В понеделник ConnectWise обяви, че е предприела мерки за отстраняване на последствията, включително засилване на защитата на административния достъп, нулиране на акаунти и подмяна на идентификационните данни на приложенията, докато продължава да реагира на инцидент със сигурността, довел до неоторизиран достъп до самоличности на приложения, свързани с Cloud Backup.

Компанията заяви, че е изпълнила следните действия, откакто започна въвеждането на смекчаващи мерки на 17 октомври в 5:00 ч. UTC, три дни след първоначалното идентифициране на инцидента –

  • Деактивиране на засегнатите връзки с приложения и временно спиране на Cloud Backup.
  • Временно спиране на SaaS Security и Cloud Management като предпазна мярка, тъй като те са интегрирани с Cloud Backup.
  • Привличане на помощта на независими външни специалисти за реагиране на инциденти и възстановяване.
  • Подобряване на защитата на административния достъп.
  • Публикуване на технически насоки в помощ на партньорите при разследването и отстраняването на потенциална неоторизирана дейност в техните собствени и управляваните клиентски среди.

ConnectWise заяви, че проверява ефективността на своите мерки за локализиране и подчерта, че не е забелязала успешна дейност от страна на злонамерени субекти в средите, които наблюдава. Няма доказателства, че други продукти и услуги на ConnectWise, освен Cloud Backup и превантивно спрените SaaS Security и Cloud Management, са засегнати.

„Това наблюдение не установява категорично дали отделни Microsoft 365 тенанти на партньори или клиенти са били засегнати“, посочват от компанията. „Прегледът на всеки потенциално засегнат тенант остава от съществено значение.“

„Преди да правите промени, запазете съответните доказателства, валидирайте констатациите и оценете потенциалното въздействие върху оперативната дейност. Изпълнението на тези стъпки не гарантира, че даден тенант е незасегнат или че целият неоторизиран достъп е премахнат. Не свързвайте отново засегнатите приложения, докато ConnectWise не предостави официални инструкции за възстановяване.“

Huntress сподели следните IP адреси, наблюдавани във връзка с активността, като добави, че опитите за атаки чрез разпръскване на пароли (password spray) и неуспешните опити за вход, свързани с някои от тях, е малко вероятно да са обвързани с активността по вписване на приложенията –

  • 144.172.64[.]128 – Вписвания на приложения с идентификационни данни на доставчик (основен вектор)
  • 144.172.64[.]99 – Неуспешно разпръскване на потребителски пароли, концентрирано (10 до 14 октомври 2026 г.)
  • 144.172.64[.]60 – Няколко неуспешни потребителски влизания (18 октомври 2026 г.)
  • 144.172.94[.]243 – Широко разпръскване на неуспешни влизания, продължаващо срещу множество организации

„При преглед на вписванията на приложения в над 10 000 тенанта с приложения на ConnectWise (където имаме видимост към тези логове), 144.172.64[.]128 и вътрешните диапазони на Microsoft са единствените адреси, генерирали активност по вписване на приложения“, съобщават изследователите от Huntress в актуализация.

„Не наблюдавахме активност по вписване на приложения от нито един от останалите адреси, изброени по-долу, като всички те са в същия обхват на доставчика като 144.172.64[.]128 (AS14956, RouterHosting). От някои от тях обаче регистрирахме атаки с разпръскване на пароли и неуспешни опити за вход.“

Компанията за киберсигурност съобщи още, че е наблюдавала действия след компрометиране във втори тенант, следващи същия modus operandi като преди: приложението си е предоставило права на Global Administrator, след което е добавило нова тайна (secret) към малък брой други приложения в тенанта с цел запазване на присъствието (persistence).

Въпреки че достъпът може да е бил използван за четене на директорията чрез Microsoft Graph, няма признаци атакуващите да са го използвали за манипулиране на пощенски кутии или файлове, или за извършване на промени по потребители или политики.

„Изборът кои приложения да бъдат модифицирани със задна врата изглежда е бил случаен в двата тенанта, които прегледахме“, допълват от Huntress. „В двата компрометирани тенанта идентичният процес на предоставяне на права е избрал два напълно различни набора от приложения. Единственият последователен критерий, който можем да посочим, е структурен: идентификационните данни са били внедрени в приложения, регистрирани в засегнатия тенант, без оглед на това какви функции всъщност изпълняват тези приложения.“