Microsoft verbindet Storm-0940 zum Supply-Chain-Betrieb in ConnectWise mit ARTEX

Microsoft hat bestätigt, dass eine Gruppe, die mit dem chinesischen Staat verbunden ist, an die es ruft Storm-0940, war für den Betrieb der Lieferkette verantwortlich, die die ConnectWise Cloud Backup-Anwendung beeinflusste. Nach Angaben des Unternehmens hat der Schauspieler einen künstlichen Intelligenz-Framework Agent namens ARTIKEL Automatisieren bei hohen Geschwindigkeitsaufgaben der Erkennung, Passwort-Scannen und Missbrauch von OAuth-Anwendungen und springen so schnell von der kompromittierten Anwendung auf die Umgebungen Ihrer Kunden. Diese Tatsachen, die von Microsoft verbreitet werden, stellen den Vorfall unter den klarsten Fällen, in denen Agentic AI-Tools beschleunigte Offensive-Operationen in Cloud-Umgebungen skaliert haben.

Die von Microsoft bestätigten Elemente umfassen: Storm-0940 nutzte ARTEX mit "Maschinengeschwindigkeit", um Hunderte von Organisationen seit September 2026 anzugreifen; dass in einem bestimmten Zeitraum (10-14. Oktober 2026) die Infrastruktur des Schauspielers generiert mehr als 151.000 gescheiterte Authentifizierungsversuche, mit einem Höhepunkt von 2.900 Fehlern pro Minute; und dass am 15. Oktober Agenten geschafft, die Identitäten von mehreren ConnectWise Cloud-Anwendungen zu kontrollieren und begann diese Identitäten zu verwenden. Microsoft hat auch spezifiziert, dass der Schauspieler in mehreren ARTEX-getriebenen Vorfällen einen privilegierten Zugang zur Cloud-Infrastruktur innerhalb weniger als drei Stunden nach Beginn des Angriffs erreichte. Das Unternehmen hat auch Storm-0940 mit anderen früheren Methoden verwandt, wie ein Botnet namens Quad7 / CovertNetwork-1658 verwendet in Passwort-Spray-Kampagnen.

Technisch gesehen, was passiert ist, kombiniert drei Vektoren, die heute besonders gefährlich sind: Betrieb der Lieferkette (Beauftragung mit delegierten Genehmigungen), extreme Automatisierung über KI-Agenten und Missbrauch von OAuth-Zulassungsmodellen. ARTEX, nach Microsoft, ist ein Go-Framework für Agenten-Operationen, die als öffentlicher Code nach früheren Missbrauch geschlossen wurde. In diesem Vorfall nutzte der Schauspieler, dass die verkauften Anträge (die Dienstidentitäten und ihre Anmeldeinformationen) bereits Vertrauen in die Mieter der Kunden hatten; durch Stehlen oder Controlling dieser Anmeldeinformationen könnte die Bedrohung Authentisierung ohne menschliche Interaktion und Betrieb mit den bereits erteilten Genehmigungen. Mit dieser Tür folgten die Aktionen mit der Anerkennung durch Microsoft Graphh, Änderungen der Bewerbungsdaten, um Beharrlichkeit und Änderungen auf privilegierten Identitäten, Gruppen und Rollen zu etablieren.

Wer beeinflusst das? Bestätigt: Managed Service Provider (MSP) und Hunderte von ConnectWise-Client-Organisationen in sehr unterschiedlichen Branchen (Luftlinien und Verteidigung, Automotive, Energie, Finanzen, Herstellung, Halbleiter, Software, NGOs, etc.). Im Allgemeinen zeigt das Angriffsmuster, dass jeder Anbieter mit delegierten Bewerbungsinformationen als Vektor dienen kann, um mehrere Kunden zu engagieren: die Kette ist so stark wie ihre schwächste Verbindung. Microsoft stellt auch fest, dass andere Bands mit der Integration von ARTEX in ihren Betrieb begonnen haben, was das Risiko ähnlicher Angriffe auf andere Anbieter und Cloud-Plattformen verstärkt.

Reale und konkrete Konsequenzen. Bestätigt und berichtet: Erschöpfung der Erkennungsfenster durch hohe Geschwindigkeit von Versuchen; in einigen Fällen Erwerb privilegierter Zugang und Einrichtung von Back-Türen durch Änderungen von Anmeldeinformationen und Rollen, die auch nach der Minderung der ursprünglichen kompromittierten Anwendung bestehen können. Angemessene Schätzung (nicht vollständig von Microsoft bestätigt): Die Kombination von KI + Anwendungen mit Privilegien kann die Wahrscheinlichkeit von Seitenbewegungen und Exfiltration in weniger Zeit als menschliche Prozesse zu reagieren nehmen, reduzieren die Wirksamkeit von traditionellen Kontrollen, die von manueller Analyse oder latenzgenerierten Warnungen abhängig sind. Noch unsichere Informationen: die genaue Anzahl der Kunden mit einem effektiven privilegierten Zugriff, die Erweiterung der ausgefilterten Daten und die tatsächliche Dauer der Hintertüren in betroffenen Umgebungen.

Was Organisationen und Nutzer jetzt tun sollten. Einige Maßnahmen sind unmittelbar defensiv und andere sind strategisch, die Exposition gegenüber solchen Angriffen in der Zukunft zu verringern. In praktischer und konkreter Reihenfolge: 1) Überprüfen und drehen Sie die Anmeldeinformationen von Drittanträgen- Client-Geheimnisse und Zertifikate von verdächtigen Apps zu widerrufen und neue administrative Berechtigungen zu erzwingen; 2) Überprüfung und Minimierung von Anwendungsgenehmigungen die administrative Zustimmung anstelle der delegierten Zustimmung, sofern möglich, 3) OAuth-Einwilligung und Anwendung Governance-Politik aktivieren(Kontrolle, welche Apps Genehmigungen in den Mietern erhalten können); 4) Implementieren Conditional Access und Block-Authentifizierung von IPs und Ranks mit dem Schauspieler Neben der Einschränkung des Zugangs zu Graph und anderen sensiblen APIs durch risikobasierte Richtlinien; 5) Überprüfen Sie Sign-in-Aufzeichnungen, Änderungen in Service-Aufzeichnungen und Microsoft Graphh-Betriebe mit Priorität und hält Protokolle außerhalb der festgelegten Umgebung; 6) Adopt PIM (Privileged Identity Management) Praktiken und regelmäßige Rollenüberprüfung Konten zu minimieren, die Privilegien erhöhen können; und 7) Bereiten Sie Playbooks auf Vorfälle vor, die sich auf den Missbrauch von OAuth-Anwendungen und die vollständige Beseitigung von engagierten Service-Prinzipien konzentrierten.

Für weitere technische Administratoren: Prüfen Sie alle Anwendungen und Service-Prinzips in Azure AD, suchen Sie nach aktuellen Änderungen an Geheimnissen oder Zertifikaten, entfernen Sie ungenutzte Genehmigungen und wenden Sie die Admin-Einwilligungsrichtlinie für Drittanbieter-Anwendungen an. Verwenden Sie Anomalie-Erkennung und Cloud-Anwendungsschutzlösungen wie Microsoft Defender für Cloud-Apps und konfigurieren Sie Echtzeit-Benachrichtigungen über Änderungen in Anmeldeinformationen und Rollenzuweisungen. Für MSP-Nutzer und Kunden: benötigen Transparenz und Minderungsgutscheine an Ihre Lieferanten und ändern Passwörter / kritische Anmeldeinformationen, wenn Ihr MSP die Belichtung bestätigt.

Nützliche Tools und öffentliche Ressourcen zur Umsetzung dieser Empfehlungen sind in der offiziellen Dokumentation von Microsoft über OAuth-Berechtigungen und Zustimmung und in der technischen Sicherheitsabdeckung von Microsoft verfügbar: https: / / learn.microsoft.com / azure / active-directory / entwickeln / v2-permissions-and-consent und https: / / www.microsoft.com / sicherheit / blog /. Es wird auch empfohlen, die Leitlinien für die Governance und das Management von Lieferanten und MSPs, die von nationalen Cyber-Sicherheitsorganisationen und internen Zugangskontrollen veröffentlicht werden, zu beachten.

Kurz gesagt, was Microsoft bestätigt hat, sind zwei konvergente Trends: die Ausbeutung des impliziten Vertrauens in Anwendungsidentitäten und die wachsende Integration von KI-Agenten in Angriffsketten, die mit Maschinengeschwindigkeit arbeiten. Während einige operative Details und der Gesamtumfang des Eingriffs noch geklärt werden sollen, ist die Unterrichtung für Sicherheitsausrüstung klar: Minimieren von Genehmigungen, Überwachung und Verwaltung delegierter Anwendungen und beschleunigen die Erkennung mit automatisierten Steuerungen sind wesentliche Schritte, um das Gelegenheitsfenster zu reduzieren, das Werkzeuge wie ARTEX den gut finanzierten Angreifern geben.