ConnectWise heeft na een security-incident ingrijpende maatregelen genomen rond ConnectWise Cloud Backup. Het bedrijf geeft aan dat er ongeautoriseerde toegang is geweest tot applicatie-identiteiten die met Cloud Backup zijn verbonden, waarna het herstel en de beveiliging in versnelling zijn gekomen.
Omdat de verstoringen in de cloudomgeving mogelijk per tenant verschillen, ligt de nadruk nu op het uitschakelen van getroffen verbindingen, het resetten van credentials en het zorgvuldig beoordelen van effect bij partners en klanten.
Wat is er gebeurd met ConnectWise Cloud Backup?
Volgens ConnectWise startte de respons nadat het incident drie dagen eerder voor het eerst werd geïdentificeerd. De mitigerende acties zijn vervolgens uitgerold op 17 oktober om 05:00 UTC. In die fase heeft het bedrijf de impact beperkt door de koppelingen die mogelijk betrokken waren uit te schakelen.
ConnectWise koppelt het incident aan ongeautoriseerde toegang tot applicatie-identiteiten die gerelateerd zijn aan Cloud Backup. Het bedrijf stelt dat het geen succesvolle threat activity heeft gezien in omgevingen die het monitort, maar waarschuwt tegelijk dat dit niet bewijst dat afzonderlijke Microsoft 365 tenants niet geraakt zijn.
Welke herstelmaatregelen zijn al uitgevoerd?
ConnectWise beschrijft een reeks acties die sinds de uitrol van mitigaties zijn afgerond. De belangrijkste onderdelen:
- Beïnvloede applicatieverbindingen uitschakelen en Cloud Backup opschorten.
- SaaS Security en Cloud Management tijdelijk schorsen als voorzorg. Deze diensten zijn geïntegreerd met Cloud Backup.
- Voor incident response en remediation onafhankelijke specialisten inschakelen.
- Admin-toegangsbeveiliging versterken.
- Technische guidance publiceren zodat partners potentiële ongeautoriseerde activiteit in eigen en beheerde omgevingen kunnen onderzoeken en verhelpen.
Daarnaast geeft ConnectWise aan containment te valideren voordat het verdere stappen zet. Cruciaal: het bedrijf zegt dat het pas formele herstelinstructies zal geven alvorens getroffen toepassingen weer te verbinden.
Waarom blijft Cloud Backup voorlopig offline?
Cloud Backup blijft uitgeschakeld. De reden is niet alleen het beperken van verdere risico’s, maar vooral het voorkomen dat bestaande ongeautoriseerde toegang opnieuw wordt geactiveerd terwijl onderzoek en verificatie nog lopen.
ConnectWise adviseert partners bovendien om bij potentiële getroffen tenants eerst bewijs te bewaren, bevindingen te valideren en de operationele impact te beoordelen. Het bedrijf benadrukt ook dat “afronden” van deze stappen niet garandeert dat een tenant volledig vrij is van ongeautoriseerde toegang.
Met andere woorden: herstel vraagt om tenant-specifieke verificatie. Volgens ConnectWise mogen getroffen applicaties daarom niet opnieuw worden gekoppeld totdat het bedrijf officiële restauratie-instructies verstrekt.
Wat zei Huntress over IP’s en inloggedrag?
Huntress deelde IP-adressen die in verband zijn gebracht met de activiteit. Daarbij onderscheidt het onderzoeksbureau tussen signalen die passen bij applicatieaanmeldingen en signalen die meer lijken op mislukte loginpogingen of password spraying.
De IP’s die Huntress noemt:
- 144.172.64[.]128: applicatie-aanmeldingen met een vendor-credential (hier wordt het als belangrijkste vector gezien).
- 144.172.64[.]99: failed user password spray, geconcentreerd tussen 10 en 14 oktober 2026.
- 144.172.64[.]60: enkele mislukte user logins op 18 oktober 2026.
- 144.172.94[.]243: brede failed login spray, gaande tegen veel organisaties.
Volgens Huntress kwam er bij een review van applicatieaanmeldingen over meer dan 10.000 tenants met ConnectWise-applicaties alleen 144.172.64[.]128 en Microsoft-interne reeksen naar voren als bron van echte applicatieaanmeldactiviteit. Voor de andere genoemde adressen zag men wel password spray en failed login pogingen, maar geen applicatie sign-in activiteit.
Persistence en scope: wat er (mogelijk) in tenants is gedaan
In additionele observaties beschrijft Huntress post-compromise acties op een tweede tenant. Dat volgde een vergelijkbaar modus operandi als eerder: de applicatie kreeg zichzelf Global Administrator-rechten en voegde daarna een nieuwe secret toe bij een klein aantal andere applicaties binnen die tenant om toegang op lange termijn te behouden.
Het rapport vermeldt dat deze toegang mogelijk is gebruikt voor het lezen van directorygegevens via Microsoft Graph. Er zijn volgens Huntress echter geen aanwijzingen dat aanvallers de toegang hebben misbruikt voor mailbox- of bestandsmanipulatie, of om gebruikers- of beleidswijzigingen door te voeren.
Opvallend is ook dat Huntress stelt dat de keuze van applicaties om te backdoor’en “willekeurig” leek in de twee tenants die ze hebben bekeken: dezelfde grant-flow selecteerde in beide cases duidelijk andere sets applicaties. De consistente eigenschap die het team ziet, is structureel: credentials werden geplaatst in applicaties die geregistreerd zijn in de betrokken tenant, zonder duidelijke relatie met wat die applicaties functioneel kunnen.
Wat betekent dit voor partners en klanten?
Hoewel ConnectWise aangeeft dat niet alle ConnectWise producten en services getroffen lijken te zijn, is er één boodschap die voor vrijwel iedereen geldt: beschouw het incident als relevant voor je eigen tenant en controleer gericht.
Praktisch gezien gaat het om drie vragen:
- Is je tenant geraakt? Vergelijk je logs en applicatie-aanmeldingen met de indicatoren die door het onderzoeksteam zijn genoemd.
- Zijn credentials geroteerd? Zorg dat applicatie- en secret-waarden opnieuw zijn ingesteld volgens de herstelstappen.
- Zijn instellingen en rechten gecontroleerd? Zeker waar admin-toegang en globale rollen betrokken kunnen zijn geweest.
Als je wilt verdiepen in hoe snel incidenten kunnen escaleren wanneer credentials worden misbruikt, kan dit ook helpen: ConnectWise stopt cloudservices na misbruik login. Voor bredere achtergrond over het dichten van gaten tussen identiteit en incident response is er bovendien gerelateerde context in MITRE ATT&CK v20: AI-misbruik en MFA-bypass.
Volgende stappen: herstel, verificatie en communicatie
Op dit moment stuurt ConnectWise vooral op verificatie: het bedrijf zegt dat het de effectiviteit van containmentmaatregelen valideert en dat partners technische guidance kunnen gebruiken om hun eigen omgeving te onderzoeken en te remediëren.
Belangrijk voor de planning is dat herverbinding van getroffen toepassingen niet zomaar moet gebeuren. Ook niet “omdat het lijkt hersteld”. ConnectWise geeft expliciet aan dat herstel-instructies formeel moeten worden opgevolgd.
Conclusie
ConnectWise Cloud Backup blijft voorlopig offline, terwijl ConnectWise credentials reset, admin-toegangsbeveiliging versterkt en containment valideert na ongeautoriseerde toegang tot applicatie-identiteiten. De informatie van Huntress wijst op specifieke indicatoren voor applicatieaanmeldingen en maakt duidelijk dat password spraying en failed logins niet hetzelfde zijn als een echte applicatiesign-in.
Voor partners en klanten is de belangrijkste stap nu: tenant-specifiek onderzoek, bewijs bewaren en de officiële herstelinstructies afwachten voordat applicaties opnieuw worden verbonden. Zo beperk je de kans dat een resterend risico opnieuw geactiveerd wordt.
Bron: https://thehackernews.com/2026/10/connectwise-resets-credentials-as-cloud.html
