Aanvallers kregen toegang tot Microsoft 365-omgevingen door gebruik te maken van ConnectWise-app-identiteiten die organisaties hadden geautoriseerd, zonder het wachtwoord of de multifactorauthenticatie van gebruikers nodig te hebben. Volgens Microsoft is de groep Storm-0940 verantwoordelijk voor de inbreuk, en een tool genaamd ARTEX zou zijn gebruikt om verschillende stappen van de operatie te versnellen.
Een tenant, dat wil zeggen de werkruimte van een organisatie in Microsoft 365, kan worden beheerd door apps waaraan het machtigingen heeft verleend. Wie controle heeft over deze identiteiten beschikt dus, binnen elk van deze tenants, over de rechten van de app. In verschillende gevallen van de campagne die sinds september wordt gevoerd, verliepen er minder dan drie uur tussen de eerste targeting en het verkrijgen van geprivilegieerde toegang, volgens Microsoft, dat niet specificeert of deze organisaties klanten van ConnectWise waren.
Microsoft ‘schat’ dat Storm-0940 aan de basis ligt van de inbreuk, zonder een betrouwbaarheidsniveau te publiceren. ConnectWise heeft van zijn kant aangegeven niet te kunnen ‘discussiëren over de attributie op dit moment’, voordat het op 21 oktober de conclusies van Microsoft op de adviespagina van zijn Trust Center erkende. Zijn statuspagina vermeldt noch Storm-0940 noch The AI / news.
ARTEX, een open source-tool met gemelde toepassingen
ARTEX is een multi-agent systeem, dat wil zeggen een verzameling The AI / news-programma’s die autonoom kunnen handelen, geschreven in Go en gepubliceerd als open source. Volgens een notitie van de Cloud Security Alliance werd het op 26 juli 2026 online gezet door een ontwikkelaar die tekent als Autumn-27. CrowdStrike heeft het begin oktober in verband gebracht met inbraken in Zuid-Koreaanse financiële instellingen. Op 8 oktober zou de ontwikkelaar het project van GitHub hebben gehaald en de stopzetting van updates hebben aangekondigd, met een overgang naar gesloten code, maar een projectpagina blijft op 22 oktober publiek toegankelijk.
Microsoft schrijft dat Storm-0940 ARTEX heeft gebruikt om reconnaissance, wachtwoordspraying (hetzelfde veelvoorkomende wachtwoord geprobeerd op een reeks accounts) en misbruik van OAuth-apps te versnellen. ARTEX ‘kan elk The AI / news-model gebruiken’ en voert een inbraak uit van reconnaissance tot exfiltratie ‘met weinig menselijke interactie’, volgens hetzelfde bericht, dat het menselijke aandeel van de operatie noch het gebruikte model specificeert. De spraycampagne die van 10 tot 14 oktober 2026 werd gevoerd, leverde meer dan 151.000 mislukkingen op tegen 327 accounts van acht organisaties, zonder dat er een succesvolle authenticatie werd waargenomen, volgens Microsoft.
Pogingen en geslaagde verbindingen
Microsoft geeft aan dat de aanvaller heeft geprobeerd verbinding te maken met meer dan 2.250 tenants, en dat het merendeel van deze targeting mislukte. Het bedrijf geeft geen aantal gecompromitteerde tenants en preciseert dat een succesvolle authenticatie ‘niet noodzakelijk’ toegang tot de gegevens of hun exfiltratie betekent.
Huntress, een beveiligingsbedrijf, heeft meer dan 10.000 tenants met ConnectWise-apps onderzocht. Het telde er 162 met bevestigde ongeautoriseerde verbindingen op 16 oktober, vervolgens bijna 1.000 die vanaf een enkel IP-adres werden getarget op 17 oktober, waarvan meer dan 300 met een succesvolle verbinding. In een vijftigtal gevolgde tenants hebben apps zichzelf directory-beheerdersrollen toegekend, vooral die van Exchange-beheerder.
ConnectWise meldde op 16 oktober ‘pogingen’ tot toegang tot de Cloud Backup-omgeving, de voormalige SkyKick. Op 17 oktober erkende het bedrijf een ongeautoriseerde toegang tot app-identiteiten, heeft het er zeven gedeactiveerd en de betreffende certificaten ingetrokken. Op 19 oktober zijn alle accounts en inloggegevens van de getroffen omgeving gereset. Het gefaseerde herstel begon op 21 oktober en zal ‘meerdere dagen’ duren. De back-uparchieven zijn ‘versleuteld, geïsoleerd en bewaard, zonder aanwijzing van compromittering’, volgens het bedrijf, dat het onderzoek heeft uitbesteed aan een niet-genoemd extern bureau.
Microsoft beveelt onder meer aan de getroffen ConnectWise-verbindingen gedeactiveerd te laten, de Microsoft Entra-logboeken te bewaren en de activiteit te onderzoeken vanaf ten minste 15 oktober 2026. ConnectWise geeft aan dat reeds uitgegeven toegangstokens ‘bruikbaar kunnen blijven’ tot hun vervaldatum of invalidatie.
