KI-gesteuerte, groß angelegte staatliche Kampagne mit ARTEX ermöglicht Kompromittierung der Lieferkette | Microsoft Security Blog

Als frühestes Datum im September 2026 nutzte Storm-0940, ein mit China verbundener Akteur, das agentenbasierte KI-Penetrationstest-Framework ARTEX, um Angriffe auf Hunderte von Organisationen weltweit in einer breiten Palette von Branchen zu automatisieren. Mehrere dieser von ARTEX gesteuerten Angriffe von Storm-0940 führten dazu, dass der Akteur privilegierten Zugriff auf die Cloud-Infrastruktur einer Organisation erlangte – in mehreren Fällen mit einer Zeitspanne von weniger als 3 Stunden vom ersten Zielen bis zum privilegierten Zugriff. Microsoft geht davon aus, dass Storm-0940 für die kürzlich bekannt gewordene Kompromittierung der Lieferkette von ConnectWise, einer Multi-Tenant-Anwendung, verantwortlich war.

Details

Diese Aktivität zeigt, wie Bedrohungsakteure agentenbasierte KI in bestehende offensive Sicherheits-Workflows integrieren und ihre Operationen exponentiell skalieren können. Agenten sind nicht durch Faktoren eingeschränkt, die Menschen betreffen – sie können rund um die Uhr, an Wochenenden und Feiertagen arbeiten und mehrere Angriffswege gleichzeitig versuchen, was die Zeit vom Auswählen eines Ziels bis zum Erreichen von Zielen erheblich verkürzt und die Geschwindigkeit und Auswirkung komplexer Angriffe wie Lieferkettenkompromittierungen erhöht.

Kontext

Die Nutzung von ARTEX durch Storm-0940 beschleunigte den Missbrauch kompromittierter Anwendungen zur Authentifizierung in Microsoft 365-Kundenumgebungen durch Anwendungen, denen bereits Zugriff gewährt worden war. Dies ermöglichte dem Bedrohungsakteur, ohne interaktive Benutzeranmeldung zu agieren. In mehreren betroffenen Umgebungen beobachtete Microsoft KI-beschleunigte Folgeaktivitäten über Microsoft Graph, einschließlich Aufklärung, Änderungen von Anwendungsanmeldeinformationen und Versuche, Berechtigungen zu ändern, die einen erweiterten oder persistenten Zugriff ermöglichen könnten.

Auswirkungen

Die vom Bedrohungsakteur durch die Nutzung des ARTEX-Frameworks durchgeführte Aktivität resultierte nicht aus einer Kompromittierung oder einer Schwachstelle in Microsoft-Unternehmenssystemen, Produkten oder Dienstleistungen. Obwohl Microsoft die von Storm-0940 initiierten Authentifizierungs- und Folgeaktivitäten in mehreren Kundenumgebungen identifizierte, bedeutet die Anwesenheit einer betroffenen Anwendung oder eine erfolgreiche Bedrohungsakteur-Authentifizierung nicht zwangsläufig, dass auf Kundendaten zugegriffen oder diese exfiltriert wurden.

Was kommt als Nächstes

Microsoft Defender XDR bietet Erkennungen und Jagdabfragen für verdächtige Microsoft Graph-Aktivitäten und Aktivitäten, die mit bekannter Bedrohungsinfrastruktur in Verbindung stehen. Kunden sollten Anmeldungen von Dienstprinzipalen überprüfen, unerwartete Änderungen von Anwendungsanmeldeinformationen oder Berechtigungen untersuchen und die von ConnectWise veröffentlichten Eindämmungsrichtlinien befolgen, während relevante Beweise für die Untersuchung aufbewahrt werden.

Hintergrund

Eine vollständige Liste der Erkennungen finden Sie im Abschnitt Erkennungen. Was passiert: Storm-0940 ist ein mit China verbundener Akteur ohne bekannte Branchen-Aliase, der seit 2021 aktiv ist und Organisationen in mehreren Branchen zum Datendiebstahl ins Visier nimmt. Der Akteur hat historisch den anfänglichen Zugriff durch Passwort-Spraying und die Ausnutzung von internetzugänglichen Anwendungen erlangt, bevor er kompromittierte Konten nutzte, um sich durch die Zielumgebungen zu bewegen.

Analyse

In Cloud-Umgebungen hat der Akteur auch Persistenz aufgebaut, indem er Anmeldeinformationen zu bestehenden OAuth-Anwendungen hinzugefügt hat, was einen fortgesetzten Zugriff auf Microsoft 365-Ressourcen ermöglicht. Der Akteur hat diese Anwendungen genutzt, um E-Mails und andere Daten über Microsoft Graph abzurufen und zu exfiltrieren. Bereits im September 2026 nutzte Storm-0940 das agentenbasierte KI-Penetrationstest-Framework ARTEX, um Angriffe auf Hunderte von Organisationen weltweit in einer breiten Palette von Branchen zu automatisieren.

Mehr

Dazu gehören Luft- und Raumfahrt und Verteidigung, Automobil, Chemie, Energie, Finanzdienstleistungen, Regierung, Recht, Fertigung, Medien, Militär, Halbleiter, Software, Technologie sowie Denkfabriken und gemeinnützige Organisationen. Während der Kompromittierung der Lieferkette von ConnectWise nutzte Storm-0940 ARTEX zur Beschleunigung von Scans und Aufklärung, Passwort-Spraying und Missbrauch von OAuth-Anwendungen bei nachgelagerten Opfern.