ConnectWise w aktualizacji z 23 października podał, że testy przywracania kopii Cloud Backup i walidacja bezpieczeństwa nadal trwały. Firma przewidywała ich zakończenie do końca weekendu, a dostęp do odtwarzania kopii na początku kolejnego tygodnia, pod warunkiem pomyślnej walidacji. Osobno poinformowała, że istniejące archiwa kopii zapasowych pozostawały zaszyfrowane, odizolowane i zachowane, bez oznak naruszenia.
Przywrócenie zależało od wyników testów
Prognoza ConnectWise z 23 października nie oznaczała, że usługa została już przywrócona: dostęp do odtwarzania kopii miał być udostępniany po pomyślnym zakończeniu testów i walidacji. ConnectWise podał, że 17 października wyłączył siedem tożsamości aplikacji i zawiesił dostęp do Cloud Backup, a 19 października zakończył pełny reset kont i poświadczeń w objętym incydentem środowisku.
Firma poinformowała również, że zawiesiła SaaS Security i Cloud Management z powodu ich integracji z Cloud Backup. Jej oświadczenie o zaszyfrowanych, odizolowanych i zachowanych archiwach dotyczyło przechowywanych kopii zapasowych. Microsoft opisał odrębnie aktywność w środowiskach Microsoft 365 klientów.
Próby wobec dostawców obejmowały testy tożsamości i API
Wiz opisał próby rozpoznawania aplikacji i tras API, przeglądania map kodu źródłowego oraz testowania punktów OAuth callback i niepodpisanych tokenów JWT. Zaobserwował też rejestracje z użyciem tymczasowych adresów e-mail, próby odzyskiwania kont i testy izolacji tenantów. Aktywność obejmowała Okta, Microsoft Entra i AWS Cognito. Według Wiz większość zaobserwowanych prób się nie powiodła.
Badacze Wiz podali, że niektóre sesje trwały od 24 do 30 godzin, a po blokowaniu adresów IP w ciągu kilku minut pojawiały się nowe. Te obserwacje opisują aktywność w badanych środowiskach dostawców, nie potwierdzają przejęcia każdego z nich.
Microsoft rozdzielił dwie fazy aktywności
Microsoft ocenia, że za przejęcie ConnectWise odpowiadał Storm-0940, aktor powiązany z państwem chińskim. Według Microsoftu aktor używał ARTEX, autonomicznego frameworka do testów penetracyjnych opartego na agentowej sztucznej inteligencji, by przyspieszyć skanowanie, rozpoznanie, password spraying i nadużycia aplikacji OAuth.
Microsoft odnotował od 10 do 14 października 2026 r. kampanię password spraying, czyli rozproszonych prób logowania do kont. Objęła 327 kont w ośmiu organizacjach i wygenerowała ponad 151 000 nieudanych prób logowania. W tej fazie Microsoft nie zaobserwował udanego uwierzytelnienia, wydania tokenu, wywołania Microsoft Graph ani zmiany w katalogu.
Od 15 października, według Microsoftu, aktorzy zaczęli używać tożsamości aplikacji ConnectWise do uwierzytelniania w środowiskach klientów. W niektórych z nich Microsoft zaobserwował rozpoznanie, zmiany poświadczeń aplikacji oraz zmiany dotyczące tożsamości, grup i ról uprzywilejowanych. Microsoft odnotował też ponad 2250 prób logowania do tenantów związanych z aktywnością ARTEX.
Udane uwierzytelnienie samo w sobie nie dowodzi, że uzyskano dostęp do danych klientów lub je wyprowadzono. Wcześniejszy opis aktywności logowań w tenantach Entra znajduje się w relacji NeoTeo o incydencie Microsoft 365.
