Em 22 de outubro de 2026, a ConnectWise informou que os testes de restauração do Cloud Backup e a validação de segurança estavam avançando. A empresa previa liberar o acesso à restauração de backups no início da semana seguinte, condicionado ao sucesso da validação, e orientou os parceiros a manter desativadas as conexões afetadas até receberem instruções formais.
A atualização veio após a Microsoft atribuir a Storm-0940 uma campanha que usou identidades de aplicativos da ConnectWise para tentar acessar ambientes do Microsoft 365. Os registros de tentativas de login e a atividade posterior por aplicativos são conjuntos distintos.
Como a recuperação do Cloud Backup avançou
A ConnectWise informou em 22 de outubro que a restauração seguia em fases e dependia de validação de segurança. A sequência de atualizações da empresa começou com um aviso sobre tentativas de acesso não autorizado e avançou até testes de recuperação:
| Data | Atualização da ConnectWise |
| 16 de outubro | Publicou um aviso inicial sobre tentativas de acesso não autorizado relacionadas ao Cloud Backup. |
| 17 de outubro | Informou que havia identificado acesso não autorizado a identidades de aplicativos do Cloud Backup e desativado o acesso aos aplicativos. |
| 19 de outubro | Disse ter concluído a redefinição de contas e credenciais do ambiente afetado. |
| 21 de outubro | Informou que havia iniciado a restauração gradual, sujeita a validação de segurança. |
| 22 de outubro | Relatou avanço nos testes e na validação; o acesso à restauração de backups no início da semana seguinte dependia de validação bem-sucedida. |
A página de status da ConnectWise orientava os parceiros a manter as conexões afetadas desativadas até receber instruções formais para cada serviço.
Como identidades de aplicativos abriram caminho para o Microsoft 365
A Microsoft atribuiu a Storm-0940 o uso de identidades de aplicativos em nuvem da ConnectWise, com permissões já concedidas, para tentar entrar em tenants do Microsoft 365. Esse tipo de autenticação não exige que um funcionário faça login de forma interativa. A Microsoft disse que o grupo usava o framework de testes de penetração com inteligência artificial ARTEX desde setembro de 2026 para automatizar atividades ofensivas.
A Microsoft relatou tentativas de login em mais de 2.250 tenants por meio dessas identidades. Também observou, em vários ambientes de clientes, reconhecimento pelo Microsoft Graph, alterações em credenciais de aplicativos e tentativas de mudanças em identidades, grupos e funções privilegiadas. A Microsoft relatou casos em que ataques com ARTEX obtiveram acesso privilegiado à nuvem em menos de três horas desde o início do direcionamento.
As tentativas de acesso a mais de 2.250 tenants contam os ambientes que receberam logins tentados. A Microsoft relatou atividade posterior em vários ambientes, mas não apresentou esse total como uma contagem de tenants comprometidos.
O que mostram os registros de tentativas de login
Entre 10 e 14 de outubro, a Microsoft registrou mais de 151 mil falhas de login contra 327 contas em oito organizações. Nesse conjunto, não observou autenticação bem-sucedida, emissão de tokens, chamadas ao Microsoft Graph ou alterações no diretório. A Microsoft também registrou um pico de 2.900 falhas por minuto em 11 de outubro.
Esse conjunto de password spraying, técnica que testa senhas contra várias contas, é separado da atividade posterior por identidades de aplicativos da ConnectWise. O resultado das tentativas falhas não descreve os outros ambientes em que a Microsoft observou atividade no Graph e no diretório.
O que os administradores devem verificar
A orientação da Microsoft sobre o incidente recomenda manter as conexões afetadas desativadas até as instruções formais de recuperação da ConnectWise e não excluir aplicativos empresariais como primeira medida. Para investigar a atividade, a Microsoft recomenda:
- Pesquisar pelo ID do aplicativo, em vez de depender apenas do nome exibido, e revisar os logins de principais de serviço, identidades que permitem a autenticação de aplicativos.
- Preservar os registros de login e auditoria do Microsoft Entra, os registros do Microsoft Purview Audit, os dados de SIEM e a telemetria disponível do Microsoft Graph.
- Examinar a atividade desde pelo menos 15 de outubro. Quando houver registros, ampliar a revisão dos logins de principais de serviço até 1º de outubro.
- Verificar credenciais ou proprietários de aplicativos adicionados, novos aplicativos, concessões de consentimento, atribuições de funções, mudanças em usuários ou grupos e acessos incomuns a e-mails ou arquivos.
Para consultar os registros de login de principais de serviço do Cloud Backup, a ConnectWise indicou o ID de aplicativo 506e08f9-6e9a-4da4-942b-a099a03644ae. A Microsoft alertou que alterações nas credenciais de aplicativos podem continuar ativas mesmo depois da correção do aplicativo originalmente comprometido.
