Microsoft ocenił 21 października 2026 r., że za przejęciem związanym z aplikacją ConnectWise Cloud Backup stała grupa Storm-0940. Według firmy napastnicy użyli ARTEX, otwartego frameworka testów penetracyjnych opartego na agentach dużych modeli językowych, aby przyspieszyć działania wymierzone w środowiska Microsoft 365 klientów. Microsoft opisał zarówno odrębną, nieudaną kampanię przeciw kontom użytkowników, jak i późniejsze próby dostępu przez tożsamości aplikacji.
ARTEX przyspieszał działania przypisane Storm-0940
Microsoft przypisał Storm-0940 powiązania z chińskim państwem i podał, że użycie ARTEX w atakach było widoczne już we wrześniu 2026 r. Framework miał wspierać rozpoznanie, skanowanie, password spraying, czyli próby logowania z użyciem haseł wobec wielu kont, oraz nadużywanie aplikacji OAuth.
W przypadku ConnectWise Cloud Backup droga dostępu przez aplikację różniła się od logowania na konto konkretnego użytkownika. Huntress opisał poświadczenie aplikacji przechowywane w środowisku dostawcy, które umożliwiało uwierzytelnianie aplikacji w tenantach klientów. Microsoft Graph, interfejs programistyczny Microsoftu, pojawił się w opisie późniejszych działań w środowiskach klientów.
Dwie ścieżki ataku, różne wyniki
Microsoft rozdzielił kampanię password spraying od późniejszej aktywności z użyciem poświadczeń aplikacji ConnectWise. W pierwszej obserwował nieudane próby wobec kont użytkowników; w drugiej opisał próby logowania do tenantów oraz działania po uwierzytelnieniu.
| Kampania | Użyta tożsamość | Aktywność opisana przez Microsoft |
| Password spraying, 10–14 października 2026 r. | Konta użytkowników | Ponad 151 000 nieudanych zdarzeń logowania wobec 327 kont w ośmiu organizacjach. Microsoft nie zaobserwował udanego uwierzytelnienia, wydania tokenu, wywołania Microsoft Graph ani zmiany w katalogu. |
| Kampania z użyciem aplikacji ConnectWise | Poświadczenia aplikacji | Próby logowania do ponad 2 250 tenantów, w szczytowym tempie 2 900 prób na minutę. Microsoft opisał dalsze działania w wielu środowiskach klientów. |
Liczba ponad 2 250 dotyczy tenantów objętych próbami logowania, a nie potwierdzonych przejęć. Huntress podał, że do godz. 19:00 UTC 16 października potwierdził nieautoryzowane logowania w 162 tenantach. To osobno opisany wynik obserwacji Huntress, a nie liczba klientów, których dane skradziono.
Co nastąpiło po uwierzytelnieniu
Microsoft odnotował w wielu środowiskach klientów rozpoznanie przez Microsoft Graph, zmiany poświadczeń aplikacji oraz próby modyfikacji uprawnień. Huntress opisał też jeden tenant, w którym aplikacja ConnectWise Cloud Management - MS Teams przypisała sobie rolę administratora globalnego i dodała poświadczenia do dwóch innych aplikacji. Ten przypadek nie oznacza, że takie same zmiany zaszły w każdym środowisku.
Udane uwierzytelnienie samo w sobie nie dowodzi, że napastnicy uzyskali dostęp do danych ani je wykradli. Microsoft wyraźnie rozdzielił te kwestie w swoim opisie incydentu.
Reakcja ConnectWise i kontrole dla administratorów
ConnectWise podał, że wykrył nieautoryzowany dostęp do tożsamości aplikacji 14 października 2026 r. Firma zawiesiła Cloud Backup, unieważniła certyfikaty używane w dotkniętych połączeniach aplikacji i poinformowała, że współdzielone poświadczenia Cloud Backup przestały być ważne. ConnectWise stwierdził również, że przechowywane archiwa kopii zapasowych pozostały zaszyfrowane i odizolowane oraz że firma nie miała dowodów na dostęp do nich.
Administratorzy powinni przejrzeć logowania podmiotów usługi, czyli tożsamości aplikacji działających w tenantach, oraz późniejsze zmiany poświadczeń aplikacji, ról, zgód i katalogu. Microsoft zaleca także sprawdzenie powiązanej aktywności Microsoft Graph i zapisów audytowych Microsoft Entra ID. Huntress wskazuje na integracje ConnectWise i SkyKick, również te nieużywane, oraz zaleca zabezpieczenie zapisów i wyłączenie podejrzanych połączeń aplikacji zamiast ich usuwania. Nie należy ich ponownie włączać przed potwierdzeniem przez ConnectWise, że poświadczenia zostały zresetowane.
