ConnectWise poinformował 22 października 2026 roku, że testy przywracania Cloud Backup i walidacja bezpieczeństwa postępowały. Udostępnienie dostępu do przywracania kopii na początku kolejnego tygodnia firma uzależniła od pomyślnego zakończenia walidacji. Tego samego dnia Microsoft opisał kampanię Storm-0940 wymierzoną w środowiska Microsoft 365, w której odrębne zbiory aktywności obejmowały nieudane logowania i próby dostępu przez tożsamości aplikacji ConnectWise.
Przywracanie Cloud Backup zależało od walidacji
ConnectWise wykrył nieautoryzowany dostęp do tożsamości aplikacji Cloud Backup i 17 października wyłączył dostęp do usługi. 19 października poinformował o zakończeniu resetu kont i poświadczeń w dotkniętym środowisku. Etapowe przywracanie rozpoczęło się 21 października, a dzień później firma przekazała, że testy i walidacja nadal trwały. Aktualizacje ConnectWise są dostępne na stronie statusu incydentu.
ConnectWise podał również, że nie miał oznak dostępu do zaszyfrowanych i odizolowanych archiwów kopii zapasowych. Firma zaleciła partnerom pozostawienie połączeń z Cloud Backup wyłączonych do czasu otrzymania formalnych instrukcji dotyczących przywracania.
Jak tożsamości aplikacji otworzyły drogę do Microsoft 365
Microsoft przypisał kampanię Storm-0940, którego określa jako aktora powiązanego z państwem chińskim. Według raportu opublikowanego 21 października grupa używała otwartego frameworka ARTEX co najmniej od września 2026 roku. To oparty na wielu agentach framework do testów penetracyjnych, który może automatyzować działania od rozpoznania po eksfiltrację danych przy niewielkim udziale człowieka.
Microsoft podał, że po uzyskaniu kontroli nad tożsamościami aplikacji chmurowych ConnectWise Storm-0940 wykorzystywał przyznane im wcześniej uprawnienia do prób logowania do ponad 2250 tenantów. Taka metoda uwierzytelniania nie wymaga interaktywnego logowania pracownika. Microsoft zaobserwował późniejsze działania w Microsoft Graph i katalogach w wielu środowiskach klientów, w tym rozpoznanie, zmiany poświadczeń aplikacji oraz próby zmian dotyczących tożsamości, grup i ról uprzywilejowanych. W kilku osobnych przypadkach, według Microsoftu, ataki z użyciem ARTEX doprowadziły do uzyskania uprzywilejowanego dostępu do chmury w czasie krótszym niż trzy godziny.
Dwa zbiory aktywności, różne wyniki
W obserwowanym przez Microsoft od 10 do 14 października zbiorze prób typu password spray odnotowano ponad 151 000 nieudanych logowań do 327 kont w ośmiu organizacjach. W tym zestawie Microsoft nie zaobserwował udanego uwierzytelnienia, wydania tokenu, wywołania Microsoft Graph ani zmiany w katalogu.
Osobno Microsoft opisał próby logowania do ponad 2250 tenantów z użyciem tożsamości aplikacji ConnectWise oraz późniejsze działania w wielu środowiskach klientów. Liczba 2250 dotyczy tenantów objętych próbami, a nie potwierdzonych kompromitacji. Microsoft zaznaczył, że obecność aplikacji lub udane uwierzytelnienie samo w sobie nie dowodzi dostępu do danych ani ich eksfiltracji.
Co administratorzy powinni sprawdzić
Microsoft zalecił pozostawić dotknięte połączenia wyłączone do czasu formalnych instrukcji przywracania i nie usuwać aplikacji przedsiębiorstwa jako pierwszego kroku. Warto wyszukiwać zdarzenia według identyfikatora aplikacji, a nie jej nazwy wyświetlanej, oraz zachować logi logowania i audytu Microsoft Entra, dane Microsoft Purview Audit, informacje z SIEM i dostępną telemetrię Microsoft Graph. Microsoft wskazał przegląd aktywności co najmniej od 15 października; logi logowań podmiotów usługi warto sprawdzić od 1 października, jeśli są dostępne. Zalecenia i wskaźniki Microsoftu znajdują się w raporcie o kampanii Storm-0940.
ConnectWise wskazał identyfikator aplikacji Cloud Backup do sprawdzenia w logach logowań podmiotów usługi Microsoft Entra: 506e08f9-6e9a-4da4-942b-a099a03644ae. Microsoft zalecił też sprawdzić dodane poświadczenia aplikacji, nowe aplikacje i właścicieli, przypisania ról, zgody, zmiany użytkowników lub grup oraz nietypowy dostęp do poczty i plików. Po zmianie poświadczeń aplikacji dostęp może utrzymać się nawet po naprawieniu pierwotnego połączenia.
