Microsoft ocenił, że Storm-0940 odpowiada za przejęcie aplikacji ConnectWise, których tożsamości wykorzystano do prób logowania do ponad 2 250 tenantów Microsoft 365. Większość prób była nieskuteczna, ale w kilku środowiskach Microsoft zaobserwował dalsze działania, a część ataków doprowadziła do uzyskania wysokich uprawnień w chmurze. Osobna kampania password spraying miała inne cele i wyniki.
Co oznacza liczba ponad 2 250 tenantów
To liczba środowisk, do których Storm-0940 próbował się zalogować, a nie potwierdzonych ofiar. Microsoft odnotował późniejszą aktywność w wielu środowiskach klientów, lecz większość prób była nieskuteczna.
Atakujący wykorzystali tożsamości aplikacji ConnectWise, które miały już dostęp do środowisk klientów. Dzięki temu nie były potrzebne interaktywne logowania poszczególnych użytkowników. W kilku środowiskach Microsoft zaobserwował rozpoznanie przez Microsoft Graph, zmiany danych uwierzytelniających aplikacji oraz próby modyfikacji tożsamości, grup i ról uprzywilejowanych. W części ataków uzyskano wysokie uprawnienia w chmurze, czasem w czasie krótszym niż trzy godziny od rozpoczęcia namierzania.
Dwie operacje i różne wyniki
Microsoft opisał także odrębną kampanię password spraying, czyli sprawdzania haseł na wielu kontach. Trwała od 10 do 14 października 2026 r. i była wymierzona w 327 kont w ośmiu organizacjach.
| Operacja | Metoda | Zasięg i wynik według Microsoftu |
| Nadużycie tożsamości aplikacji ConnectWise | Logowanie z użyciem wcześniej autoryzowanych aplikacji | Próby objęły ponad 2 250 tenantów; większość była nieskuteczna, a dalszą aktywność odnotowano w wielu środowiskach. |
| Odrębna kampania password spraying | Próby haseł na kontach w ośmiu organizacjach | Ponad 151 000 nieudanych zdarzeń logowania; nie zaobserwowano udanego uwierzytelnienia, wydania tokenu, wywołania Graph ani zmiany w katalogu. |
Szczyt 2 900 nieudanych prób na minutę przypadł na 11 października i dotyczył wyłącznie kampanii password spraying. Microsoft odnotował też, że w tej operacji ponad 111 000 nieudanych logowań wystąpiło jednego dnia, a 48 kont miało ponad 1 000 nieudanych prób.
Jaką rolę odegrał ARTEX
Microsoft opisał ARTEX jako otwartoźródłowy, wieloagentowy framework do testów penetracyjnych oparty na dużych modelach językowych (LLM). Narzędzie może automatyzować działania ofensywne, od rozpoznania po eksfiltrację danych, przy niewielkim udziale człowieka. Microsoft podał, że Storm-0940 używał ARTEX do automatyzacji ataków od września 2026 r.; nie wskazał konkretnego modelu AI wykorzystanego w tej kampanii.
W operacji powiązanej z ConnectWise kluczowe były istniejące uprawnienia aplikacji. Microsoft przypisał Storm-0940 odpowiedzialność za przejęcie wielodostępnych aplikacji ConnectWise, a następnie opisał próby dostępu do środowisk klientów Microsoft 365 z użyciem ich tożsamości.
Co stało się z usługami ConnectWise
ConnectWise zawiesił Cloud Backup, SaaS Security i Cloud Management. 19 października poinformował o zakończeniu resetu kont i danych uwierzytelniających w objętym incydentem środowisku Cloud Backup. Firma podała, że istniejące archiwa kopii zapasowych pozostały zaszyfrowane i odizolowane, a ona nie miała oznak ich dostępu.
W aktualizacji z 23 października ConnectWise opisywał warunkowe, etapowe przywracanie usług. Dostęp do przywracania istniejących kopii miał wrócić na początku kolejnego tygodnia, jeśli zakończą się pomyślnie testy i walidacja; ponowne włączanie usług miało przebiegać etapami. ConnectWise zalecił też pozostawienie objętych incydentem połączeń wyłączonych do czasu formalnych instrukcji ponownego uruchomienia.
Co administratorzy powinni sprawdzić
Microsoft zalecił administratorom przejrzenie logowań jednostek usługi, czyli tożsamości aplikacji działających w Microsoft 365, oraz późniejszej aktywności w Microsoft Graph i katalogu. Szczególną uwagę należy zwrócić na nieoczekiwane zmiany danych uwierzytelniających aplikacji, przypisania ról i dostęp do zasobów. Microsoft zalecił również zachowanie zapisów i dowodów związanych z tymi zdarzeniami.
