik van ConnectWise-apps.
| Operatie | Periode | Methode | Omvang en waargenomen resultaat |
| Misbruik van ConnectWise-applicaties | Vanaf 15 oktober 2026 | Inloggen via al geautoriseerde ConnectWise-applicaties | Pogingen bij ruim 2.250 tenants; de meeste mislukten. In meerdere omgevingen volgde activiteit en bij meerdere aanvallen werd bevoorrechte cloudtoegang bereikt. |
| Password spraying | 10 tot en met 14 oktober 2026 | Wachtwoorden proberen op accounts van meerdere organisaties | 327 accounts bij acht organisaties; meer dan 151.000 mislukte aanmeldingen. Microsoft zag geen geslaagde authenticatie, tokenuitgifte, Graph-aanroep of directorywijziging. De piek was 2.900 mislukte pogingen per minuut op 11 oktober. |
Microsoft beschreef ARTEX als een opensourceframework met meerdere AI-agenten voor penetratietests. Het kan volgens Microsoft aanvalshandelingen van verkenning tot gegevensdiefstal grotendeels automatiseren. In deze campagne automatiseerde ARTEX onder meer verkenning, password spraying en misbruik van OAuth-applicaties. Microsoft meldde niet welk AI-model Storm-0940 gebruikte.
ConnectWise schortte diensten op
ConnectWise meldde ongeautoriseerde toegang tot applicatie-identiteiten voor Cloud Backup. Het bedrijf schakelde zeven betrokken identiteiten uit, reset accounts en inloggegevens in de getroffen Cloud Backup-omgeving en schortte Cloud Backup op. Ook SaaS Security en Cloud Management werden uit voorzorg gepauzeerd. Cloud Backup-taken, toegang tot archieven en herstelacties waren tijdens de opschorting niet beschikbaar.
ConnectWise zei dat bestaande back-uparchieven versleuteld, geïsoleerd en bewaard bleven, zonder aanwijzingen voor toegang. Die archieven zijn niet hetzelfde als de actieve Microsoft 365-omgeving van een klant; Microsoft meldde vervolgactiviteit in meerdere klantomgevingen.
Op 21 oktober 2026 meldde ConnectWise dat gecontroleerd herstel was begonnen. In een update van 23 oktober beschreef het bedrijf hersteltests en gefaseerde toegang tot back-ups als afhankelijk van succesvolle validatie. Het voorzag dat volledige herinschrijving van diensten later in fases zou volgen.
Wat Microsoft beheerders adviseerde te controleren
Microsoft adviseerde beheerders de aanmeldingen van service-principals te controleren. Een service-principal is de identiteit waarmee een toepassing zich bij een cloudomgeving aanmeldt. Kijk ook naar daaropvolgende activiteit in Microsoft Graph en de directory, nieuwe toepassingsreferenties, roltoewijzingen en toegang tot resources. Bewaar de relevante logboeken en andere gegevens.
ConnectWise adviseerde getroffen verbindingen uitgeschakeld te houden totdat het bedrijf formele instructies voor herinschakeling had gegeven.
