Zugangsdaten für Cloud-Anwendungen von ConnectWise verschafften Angreifern über Berechtigungen, die diese Anwendungen bereits besaßen, einen Weg in die Microsoft-365-Umgebungen von Kunden. Microsoft stuft ein, dass der Akteur Storm-0940, den Microsoft als einen mit dem chinesischen Staat verbundenen Akteur beschreibt, für die Kompromittierung der Lieferkette verantwortlich war. Außerdem habe er das agentische KI-Framework für Penetrationstests ARTEX genutzt, um die Angriffe zu beschleunigen.
Der Bericht vom 21. Oktober von Microsoft dokumentiert erfolgreiche Authentifizierungen und weitere Aktivitäten in mehreren Kundenumgebungen. Da die Angreifer über autorisierte Anwendungsidentitäten agierten, war für den Zugriff keine interaktive Benutzeranmeldung nötig.
Der Unterschied zwischen Authentifizierung und Datenabfluss bleibt wichtig. Microsoft warnte, dass weder das Vorhandensein einer betroffenen Anwendung noch eine erfolgreiche Anmeldung des Angreifers zwingend belegt, dass Kundendaten abgerufen oder abgeflossen sind.
Fehlgeschlagene Passwortangriffe gingen dem Missbrauch der Anwendungen voraus
Bevor die Anwendungszugangsdaten genutzt wurden, führte Storm-0940 laut dem Bericht von Security Affairs über die Ergebnisse von Microsoft vom 10. bis 14. Oktober eine Password-Spraying-Operation durch. Mehr als 151.000 fehlgeschlagene Anmeldeversuche richteten sich gegen 327 Konten in acht Organisationen. Keiner dieser Versuche war erfolgreich.
Bis zum 15. Oktober nutzten die Angreifer kompromittierte Zugangsdaten für mehrere Cloud-Anwendungen von ConnectWise, um sich bei Kundenumgebungen zu authentifizieren. Die fehlgeschlagenen Passwortversuche klären nicht, wie diese Anwendungszugangsdaten erlangt wurden.
ARTEX half dabei, Aufklärung, Password Spraying und den Missbrauch von OAuth-Anwendungen zu automatisieren. SecurityWeek berichtete unter Berufung auf Microsoft, dass der Akteur nach dem unbefugten Zugriff versucht habe, sich bei mehr als 2.250 Tenants anzumelden. Diese Zahl beschreibt versuchte Zugriffe und nicht die Anzahl bestätigter Kompromittierungen.
Davon unabhängig berichtete SecurityWeek unter Verweis auf Beobachtungen von Huntress, dass Angreifer mit kompromittierten ConnectWise-Anwendungszugangsdaten auf Hunderte Microsoft-365-Tenants zugegriffen haben, darunter mehr als 300 Entra-Tenants. Als Reaktion auf die Aktivitäten Mitte Oktober setzte ConnectWise laut der Publikation mehrere Dienste aus, darunter Cloud Backup, SaaS Security und Cloud Management.
Verzeichnisänderungen erschwerten die Eindämmung
In mehreren Umgebungen verfolgte Microsoft die Aktivitäten über die erste Anmeldung hinaus bis in Microsoft Graph. Zu den beobachteten Vorgängen gehörten Aufklärung und Änderungen an Anwendungszugangsdaten, außerdem Versuche, Berechtigungen zu verändern, um den Zugriff auszuweiten oder länger aufrechtzuerhalten. Berichte beschrieben zudem Vorgänge mit Identitäten, Gruppen und privilegierten Rollen.
Die Änderungen an den Zugangsdaten bergen ein Persistenzrisiko: Laut Microsoft kann ein Zugriff, der über vom Angreifer hinzugefügte Zugangsdaten eingerichtet wurde, auch dann bestehen bleiben, wenn die ursprünglich kompromittierte Anwendung bereinigt wird. Würde man nur die erste Anmeldung untersuchen, blieben folglich spätere Verzeichnisänderungen unberücksichtigt.
Microsoft empfiehlt, Anmeldungen von Service Principals mit Microsoft-Graph-Vorgängen, Verzeichnisänderungen und Ressourcenzugriffen zu korrelieren. Ermittler sollten unerwartete Änderungen an Zugangsdaten oder Berechtigungen mit autorisierten Verwaltungsaktivitäten abgleichen, die veröffentlichten Eindämmungshinweise von ConnectWise befolgen und Untersuchungsbeweise sichern.
Defender-XDR-Erkennungen und Hunting-Abfragen unterstützen diese Arbeit. Microsoft warnt außerdem, dass eine leere Graph-Aktivitätssuche nicht beweist, dass nie ein Zugriff stattfand. Ermittler müssen Anwendungsberechtigungen und Authentifizierungsprotokolle von Service Principals zusammen mit der Graph-Telemetrie berücksichtigen.
Teil einer breiter angelegten ARTEX-Kampagne
Microsoft beobachtete, dass Storm-0940 ARTEX bereits im September 2026 gegen Hunderte Organisationen weltweit einsetzte. Mehrere Angriffe dieser breiteren Aktivität verschafften privilegierten Cloud-Zugriff. In mehreren Fällen dauerte es weniger als drei Stunden von der ersten Zielauswahl bis zum privilegierten Zugriff. Dieser Zeitablauf wurde nicht für jeden ConnectWise-Einbruch belegt.
Laut SecurityWeek ist Storm-0940 mindestens seit 2021 aktiv. ARTEX lieferte die Automatisierung für dessen Offensivabläufe, während die ConnectWise-Einbrüche auf kompromittierten Anwendungsidentitäten und deren bestehenden Berechtigungen beruhten. Microsoft erklärte, die Aktivität gehe nicht auf eine Kompromittierung oder Schwachstelle in den eigenen Unternehmenssystemen, Produkten oder Diensten zurück.
