Microsoft Threat Intelligence hat eine großflächige Angriffskampagne auf mehr als 2.250 Tenants von Microsoft 365 der staatlich gesteuerten chinesischen Gruppe Storm-0940 zugeschrieben. Die Angreifer nutzten dabei Zugangsdaten, die aus einer Kompromittierung der Anwendung ConnectWise Cloud Backup stammen, sowie das auf künstliche Intelligenz gestützte Penetrationstest-Framework ARTEX.
Laut Microsoft verzeichnete die Kampagne Spitzenwerte von 2.900 Anmeldeversuchen pro Minute. In mehreren Fällen verschafften sich die Akteure in weniger als drei Stunden privilegierten Cloud-Zugriff.
KI-Werkzeug ARTEX im Fokus der Ermittlungen
Das eingesetzte Open-Source-Framework ARTEX stammt nach vorliegenden Daten aus dem GitHub-Account Autumn-27 des Entwicklers Li Puhua. Am 8. Oktober 2026 wurde das Repository auf Closed Source umgestellt. Das Werkzeug fand zudem bereits bei Angriffen auf südkoreanische Finanzsysteme Verwendung.
Sicherheitsanalysten von Zscaler stellten fest, dass ARTEX mit den Modellen DeepSeek, GLM und Grok konfiguriert sowie mit Claude Code, Codex, nmap, sqlmap und nuclei kombiniert war. Eingabebefehle zielten unter anderem auf persönliche Daten, Zahlungsdaten und deren Weiterverkauf ab, was auf finanzielle Motive hindeutet. Ein tatsächlicher Verkauf von Daten ist bisher nicht belegt.
Nach Angaben von Microsoft ist die Gruppe Storm-0940 seit 2021 aktiv und setzte ARTEX seit September 2026 weltweit gegen hunderte Organisationen für automatisierte Reconnaissance, Password Spraying sowie den Missbrauch von OAuth-Anwendungen ein. Zu den betroffenen Branchen zählen unter anderem Luft- und Raumfahrt, Verteidigung, Halbleiter, Finanzen, Energie, Automobilindustrie, Software, Medien sowie Regierungsstellen und Thinktanks.
Umgehung von Schutzmechanismen über Cloud-Identitäten
Die Multi-Faktor-Authentifizierung verhinderte die Übergriffe laut Microsoft nicht. Da die Angreifer die vorautorisierte Anwendung ConnectWise Cloud Backup mit weitreichenden Rechten wie Directory.ReadWrite.All nutzten, war kein interaktiver Login erforderlich.
Immer mehr Unternehmen werden weltweit Opfer hochkomplexer Cyberangriffe – diese Checkliste hilft Ihnen dabei, solche Szenarien proaktiv zu verhindern. Erfahren Sie im kostenlosen E-Book der Experten, wie Sie Ihre IT-Infrastruktur wirksam absichern, bevor Angreifer Lücken ausnutzen können. Gratis-Ratgeber für proaktive Cyber Security jetzt herunterladen
Eine vorgelagerte Password-Spraying-Kampagne lief vom 10. bis 14. Oktober 2026 über die IP-Adresse 144.172.64.99 gegen 327 Exchange-Online-Konten bei acht Organisationen. Sie verzeichnete über 151.000 Fehlversuche, blieb jedoch ohne erfolgreiche Anmeldung.
Ab dem 15. Oktober 2026 erfolgten Authentifizierungen über gestohlene ConnectWise-App-Identitäten von der IP-Adresse 144.172.64.128 zwischen 06:13 und 08:34 UTC.
In rund 50 Umgebungen wies sich die Gruppe selbst Verzeichnisrollen zu, meist als Exchange Administrator. In mindestens einem Fall eskalierten die Angreifer eine Cloud-Management-App zu Rechten eines Global Administrators und hinterlegten Hintertür-Schlüssel mit einer Laufzeit bis 2028.
Reaktionen und Gegenmaßnahmen
Der IT-Dienstleister Huntress bestätigte bis zum 16. Oktober um 19:00 UTC unautorisierte Anmeldungen in 162 Umgebungen. Später verzeichneten fast 1.000 Entra-Tenants entsprechende Aktivitäten, bei mehr als 300 gab es erfolgreiche Anmeldeversuche.
Die zunehmende Professionalisierung von Hacker-Gruppen erfordert neue Strategien, um die eigene Firma vor Datendiebstahl und Systemausfällen zu schützen. Dieser kostenlose Report klärt auf, wie Sie Sicherheitslücken schließen und gleichzeitig neue rechtliche Anforderungen an die IT-Sicherheit erfüllen. Zum kostenlosen Cyber-Security-Leitfaden für Unternehmen
Laut einem Inventar des Sicherheitsanbieters Inforcer vom 27. September 2026 war ConnectWise Cloud Backup zuvor in 3.790 Tenants bei 663 Managed Service Providern installiert. Nach einer Deaktivierung blieben Tokens bis zu 90 Minuten lang gültig.
ConnectWise deaktivierte am 17. Oktober um 07:00 UTC sieben Anwendungsidentitäten, widerrief Zertifikate und setzte zwei Tage später alle Konten und Zugangsdaten im betroffenen Bereich zurück. Zudem wurden Dienste wie Cloud Backup, SaaS Security und Cloud Management vorübergehend ausgesetzt.
ConnectWise-CEO Manny Rivelo erklärte, die Verbindungen seien eingedämmt und die Wiederherstellung laufe seit dem 21. Oktober in kontrollierten Phasen, dies beseitige aber keine bereits etablierten Zugriffe in Kundenumgebungen. Ein Sprecher des Unternehmens betonte, es gebe keine Hinweise auf kompromittierte Backup-Daten.
Microsoft wies darauf hin, dass keine Schwachstelle in eigenen Systemen vorliege und eine erfolgreiche Authentifizierung nicht zwingend einen Datenabfluss belege. Eine Sprecherin des chinesischen Außenministeriums bestritt Kenntnisse über die Kampagne; die chinesische Botschaft in Washington wies die Vorwürfe zurück und betonte, Hacking zu bekämpfen.