Le credenziali delle applicazioni cloud di ConnectWise hanno offerto agli aggressori una via d'accesso agli ambienti Microsoft 365 dei clienti, attraverso autorizzazioni che tali applicazioni già possedevano. Microsoft ritiene che Storm-0940, che descrive come un attore allineato allo Stato cinese, sia responsabile della compromissione della supply chain e che abbia usato il framework di penetration testing basato su IA agentica ARTEX per accelerare le intrusioni.
Il rapporto di Microsoft del 21 ottobre documenta autenticazioni riuscite e ulteriori attività in più ambienti di clienti. Poiché gli aggressori operavano tramite identità di applicazioni autorizzate, l'accesso non richiedeva un accesso interattivo dell'utente.
La distinzione tra autenticazione ed esposizione dei dati resta importante. Microsoft ha avvertito che né la presenza di un'applicazione coinvolta né un accesso riuscito da parte dell'aggressore stabiliscono necessariamente che i dati dei clienti siano stati consultati o esfiltrati.
I tentativi di password falliti precedono l'abuso delle applicazioni
Prima che le credenziali delle applicazioni fossero usate, Storm-0940 ha condotto un'operazione di password spraying tra il 10 e il 14 ottobre, secondo il resoconto di Security Affairs sui risultati di Microsoft. Più di 151.000 tentativi di accesso falliti hanno preso di mira 327 account in otto organizzazioni. Nessuno ha avuto successo.
Entro il 15 ottobre, gli aggressori usavano credenziali compromesse di diverse applicazioni cloud di ConnectWise per autenticarsi negli ambienti dei clienti. I tentativi di password falliti non chiariscono come siano state ottenute tali credenziali delle applicazioni.
ARTEX ha contribuito ad automatizzare la ricognizione, il password spraying e l'abuso delle applicazioni OAuth. SecurityWeek, citando Microsoft, ha riferito che l'attore ha tentato di accedere a più di 2.250 tenant dopo aver ottenuto un accesso non autorizzato. Quella cifra descrive tentativi di accesso, non un conteggio di compromissioni confermate.
A parte, SecurityWeek ha citato osservazioni di Huntress secondo cui gli aggressori hanno acceduto a centinaia di tenant Microsoft 365, tra cui più di 300 tenant Entra, usando credenziali compromesse delle applicazioni ConnectWise. La testata ha riferito che ConnectWise ha sospeso, tra vari altri servizi, Cloud Backup, SaaS Security e Cloud Management, in risposta all'attività di metà ottobre.
Le modifiche alle directory complicano il contenimento
In più ambienti, Microsoft ha ricostruito attività che andavano oltre il primo accesso, fino a Microsoft Graph. Le operazioni osservate comprendevano ricognizione e modifiche alle credenziali delle applicazioni, oltre a tentativi di alterare i privilegi che potessero ampliare o prolungare l'accesso. Le segnalazioni descrivono anche operazioni su identità, gruppi e ruoli privilegiati.
Queste modifiche alle credenziali creano un problema di persistenza: secondo Microsoft, l'accesso stabilito tramite credenziali aggiunte dall'aggressore può sopravvivere alla bonifica dell'applicazione originariamente compromessa. Limitarsi a indagare sul primo accesso lascerebbe quindi non esaminate le successive modifiche alle directory.
Microsoft consiglia di correlare gli accessi delle entità di servizio con le operazioni di Microsoft Graph, le modifiche alle directory e l'accesso alle risorse. Gli investigatori dovrebbero verificare le modifiche inattese a credenziali o privilegi rispetto alle attività amministrative autorizzate, seguire le indicazioni di contenimento pubblicate da ConnectWise e conservare le prove dell'indagine.
Le rilevazioni di Defender XDR e le query di threat hunting supportano questo lavoro. Microsoft avverte inoltre che una ricerca di attività su Graph senza risultati non dimostra che l'accesso non sia mai avvenuto: gli investigatori devono considerare i permessi delle applicazioni e i registri di autenticazione delle entità di servizio insieme alla telemetria di Graph.
Parte di una campagna ARTEX più ampia
Microsoft ha osservato Storm-0940 usare ARTEX contro centinaia di organizzazioni nel mondo già a settembre 2026. Diversi attacchi di quell'attività più ampia hanno ottenuto accesso privilegiato al cloud; in più casi sono passate meno di tre ore dal primo targeting all'accesso privilegiato. Questa tempistica non è stata accertata per ogni intrusione ConnectWise.
Secondo SecurityWeek, Storm-0940 opera almeno dal 2021. ARTEX ha fornito l'automazione per i suoi flussi offensivi, mentre le intrusioni ConnectWise si sono basate su identità di applicazioni compromesse e sui permessi già esistenti. Microsoft ha affermato che l'attività non derivava né da una compromissione né da una vulnerabilità dei suoi sistemi aziendali, prodotti o servizi.
