Em 23 de outubro, às 14h UTC, a ConnectWise informou que os testes de restauração e a validação de segurança do Cloud Backup continuavam. A empresa previa concluir essa etapa até o fim do fim de semana; se os testes fossem bem-sucedidos, começaria a devolver recursos aos parceiros em fases. O acesso a um processo para restaurar dados de backups existentes era esperado no início da semana seguinte, também condicionado à validação.
O cronograma de restauração dependia dos testes
Na atualização, a ConnectWise disse que a reentrada completa dos serviços ocorreria depois, também em fases. A empresa afirmou que os arquivos de backup existentes permaneciam criptografados, isolados e preservados, sem indícios de comprometimento. A declaração diz respeito aos arquivos armazenados. A ConnectWise também ressaltou que a análise de cada ambiente de cliente no Microsoft 365 continuava necessária.
O que a Wiz observou em outros fornecedores
A Wiz relatou tentativas associadas a ferramentas do ARTEX contra fornecedores de tecnologia, com foco em provedores de identidade como Okta, Microsoft Entra e AWS Cognito, além de integrações com Microsoft 365. Entre os métodos observados estavam a descoberta de rotas de API e mapas de código-fonte, testes de fluxos OAuth e tokens JWT sem assinatura, sondagens de recuperação de contas e testes de isolamento entre tenants, os ambientes separados de cada cliente.
A Wiz disse que a maioria das tentativas observadas falhou. Algumas sessões duraram de 24 a 30 horas, e novos endereços IP apareciam poucos minutos depois que outros eram bloqueados. As observações descrevem tentativas contra vários ambientes, não uma confirmação de comprometimento de todos os fornecedores visados.
As fases do ataque e o que uma autenticação comprova
A Microsoft avaliou que o grupo Storm-0940, alinhado ao Estado chinês, foi responsável pelo comprometimento da ConnectWise e relatou o uso do ARTEX, uma estrutura de testes de intrusão com agentes de inteligência artificial. Segundo a Microsoft, a ferramenta acelerou atividades como reconhecimento, varredura, pulverização de senhas e abuso de aplicações OAuth.
A Microsoft separou duas fases. De 10 a 14 de outubro de 2026, uma campanha de pulverização de senhas atingiu 327 contas em oito organizações e gerou mais de 151 mil tentativas de login malsucedidas. Nessa etapa, a Microsoft não observou autenticação bem-sucedida, emissão de tokens, chamadas ao Microsoft Graph ou alterações de diretório. A partir de 15 de outubro, segundo a empresa, agentes passaram a usar identidades de aplicações da ConnectWise para autenticar em ambientes de clientes. A Microsoft registrou mais de 2.250 tentativas de entrada em tenants associadas à atividade do ARTEX. Em alguns ambientes, observou reconhecimento e alterações em credenciais de aplicações, identidades, grupos e funções privilegiadas.
A Microsoft ressalvou que a presença de uma aplicação afetada ou uma autenticação bem-sucedida não comprova, por si só, que dados de clientes foram acessados ou exfiltrados. A cobertura anterior da NeoTeo sobre a atividade em tenants do Microsoft 365 detalhou os registros de acesso associados ao incidente.
