Microsoft beschreibt den Hochgeschwindigkeits-Cyberangriff, der der Storm-0940-Gruppe zugeschrieben wird und zielte auf die Cloud-Umgebungen seiner Kunden ab. Diese Storm-0940-Gruppe ist mit China verbunden.

Der Angriff nutzte ein Open-Source-KI-Framework, um Einbrüche im industriellen Maßstab zu automatisieren, und nutzte dabei eine Schwachstelle im Zusammenhang mit ConnectWise aus.

Die KI vervielfachte die Kraft des Angriffs

Die seit mindestens 2021 aktive Storm-0940-Gruppe ist ARTEX beigetreten ab September in seinem Arsenal. Dieses Tool, ein Penetrationstest-Framework, nutzt KI-Agenten, um den gesamten Prozess zu automatisieren, von der Aufklärung über die Datenexfiltration bis hin zu Angriffen auf Anmeldeinformationen.

Für Microsoft ermöglichte diese Technologie Angreifern, exponentiell vorzugehen und sich von menschlichen Zwängen zu befreien. In einigen Fällen gelang es den Angreifern in weniger als drei Stunden, vom ersten Angriffsziel zum privilegierten Cloud-Zugriff zu gelangen.

Der Angriff begann mit dem Zugriff auf kompromittierte ConnectWise-App-Anmeldedaten und erreichte seinen Höhepunkt bei 2.900 Anmeldeversuchen pro Minute..

Was war der Einstiegspunkt?

Das Einfallstor für diesen Angriff war die ConnectWise Cloud Backup-Anwendung. Durch die Kompromittierung der Anmeldeinformationen dieser Anwendung konnten die Angreifer von Storm-0940 Berechtigungen ausnutzen, die Clients dem Dienst bereits gewährt hatten.

Mit dieser Methode konnten sie Authentifizierungen umgehen interaktiv, da die Anwendung bereits über vertrauenswürdigen Zugriff auf Microsoft 365-Umgebungen verfügte.

Insgesamt mehr als 2.250 Microsoft 365-Mieter (dedizierte und isolierte Cloud-Instanzen einer Organisation) wurden ins Visier genommen. Während Microsoft angibt, dass die meisten Versuche fehlschlugen, änderten die Agenten im Inneren der KI Bezeichner und Administratorrollen, um Hintertüren zu erstellen.

Gibt es Lehren für die Cybersicherheit?

Dieser Vorfall verdeutlicht eine kritische Sicherheitslücke in Cloud-Ökosystemen: das implizite Vertrauen in Anwendungen von Drittanbietern. Darüber hinaus machen Tools wie ARTEX, die ursprünglich für die Forschung entwickelt wurden und als Open Source verfügbar sind, Funktionen, die früher Elitegruppen vorbehalten waren, für jedermann zugänglich.