China-nahe Hacker nutzen ARTEX-KI-Agenten bei ConnectWise-Lieferkettenangriff

Was passiert ist

Microsoft hat am Mittwoch offengelegt, dass ein China-nahes staatliches Akteursteam namens Storm-0940 hinter der kürzlichen Lieferkettenkompromittierung der Anwendung ConnectWise Cloud Backup steckt. China-nahe Hacker nutzen ARTEX-KI-Agenten bei ConnectWise-Lieferkettenangriff Ravie Lakshmanan 22. Okt. 2026 Lieferkettenangriff / Cloud-Sicherheit Microsoft hat am Mittwoch offengelegt, dass ein China-nahes staatliches Akteursteam namens Storm-0940 hinter der kürzlichen Lieferkettenkompromittierung der Anwendung ConnectWise Cloud Backup steckt. Microsoft ist ein Software- und Softwareentwicklungsunternehmen mit Sitz in Redmond.

Während des Vorfalls nutzte Storm-0940 ARTEX, ein auf Go basierendes agentisches KI-Framework für Penetrationstests, das nach dessen Missbrauch gegen südkoreanische Finanzinstitute quelloffen eingestellt wurde, um Scans und Aufklärung, Password Spraying und den Missbrauch von OAuth-Anwendungen bei nachgelagerten Opfern zu beschleunigen. "KI-beschleunigte Folgeaktivitäten umfassten Aufklärung, Änderungen von Anwendungsanmeldedaten und Versuche, Berechtigungen zu ändern, die einen erweiterten oder dauerhaften Zugriff ermöglichen könnten."

Es wurde außerdem beobachtet, dass der Akteur sich Persistenz verschafft, indem er Zugangsdaten zu bestehenden OAuth-Anwendungen innerhalb von Cloud-Infrastrukturen hinzufügt, um den Zugriff auf Microsoft-365-Ressourcen sicherzustellen. Der Technologiekonzern erklärte, der Bedrohungsakteur habe das KI-Werkzeug mit "Maschinengeschwindigkeit" eingesetzt, um Angriffe auf Hunderte Organisationen weltweit aus einem breiten Spektrum von Branchen zu automatisieren, seit September 2026.

Zu den Zielen gehören Luft- und Raumfahrt sowie Verteidigung, Automobilindustrie, Chemie, Energie, Finanzdienstleistungen, öffentliche Verwaltung, Rechtswesen, Fertigung, Medien, Militär, Halbleiter, Software, Technologie sowie Denkfabriken und Non-Profit-Organisationen. "Storm-0940s Einsatz von ARTEX beschleunigte den Missbrauch kompromittierter Anwendungen, um sich über bereits freigegebene Anwendungen in Zielumgebungen zu authentifizieren, sodass der Bedrohungsakteur ohne interaktive Benutzeranmeldung operieren konnte", so Microsoft.