Connectwise

Microsoft ระบุว่า Storm-0940 กลุ่มที่สอดคล้องกับรัฐจีนอยู่เบื้องหลังการเจาะห่วงโซ่อุปทาน ConnectWise Cloud Backup กลุ่มนี้ใช้ ARTEX เฟรมเวิร์กเจาะระบบด้วยเอเจนต์ AI เร่งการสอดแนม password spray และการใช้แอป OAuth ในทางมิชอบ เอเจนต์พยายามล็อกอินกว่า 2,250 tenant ด้วยอัตรา 2,900 ครั้งต่อนาที บางเหยื่อถูกยึดสิทธิ์ระดับสูงในคลาวด์ภายในไม่ถึง 3 ชั่วโมง การแก้ credential ของแอปอาจค้างเป็นประตูหลังแม้ปิดแอปเดิมแล้ว

ConnectWise ปิด application identity 7 ตัวและระงับบริการ Cloud Backup หลังผู้โจมตีที่ยังไม่ทราบตัวตนได้ข้อมูลรับรองของแอปและใช้เข้า Microsoft 365 tenant ของลูกค้า บริษัทพบเหตุเมื่อ 14 ต.ค. 2569 และยังไม่ทราบว่าข้อมูลรับรองหลุดอย่างไร Huntress พบเกือบ 1,000 tenant มีการล็อกอินจาก IP ของผู้โจมตี สำเร็จ 300 แห่ง และพบการใช้แอป Teams ในทางมิชอบจริง รอบที่สองเล็ง 16 tenant ในภาคนโยบาย ความมั่นคง การค้า และแร่ธาตุสำคัญแต่ไม่สำเร็จ การปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ใน tenant

Microsoft เตือนแคมเปญฟิชชิงที่แจกตัวติดตั้งซอฟต์แวร์ RMM ชื่อ MSP360 โดยปลอมเป็นคำเชิญประชุม ไฟล์ PDF และหน้าอัปเดตซอฟต์แวร์ เมื่อรันตัวติดตั้ง MSP360 ที่ถูกกฎหมายแต่ตั้งชื่อหลอกลวง จะสร้างการเข้าถึงระยะไกลและใช้เป็นหัวสะพาน จากนั้นดาวน์โหลดและติดตั้ง ConnectWise ScreenConnect เพิ่มเป็นช่องทางสำรอง การใช้ RMM สองตัวช่วยให้ผู้โจมตีกลมกลืนกับงานดูแลระบบปกติและคงการเข้าถึงไว้ได้ ตรวจพบครั้งแรกเมื่อเดือนกรกฎาคม 2026 ยังไม่ระบุตัวผู้อยู่เบื้องหลัง

บริษัท Huntress เปิดเผยกิจกรรมที่มีพฤติกรรมคล้าย worm ซึ่งอาศัย ConnectWise ScreenConnect กระจายห่วงโซ่ VBScript สี่ขั้นไปยังเครื่องที่เชื่อมต่อเข้ามาใหม่ พบสามเหตุการณ์ที่ไม่เกี่ยวข้องกันในเดือนสิงหาคม 2569 ใช้ช่องทางเข้าถึงต่างกันทั้งสแกมหลอกให้เปิด Quick Assist ตัวติดตั้ง MSI จากฟิชชิง และแบบฟอร์มคืนเงิน Geek Squad ปลอม สคริปต์จะสำรวจเครื่องแล้วเลือกเพย์โหลดตามค่าสถานะสามบิต ตั้งแต่แบ็กดอร์ระดับผู้ใช้ไปจนถึงการยกสิทธิ์และโปรแกรมขุดเหรียญ