Das Unternehmen erklärte am Montag, es habe seit dem Beginn der Gegenmaßnahmen am 17. Oktober um 5:00 Uhr UTC – drei Tage nach der Entdeckung des Vorfalls – mehrere Schritte abgeschlossen:

  • Deaktivierung der betroffenen Anwendungsverbindungen und Suspendierung von Cloud Backup
  • vorsorgliche Suspendierung von SaaS Security und Cloud Management
  • Hinzuziehung unabhängiger externer Spezialisten für Incident Response und Behebung
  • Verstärkung der Schutzmechanismen für administrative Zugänge
  • Veröffentlichung technischer Anleitungen, mit denen Partner mögliche unbefugte Aktivitäten in eigenen und betreuten Kundenumgebungen untersuchen und beheben können

ConnectWise prüft derzeit die Wirksamkeit der Eindämmungsmaßnahmen und betonte, in den selbst überwachten Umgebungen seien keine erfolgreichen Angriffsaktivitäten beobachtet worden. Es gebe keine Hinweise darauf, dass andere Produkte und Dienste des Anbieters betroffen seien – abgesehen von Cloud Backup und den vorsorglich suspendierten Diensten.

„Diese Beobachtung sagt nichts darüber aus, ob einzelne Microsoft-365-Mandanten von Partnern oder Kunden betroffen sind", so das Unternehmen. „Die Überprüfung jedes potenziell betroffenen Mandanten bleibt unerlässlich." Vor Änderungen sollten Partner relevante Beweise sichern, Erkenntnisse validieren und mögliche betriebliche Auswirkungen abschätzen. Die Durchführung dieser Schritte garantiere nicht, dass ein Mandant unbetroffen sei oder dass sämtliche unbefugten Zugriffe beseitigt wurden. Betroffene Anwendungen sollten nicht wieder verbunden werden, bevor ConnectWise formelle Anweisungen zur Wiederherstellung gebe.

Huntress veröffentlichte IP-Adressen, die im Zusammenhang mit der Aktivität beobachtet wurden; Password-Spraying und fehlgeschlagene Anmeldeversuche von einigen dieser Adressen stehen nach Einschätzung des Unternehmens wahrscheinlich nicht in Verbindung mit den Anwendungsanmeldungen:

  • 144.172.64[.]128 – Anwendungsanmeldungen mit einem Anbieter-Zugangsdatum (primärer Vektor)
  • 144.172.64[.]99 – gehäufte fehlgeschlagene Password-Spray-Versuche gegen Nutzerkonten (10. bis 14. Oktober 2026)
  • 144.172.64[.]60 – einige fehlgeschlagene Nutzeranmeldungen (18. Oktober 2026)
  • 144.172.94[.]243 – breit gestreute fehlgeschlagene Anmeldeversuche, fortlaufend gegen viele Organisationen

„Bei einer Durchsicht von Anwendungsanmeldungen über mehr als 10.000 Mandanten mit ConnectWise-Anwendungen hinweg – soweit wir diese Protokolle einsehen können – sind 144.172.64[.]128 und Microsoft-interne Adressbereiche die einzigen Adressen, die Anwendungsanmeldeaktivität erzeugt haben", erklärten die Forscher von Huntress in einem Update. Von den übrigen genannten Adressen, die alle im selben Anbieterbereich liegen (AS14956, RouterHosting), habe man keine Anwendungsanmeldungen gesehen, von einigen jedoch Password-Spraying und fehlgeschlagene Anmeldeversuche.

Huntress beobachtete zudem Aktivitäten nach der Kompromittierung in einem zweiten Mandanten, die demselben Vorgehen folgten: Die Anwendung erteilte sich selbst die Rolle Global Administrator und hinterlegte anschließend bei einer kleinen Zahl weiterer Anwendungen im Mandanten ein neues Secret, um dauerhaften Zugang zu behalten. Der Zugriff könnte für Verzeichnisabfragen über Microsoft Graph genutzt worden sein; Hinweise auf Manipulationen an Postfächern oder Dateien oder auf Änderungen an Nutzern oder Richtlinien gibt es nicht.

„Die Auswahl der Anwendungen, die mit einer Hintertür versehen wurden, wirkte in den beiden von uns untersuchten Mandanten zufällig", so Huntress. In beiden kompromittierten Mandanten habe derselbe Berechtigungsablauf zwei völlig unterschiedliche Anwendungsgruppen ausgewählt. Das einzige durchgängige Kriterium sei struktureller Natur: Zugangsdaten wurden in Anwendungen platziert, die innerhalb des betroffenen Mandanten registriert sind – unabhängig davon, welche Funktionen diese Anwendungen tatsächlich besitzen.