Microsoft schreef op 21 oktober 2026 de compromittering van de multi-tenantapplicatie van ConnectWise Cloud Backup toe aan Storm-0940. Volgens Microsoft gebruikte de groep ARTEX om aanvalswerkzaamheden tegen klantomgevingen van Microsoft 365 te versnellen.
Microsoft koppelde de aanval aan Storm-0940
Microsoft beoordeelde Storm-0940 als een China-gelieerde actor. ARTEX is een open-source raamwerk voor penetratietests met meerdere agents die grote taalmodellen gebruiken. Microsoft meldde dat Storm-0940 het raamwerk al vanaf september 2026 inzette voor onder meer verkenning, scanning, password spraying en misbruik van OAuth-applicaties.
De aanval verliep via twee verschillende routes
Bij password spraying proberen aanvallers veel wachtwoorden uit op gebruikersaccounts. De latere ConnectWise-campagne maakte gebruik van applicatie-identiteiten: digitale identiteiten waarmee software namens een organisatie toegang kan krijgen.
| Campagne | Gebruikte identiteit | Waarneming van Microsoft |
| Password spraying, 10 tot en met 14 oktober 2026 | Gebruikersaccounts | Ruim 151.000 mislukte aanmeldgebeurtenissen tegen 327 accounts bij acht organisaties. Microsoft zag geen geslaagde authenticatie, tokenuitgifte, Microsoft Graph-aanroep of directorywijziging in deze campagne. |
| ConnectWise-campagne, vanaf 15 oktober 2026 | ConnectWise Cloud Backup-applicatie-identiteit | Aanmeldpogingen bij meer dan 2.250 tenants, met een gemeld tempo van 2.900 pogingen per minuut. |
De eerste campagne leverde in Microsoft's waarneming dus geen succesvolle accountaanmeldingen of daaropvolgende acties op. De tweede gebruikte een applicatie-identiteit en staat los van die mislukte pogingen tegen gebruikersaccounts. Huntress beschreef de gebruikte client assertion, een digitale verklaring waarmee een applicatie zich kan aanmelden, als een gegeven dat in de omgeving van de leverancier werd bewaard. Daarmee konden tokens worden verkregen met de rechten die de applicatie al had, zonder het wachtwoord van een individuele klantgebruiker te gebruiken.
Microsoft meldde Graph- en directoryactiviteit
Na aanmeldingen via ConnectWise-applicaties zag Microsoft in meerdere klantomgevingen verkenning via Microsoft Graph, wijzigingen aan applicatiegegevens en pogingen om privileges te veranderen. Huntress beschreef daarnaast één tenant waarin de applicatie ConnectWise Cloud Management - MS Teams zichzelf de rol Global Administrator toekende en inloggegevens toevoegde aan twee andere applicaties.
Microsoft maakte geen aantal bekend van klantomgevingen waarin gegevens waren ingezien of geëxfiltreerd. Een geslaagde authenticatie bewijst op zichzelf niet dat klantgegevens zijn benaderd of buitgemaakt.
ConnectWise' reactie en controles voor beheerders
ConnectWise meldde dat het op 14 oktober 2026 onbevoegde toegang tot applicatie-identiteiten had ontdekt. Het bedrijf schortte Cloud Backup op, trok certificaten in voor getroffen verbindingen en verklaarde dat de gedeelde Cloud Backup-inloggegevens niet langer geldig waren. In een update van 17 oktober zei ConnectWise dat opgeslagen back-uparchieven versleuteld en geïsoleerd waren en dat er geen aanwijzingen waren dat ze waren benaderd. Microsoft rapporteerde daarnaast activiteit in klantomgevingen, waaronder wijzigingen aan applicaties en directorygegevens.
Microsoft adviseert beheerders om aanmeldingen van service principals te controleren. Een service principal is de identiteit waarmee een applicatie zich in een tenant aanmeldt. Controleer ook daaropvolgende Microsoft Graph-activiteit, wijzigingen aan applicatiegegevens, rollen, toestemmingen en directorygegevens. Huntress raadt aan ook inactieve ConnectWise- en SkyKick-integraties na te lopen.
Huntress adviseerde betrokken applicatiekoppelingen uit te schakelen in plaats van te verwijderen, relevante gegevens veilig te stellen en te controleren op onverwachte inloggegevens in andere applicaties. Schakel de koppelingen pas opnieuw in nadat ConnectWise bevestigt dat de betreffende inloggegevens zijn vernieuwd.
