Microsoft beschreibt eine Kampagne, die das Unternehmen selbst als erste groß angelegte Attacke bezeichnet, bei der die eigentliche Hackerarbeit nicht von einem Menschen, sondern von einem autonomen KI-Agenten erledigt wurde. Dahinter steckt Storm-0940, eine mit China verbundene Gruppe, die seit 2021 weltweit Daten aus Unternehmen stiehlt.
Das Werkzeug heißt ARTEX, ein Multi-Agenten-System in Go mit einer Next.js-Oberfläche. Ursprünglich für legale Penetrationstests gedacht, arbeitet es nahezu ohne menschliches Zutun den gesamten Weg von der Aufklärung bis zum Datenabfluss ab. Die Entwickler schlossen den Quellcode, nachdem ARTEX bei Angriffen auf südkoreanische Finanzinstitute auftauchte. Storm-0940 ließ sich davon nicht abhalten.
Einstiegspunkt war eine Cloud-Backup-Anwendung von ConnectWise, die am 15. Oktober kompromittiert und einen Tag später öffentlich bekannt wurde. Mit gestohlenen Anwendungs-Zugangsdaten versuchten die Angreifer, sich bei mehr als 2250 Microsoft-365-Mandanten anzumelden – mit nur vier gestohlenen Zugangsdaten feuerte der Agent über 200 Anmeldeversuche in weniger als vier Minuten ab.
- über 151.000 fehlgeschlagene Anmeldeversuche zwischen dem 10. und 14. Oktober;
- Spitzenwert: 2900 Versuche pro Minute am 11. Oktober;
- 327 Konten in acht Organisationen betroffen;
- 48 Konten mit jeweils über 1000 Fehlversuchen.
Am meisten beunruhigt die Geschwindigkeit nach dem ersten Erfolg. In mehreren Fällen vergingen weniger als drei Stunden zwischen dem ersten Kontakt und dem privilegierten Zugriff auf die Cloud-Infrastruktur – ein Tempo, für das ein menschlicher Operator normalerweise Tage braucht. Microsoft betont, die Schwachstelle habe nicht in den eigenen Produkten gelegen, sondern in der Lieferkette eines Drittanbieters. Das Unternehmen hat bereits Erkennungsregeln für Defender XDR und Defender for Cloud Apps veröffentlicht und betroffenen Kunden Hinweise zur Eindämmung geschickt.
Der ARTEX-Fall zeigt die Kehrseite des Fortschritts bei KI-gestützter Sicherheitstechnik. Ein Werkzeug, das Verteidigern helfen sollte, Lücken vor Angreifern zu finden, zeigt gerade, was passiert, wenn es in die falschen Hände gerät – die Schließung des Quellcodes hat nicht verhindert, dass es genau dort auftaucht, wo seine Entwickler es am wenigsten wollten.
