Microsoft, grubun çok kiracılı (multi-tenant) bir bulut yedekleme uygulamasına yönelik, yakın zamanda duyurulan ConnectWise tedarik zinciri ihlalinin arkasında olduğunu değerlendiriyor.
Bazı durumlarda grup, bir kuruluşu ilk hedef almasından bulut altyapısına ayrıcalıklı erişim elde etmesine kadar üç saatten kısa sürede ilerledi.
Microsoft, bu faaliyetin kendi sistemlerinde, ürünlerinde veya hizmetlerinde bir ihlalden ya da güvenlik açığından kaynaklanmadığını belirtti.
Microsoft, ajanların gece gündüz çalışabildiğini ve aynı anda birden fazla sızma yolunu deneyebildiğini belirtiyor.
ConnectWise saldırısının ardından grup, ARTEX ile dakikada 2.900 denemeye varan hızla 2.250'den fazla kiracıya (ayrı müşteri ortamlarına) oturum açmayı denedi ve savunmacılara müdahale için çok az zaman bıraktı.
Hedeflemelerin çoğu başarısız oldu; ancak Microsoft, grubun yine de birçok kuruluşta kalıcı ayrıcalıklı bulut erişimi elde ettiğini söylüyor.
10-14 Ekim 2026 arasında gruba bağlı altyapı, sekiz kuruluştaki 327 hesaba yönelik bir parola püskürtme kampanyası yürüttü; 151.000'den fazla başarısız oturum açma denemesi oluştu ve başarılı bir kimlik doğrulama gözlenmedi.
Microsoft, bu altyapının ConnectWise'ın duyurusundaki ağ adresleriyle, aralarında birebir aynı olan bir IP adresiyle de, eşleştiğini belirtiyor.
Microsoft'a göre saldırganlar, müşterilerin daha önce güvendiği ConnectWise bulut uygulamalarının çalınan kimlik bilgilerini kötüye kullandı ve bu sayede etkileşimli bir kullanıcı girişi olmadan Microsoft 365 ortamlarına oturum açabildi. Birden fazla ortamda ardından Microsoft 365 verileri ve dizin ayarları için kullanılan arayüz olan Microsoft Graph'i keşif, uygulama kimlik bilgisi değişiklikleri ve ayrıcalıkları değiştirme girişimleri için kullandılar. Bu tür değişiklikler, asıl uygulama düzeltildikten sonra bile arka kapı işlevi görebilir. Microsoft, etkilenen bir uygulamanın veya başarılı bir oturum açmanın verilere erişildiği ya da verilerin çalındığı anlamına gelmeyebileceğini vurguluyor. Müşterilere, ConnectWise geri yükleme talimatlarını verene kadar etkilenen ConnectWise bağlantılarını devre dışı bırakmalarını, kanıtları korumalarını, hizmet sorumlusu oturum açmalarını ile kimlik bilgisi veya ayrıcalık değişikliklerini incelemelerini ve ConnectWise'ın sınırlama yönergelerini izlemelerini öneriyor. Microsoft Defender XDR, bu faaliyet için tespitler ve avlanma sorguları sunuyor.
