Alisina NawabiVoor organisaties die Microsoft 365 via een IT-beheerpartner (MSP) beheren, raakt dit een gedeelde toegangslaag: een cloudapplicatie kan zonder medewerker aanmelden met rechten die de tenant eerder aan de leverancier gaf. Herstel van ConnectWise zelf trekt zulke machtigingen of eventuele wijzigingen in elke klanttenant niet automatisch terug. Een app-aanmelding, zelfs een succesvolle, bewijst nog niet dat bedrijfsdata is ingezien of gekopieerd.
De cijfers meten verschillende delen van de aanval
Microsoft zegt dat Storm-0940 sinds 2021 actief is en eerder met wachtwoordsprays en misbruik van internetgerichte applicaties toegang zocht. Sinds ten minste september 2026 gebruikt de groep ARTEX om aanvallen op honderden organisaties te automatiseren. Openbare meldingen over de ConnectWise-inbraak kwamen op 15 oktober naar buiten. Daarna gebruikte de actor gestolen app-aanmeldgegevens van ConnectWise om Microsoft 365-klanttenants te benaderen.
In de ConnectWise-vervolgactie liep het tempo op tot 2.900 aanmeldpogingen per minuut. Dat zijn pogingen via app-identiteiten, geen telling van evenveel geslaagde aanmeldingen of getroffen organisaties. Microsoft zag in meerdere klantomgevingen wel aanmeldingen van service principals en activiteiten via Microsoft Graph.
Een andere meting moet apart blijven. Tussen 10 en 14 oktober zag Microsoft wachtwoordsprays tegen 327 accounts in acht organisaties, met meer dan 151.000 mislukte aanmeldingen. Reacties op accountvergrendeling vormden bijna 98 procent van alle vastgelegde activiteit. Microsoft zag daarbij geen succesvolle aanmelding, tokenuitgifte, Graph-aanroep of directorywijziging. Dit is de eerdere wachtwoordspraycampagne, niet de telling van aanmeldpogingen via ConnectWise-apps.
ARTEX automatiseert de aanvalsketen
ARTEX is geen taalmodel, maar een open-source raamwerk voor penetratietests dat met verschillende AI-modellen kan werken. Microsoft beschrijft het als een systeem met meerdere AI-agenten, gebouwd met Go en een Next.js-interface. Die agenten kunnen een test van verkenning tot het buitmaken van gegevens uitvoeren met weinig menselijke tussenkomst. Het systeem verzamelt gevonden systemen en kwetsbaarheden in een graaf.
Tijdens de ConnectWise-inbraak versnelde ARTEX volgens Microsoft het scannen, de verkenning, wachtwoordsprays en het misbruik van OAuth-apps bij klantorganisaties. In meerdere omgevingen volgden verkenning via Microsoft Graph, wijzigingen aan applicatiegegevens en pogingen om rechten uit te breiden of toegang blijvend te maken. Microsoft meldt dat meerdere ARTEX-aanvallen geprivilegieerde toegang tot cloudinfrastructuur opleverden, soms binnen drie uur vanaf de eerste doelkeuze. Dat is geen gemiddelde en geldt niet voor elke tenant.
Het verschil met een gewone gebruikersaanmelding zit in de identiteit van de verbinding. Een service principal is een applicatie-identiteit die zelfstandig bij Microsoft 365 kan aanmelden; een medewerker hoeft niet telkens een wachtwoord in te voeren. De toegestane machtigingen en app-rollen bepalen welke acties die verbinding kan uitvoeren. Huntress bevestigde app-aanmeldingen in 173 Microsoft 365-tenants; dat getal betreft vastgestelde tenant-aanmeldingen en is niet hetzelfde als Microsofts pogingentelling.
ConnectWise herstelt zijn diensten gefaseerd
ConnectWise zette Cloud Backup, SaaS Security en Cloud Management offline na ongeautoriseerde toegang tot applicatie-identiteiten, waardoor back-ups, herstel en onderdelen van tenantbeheer uitvielen. Op 20 oktober meldde het bedrijf dat beheeraccounts werden gereset en applicatiegegevens vervangen terwijl de drie diensten nog stillagen.
Op 21 oktober zei ConnectWise, op basis van eigen bewijs en informatie van Microsoft, dat een China-staatgelieerde groep waarschijnlijk achter de inbraak zit en een publiek beschikbaar agentisch AI-framework gebruikte. Het bedrijf begon die dag met gefaseerd herstel na beveiligingsvalidatie. In de update van 22 oktober 00:45 UTC schrijft ConnectWise dat het herstel nog enkele dagen kan duren. Het bedrijf vraagt partners getroffen verbindingen uitgeschakeld te houden tot formele heraansluitinstructies volgen en klanttenants apart te onderzoeken. Bestaande back-uparchieven blijven volgens ConnectWise versleuteld en geïsoleerd, zonder aanwijzing dat ze zijn aangetast. Dat is een uitspraak over de archieven in ConnectWise’ omgeving, niet over iedere live Microsoft 365-tenant van een klant.
Infosecurity Magazine meldde op 22 oktober dat Cloud Backup gefaseerd terugkomt terwijl de gevolgen voor klantomgevingen apart worden onderzocht. ConnectWise zegt zelf dat herstelmaatregelen in de eigen omgeving bestaande toegang in klanttenants niet verwijderen; daar moet iedere MSP afzonderlijk naar kijken.
ARTEX is ook bij andere aanvallen ingezet
Dezelfde tool dook op in een afzonderlijke campagne tegen Zuid-Koreaanse financiële instellingen. CrowdStrike zegt dat het tussen eind september en begin oktober ARTEX-configuraties, Claude Code-sessies en geheugenbestanden aantrof op infrastructuur die met aanvallen op die sector samenhing. Het rapporteerde dat daarbij gegevens zijn buitgemaakt, maar noemde geen bevestigd aantal getroffen instellingen en koppelde de campagne niet aan een bij naam bekende actor. De eerste meldingen over ARTEX-sporen op servers rond aanvallen op Zuid-Koreaanse financiële instellingen lieten nog open of de agent was ingezet; CrowdStrike koppelde later configuratiebestanden en sessiegegevens aan de campagne.
Die Koreaanse campagne bewijst niet wie achter ConnectWise zat; hetzelfde raamwerk kan door verschillende aanvallers worden gebruikt. CrowdStrike schatte met middelmatige zekerheid dat de actor waarschijnlijk Chineestalig en financieel gemotiveerd was. Microsofts toerekening aan Storm-0940 betreft een andere operatie.
Microsofts cijfers beschrijven drie verschillende zaken: hoeveel tenants werden benaderd, hoeveel aanmeldpogingen mislukten en welke acties na succesvolle toegang volgden. Het blog noemt meerdere klantomgevingen met vervolgactiviteit, maar publiceert geen bevestigde telling van buitgemaakte klantdata. Voor organisaties schuift de toegangscontrole daardoor verder dan medewerkersaccounts: elke externe applicatie-identiteit en haar rechten vormen een afzonderlijk spoor dat na leveranciersherstel nog onderzocht moet worden.
Veelgestelde vragen
Wie krijgt welke toegang?
Ik denk mee over toegangsgrenzen, ontwerp de oplossing en realiseer die end-to-end, inclusief de koppelingen en automatisering. Waar dat kan, host ik het systeem zelf zodat bedrijfsdata en toegangsbeheer binnen jouw beheer blijven.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
