Ausnutzung von künstlicher Intelligenz bei Cyberangriffen
Microsoft hat berichtet, dass die als Storm-0940 bekannte chinesische Bedrohungsgruppe, die seit 2021 aktiv ist, das Open-Source-Penetrationstest-Framework Artex einsetzt, um Angriffskampagnen zu automatisieren, die Hunderte von Organisationen ins Visier nehmen. Dieser Übergang zur KI-gestützten Automatisierung hat es den Angreifern ermöglicht, Aufklärungsoperationen und Password-Spraying-Angriffe mit extrem hoher Geschwindigkeit durchzuführen.
Details zum Angriff auf ConnectWise
Mitte Oktober 2026 zielte die Gruppe auf die Arbeitsumgebungen von Kunden des Unternehmens ConnectWise ab, was das Unternehmen dazu veranlasste, kritische Dienste wie Cloud-Backups und Software-as-a-Service-Sicherheit (SaaS) auszusetzen. Technischen Beobachtungen zufolge nutzten die Angreifer kompromittierte Anmeldeinformationen, um Zugriff auf Hunderte von Mandanten in Microsoft 365 und Entra zu erlangen.
Daten zeigen, dass die Angreifer erfolgreich über 2.900 Anmeldeversuche pro Minute durchführten, wobei mehr als 151.000 Fehlversuche registriert wurden, gefolgt von erfolgreichen Authentifizierungsvorgängen, die Cloud-Anwendungsidentitäten von ConnectWise ausnutzten.
Was ändert sich in der Praxis?
Die Gefahr liegt darin, dass die KI-Agenten sich nicht auf den Authentifizierungsprozess beschränkten, sondern zu fortgeschrittenen Operationen innerhalb der Opferumgebungen übergingen, darunter:
- Durchführung von Aufklärungsoperationen innerhalb von Microsoft Graph.
- Änderung von Anmeldeinformationen für Anwendungen, um die Fortdauer des Zugriffs (Persistence) auch nach Behebung der ursprünglichen Schwachstellen sicherzustellen.
- Vornahme von Änderungen an Identitäten, Gruppen und Rollen mit hohen Berechtigungen.
Sicherheitsempfehlungen für Unternehmen
Microsoft warnt Unternehmen davor, Anmeldevorgänge von Dienstprinzipalen (Service Principals) sorgfältig zu überprüfen und diese mit nachfolgenden Aktivitäten innerhalb von Microsoft Graph sowie Änderungen im Active Directory zu verknüpfen. Sicherheitsteams müssen zwischen autorisierten administrativen Aktivitäten und verdächtigen Aktivitäten unterscheiden, die auf die Nutzung automatisierter Tools wie Artex hinweisen könnten.
Diese Angriffe unterstreichen einen wachsenden Trend bei fortgeschrittenen Bedrohungsgruppen (APTs), KI-Tools einzusetzen, um die Zeitspanne zwischen der Entdeckung einer Schwachstelle und der Durchführung eines Einbruchs zu verkürzen, was die Incident-Response-Teams zusätzlich unter Druck setzt.