Microsoft: Storm-0940 nutzte KI-Agenten bei ConnectWise-Angriff

Die China-nahe Hackergruppe Storm-0940 hat laut Microsoft KI-Agenten eingesetzt, um in den Dienst ConnectWise Cloud Backup einzudringen und von dort auf Microsoft-365-Konten von Kunden zuzugreifen. Microsoft Threat Intelligence veröffentlichte seine Erkenntnisse am 21. Oktober, fünf Tage nachdem ConnectWise den Vorfall in einer Sicherheitsmitteilung bestätigt und das Sicherheitsunternehmen Huntress seine erste Analyse vorgelegt hatte, wie The Next Web berichtet.

So lief der Angriff ab

ConnectWise Cloud Backup, früher SkyKick, sichert für IT-Dienstleister die Microsoft-365-Daten ihrer Kunden. Der Dienst nutzt Anwendungen mit weitreichendem Zugriff auf Kundenkonten, weshalb deren App-Identitäten ein attraktiver Einstiegspunkt sind. Storm-0940 kompromittierte laut Microsoft mehrere dieser Identitäten, griff damit auf Kundenkonten zu und fügte teils neue Authentifizierungsschlüssel hinzu oder änderte Administratorrollen, um dauerhaft Zugriff zu behalten.

Die Gruppe setzte ARTEX ein, ein kostenloses Open-Source-Tool auf Basis von KI-Agenten, das mit verschiedenen Modellen läuft. Auch Sicherheitsteams können solche Werkzeuge nutzen, um eigene Systeme zu testen. Microsoft zufolge scannten die Agenten Netzwerke, versuchten Passwörter zu erraten und nutzten Anwendungsberechtigungen aus, bei geringer menschlicher Beteiligung. Welches KI-Modell zum Einsatz kam, nannte Microsoft nicht.

Storm-0940 versuchte, sich bei mehr als 2.250 Microsoft-365-Tenants anzumelden, mit bis zu 2.900 Versuchen pro Minute. Die meisten scheiterten, doch in einigen Fällen erlangte die Gruppe binnen drei Stunden weitreichenden Cloud-Zugriff. Sie ist laut Microsoft seit 2021 aktiv und zielt auf Verteidigung, Regierung, Recht, Energie und Halbleiterfertigung.

Folgen und Reaktion

Huntress bestätigte bis zum 16. Oktober Einbrüche bei 162 Tenants und fand später fast 1.000 Tenants mit Anmeldeversuchen, über 300 davon erfolgreich. ConnectWise deaktivierte am 17. Oktober sieben Anwendungsidentitäten und nahm Cloud Backup vom Netz. Zur Zuordnung durch Microsoft äußerte sich das Unternehmen öffentlich nicht; einem Sprecher zufolge gebe es gegenüber The Record keine Hinweise auf kompromittierte Backup-Daten.

Microsoft betont, die Ursache liege nicht in einer Schwachstelle der eigenen Systeme. Kunden sollen ConnectWise-Integrationen deaktiviert lassen, bis das Unternehmen die sichere Wiederherstellung bestätigt, und Anmeldeprotokolle mindestens ab dem 15. Oktober prüfen. ConnectWise stellt den Dienst seit dem 21. Oktober schrittweise wieder her und rechnet mit mehreren Tagen.