Microsoft: China-nahe Hacker griffen mit KI-Agenten über 2.250 Microsoft-365-Mandanten an
Microsoft schreibt den Angriff über den IT-Dienstleister ConnectWise der Gruppe Storm-0940 zu. Sie nutzte das KI-Werkzeug ARTEX – teils lagen weniger als drei Stunden bis zu privilegiertem Zugriff.
Grafik: TERRA WORLD NEWS (eigene Darstellung nach den genannten Quellen)
Microsoft macht die mit dem chinesischen Staat verbundene Gruppe Storm-0940 für den jüngsten Lieferkettenangriff auf Kunden des IT-Dienstleisters ConnectWise verantwortlich. Die Angreifer setzten nach Microsofts Analyse ARTEX ein, ein quelloffenes Penetrationstest-Werkzeug, in dem mehrere KI-Agenten auf Basis großer Sprachmodelle Angriffe weitgehend selbstständig von der Erkundung bis zum Datenabfluss ausführen. Storm-0940 soll das Werkzeug seit Anfang September gegen Hunderte Organisationen genutzt haben.
Nachdem die Angreifer Identitäten mehrerer ConnectWise-Cloud-Anwendungen übernommen hatten, nutzten sie deren bestehendes Vertrauen, um sich bei Kundenumgebungen anzumelden – ohne interaktive Benutzeranmeldung. Laut Microsoft erreichten die KI-gesteuerten Anmeldeversuche mehr als 2.250 Microsoft-365-Mandanten mit bis zu 2.900 Versuchen pro Minute, „ein Tempo, das Verteidigern wenig Zeit zum Erkennen und Reagieren lässt“. In einigen Fällen vergingen weniger als drei Stunden bis zu privilegiertem Zugriff auf Cloud-Infrastruktur.
Die meisten Versuche scheiterten; wie viele Kunden tatsächlich kompromittiert wurden, sagte Microsoft nicht. Betroffen waren unter anderem Luft- und Raumfahrt, Energie, Finanzdienstleister, Behörden und die Halbleiterbranche. Die Aktivität beruhe nicht auf einer Schwachstelle in Microsoft-Produkten, so der Konzern. ConnectWise hatte seine Dienste vorübergehend abgeschaltet und stellt sie schrittweise wieder her.