Jüngste Sicherheitsuntersuchungen haben gezeigt, dass die mit China verbundene Cyber-Bedrohungsgruppe namens Storm-0940 das KI-gestützte Framework für Penetrationstests mit agentischer Künstlicher Intelligenz namens ARTEX verwendet hat, um groß angelegte Angriffe durchzuführen, die Hunderte von Organisationen weltweit in verschiedenen Industriezweigen ins Visier nahmen. Diese automatisierten Angriffe führten in mehreren Fällen dazu, dass die Angreifer privilegierte Zugriffsrechte auf die Cloud-Infrastruktur der Opfer erlangten, wobei die Zeitspanne von der ersten Zielerfassung bis zum Erhalt privilegierter Zugriffsrechte in einigen Fällen nur drei Stunden betrug.
Technische Daten verdeutlichten, dass die schädliche Aktivität direkt mit dem kürzlich bekannt gegebenen Vorfall zur Kompromittierung der Multitenant-Anwendungslieferkette von ConnectWise zusammenhängt. Diese Entwicklungen zeigen, wie Bedrohungsgruppen damit beginnen, agentische KI-Systeme in herkömmliche Arbeitsabläufe der offensiven Sicherheit zu integrieren, um ihre Operationen massiv zu skalieren und menschliche Beschränkungen durch kontinuierlichen Betrieb rund um die Uhr sowie den gleichzeitigen Angriff auf mehrere Pfade zu überwinden.
Angriffsmechanismus und Ausführungsgeschwindigkeit durch das ARTEX-Framework
Das ARTEX-Framework ist ein System mit mehreren Agenten, das auf großen Sprachmodellen basiert und in Go mit einer auf Next.js basierenden Benutzeroberfläche geschrieben ist. Es kann einen vollständig autonomen Penetrationstest von der Aufklärungsphase bis zur Datenextraktion ohne nennenswerten menschlichen Eingriff durchführen. Beim ConnectWise-Vorfall nutzte die Gruppe Storm-0940 dieses Framework, um Scans und Aufklärungen, Passwort-Spraying und die Enumeration von Anwendungen über die OAuth-API zu beschleunigen.
- Passwort-Spraying-Angriffe: Die Infrastruktur der Angreifer führte eine automatisierte Kampagne durch, die 327 Konten in 8 Organisationen ins Visier nahm, um auf Microsoft 365 und Exchange Online zuzugreifen, wobei Tausende fehlgeschlagene Authentifizierungsversuche mit Rekordraten von bis zu 2.900 Fehlschlägen pro Minute verzeichnet wurden.
- Ausnutzung von Anmeldeinformationen für Anwendungen: Nach der Übernahme mehrerer Cloud-Anwendungsidentitäten von ConnectWise verwendeten die KI-Agenten denselben IP-Adressbereich, um sich ohne menschliche Interaktion in den Umgebungen von Kunden zu authentifizieren.
- Nachfolgende Aktivitäten: Dies umfasste Aufklärungsmaßnahmen über Microsoft Graph und Änderungen an den Anmeldeinformationen von Anwendungen, um die Persistenz sicherzustellen sowie Rollen und privilegierte Berechtigungen zu ändern.
Was ändert sich praktisch für Unternehmen?
Diese Angriffe stellen einen qualitativen Wandel hinsichtlich der Geschwindigkeit und des Ausmaßes von Cyberbedrohungen dar; die Abhängigkeit von automatisierten Agenten verkürzt die den Verteidigern zur Verfügung stehende Zeit zur Erkennung, Reaktion und Abwehr des Angriffs im Vergleich zu herkömmlichen manuellen Methoden drastisch. Obwohl das bloße Vorhandensein der betroffenen Anwendung oder das Auftreten einer Authentifizierung nicht zwangsläufig das Durchsickern von Kundendaten bedeutet, können Änderungen an den Anmeldeinformationen von Diensten aktive Hintertüren hinterlassen, selbst nachdem die ursprüngliche Anwendung behoben wurde.
Richtlinien zur Schadensbegrenzung und technischen Schutz
Sicherheitsbehörden empfahlen, sofortige Schritte zur Eindämmung der Risiken und zur Sicherung der betroffenen Infrastrukturen durch folgende Maßnahmen zu ergreifen:
- Die Verbindungen der betroffenen ConnectWise-Anwendungen so lange deaktiviert lassen, bis offizielle Anweisungen zur Wiederherstellung vom Anbieter vorliegen.
- Davon absehen, Unternehmenskundenanwendungen als erste Reaktion zu löschen, und sich stattdessen auf die Sicherung von Konfigurationsprotokollen und forensischen Beweisen konzentrieren.
- Dienstadministratoridentitäten und die vier mit dem Vorfall verbundenen Anwendungs-IDs in jedem Microsoft 365-Mandanten überprüfen.
- Microsoft Entra-Audit-Protokolle und Microsoft Purview-Protokolle auf ungewöhnliche Hinzufügungen von Anmeldeinformationen oder privilegierten Rollenberechtigungen überprüfen.