:quality(90):no_upscale()){kind=logo}
KI- Durch einen gezielten Angriff auf die Lieferkette wurde in weniger als drei Stunden privilegierter Zugriff auf die Cloud erlangt
STATUS: Kampagne zur Lieferkette von Nationalstaaten SCHWERWIEGENDKEIT: 8/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
6. November 2026
·Blog
·Sichere Kommunikation
:quality(90):no_upscale())
Microsoft führt den Angriff auf ConnectWise Cloud Backup auf „Storm-0940“ zurück, einen mit dem chinesischen Staat verbundenen Akteur, der das agentenbasierte Penetrationstest-Framework „ARTEX“ ( KI ) gegen Hunderte von Organisationen aus verschiedenen Sektoren einsetzte, darunter Regierung, Militär, Luft- und Raumfahrt sowie Verteidigung und Energie. Unter Verwendung gestohlener Anmeldedaten versuchten die Agenten, sich bei mehr als 2.250 nachgelagerten Microsoft 365-Mandanten anzumelden, und erlangten in mehreren Fällen weniger als drei Stunden nach dem ersten Angriff privilegierten Cloud-Zugriff. Diese Geschwindigkeit lässt den Verteidigern kaum Zeit, eine Reaktion zu koordinieren.
Was ist passiert?
Agenten, die rund um die Uhr im Einsatz sind, haben den Weg von der Zielauswahl bis zum privilegierten Zugriff auf weniger als drei Stunden verkürzt.
Am 21. Oktober führte Microsoft den kürzlich bekannt gewordenen Angriff auf die Lieferkette von ConnectWise auf „Storm-0940“ zurück, einen seit 2021 aktiven, mit dem chinesischen Staat verbundenen Akteur, der Organisationen aus verschiedenen Branchen ins Visier nimmt, um Daten zu stehlen. Seit mindestens September setzt der Akteur „ARTEX“ ein, ein Open-Source-Multi-Agenten-System, das einen autonomen Penetrationstest von der Aufklärung bis zur Datenexfiltration durchführt, und hat damit weltweit Hunderte von Organisationen angegriffen. Zu den betroffenen Branchen zählen Luft- und Raumfahrt sowie Verteidigung, Energie, Finanzdienstleistungen, Behörden und das Militär.1
ConnectWise gab am 16. Oktober einen unbefugten Zugriff im Zusammenhang mit Cloud Backup bekannt. Der Angreifer verschaffte sich Zugriff auf mehrere Identitäten der ConnectWise-Cloud-Anwendung und nutzte diese, um sich in den Microsoft 365-Umgebungen der Kunden als diese Anwendungen zu authentifizieren, ohne dass eine interaktive Benutzeranmeldung erforderlich war. Die Angreifer versuchten, sich bei mehr als 2.250 Mandanten anzumelden; laut Microsoft blieben die meisten dieser Versuche jedoch erfolglos. In einigen Umgebungen führten sie anschließend Operationen in Microsoft Graph und im Verzeichnis durch, darunter Änderungen an Anwendungszugangsdaten sowie Änderungen an Identitäten, Gruppen und privilegierten Rollen.1
Die Daten von Microsoft verdeutlichen das Tempo. In einer „Password-Spray“-Phase vom 10. bis 14. Oktober erzeugte dieselbe Infrastruktur mehr als 151.000 fehlgeschlagene Anmeldeversuche bei 327 Konten in acht Organisationen, wobei die Spitzenwerte bei 2.900 Fehlversuchen pro Minute lagen – ohne eine einzige erfolgreiche Authentifizierung. Die Zahlen von Microsoft für die nachgelagerte Phase zeigen über 200 Anmeldungen in weniger als vier Minuten unter Verwendung von vier Anmeldedaten sowie in mehreren Fällen privilegierten Zugriff weniger als drei Stunden nach dem ersten Angriff.1
Das Risiko der Persistenz besteht weiterhin. Microsoft erklärt, dass die von den Agenten des Angreifers vorgenommenen Änderungen an den Anmeldedaten über andere Identitäten, Anmeldedaten und Cloud-Dienste hinweg fortbestehen und auch nach der Behebung der ursprünglich kompromittierten Anwendung als Hintertür erhalten bleiben können. Microsoft hat zudem beobachtet, dass geheime Daten in großem Umfang über mehrere Azure Key Vaults hinweg ausgelesen wurden.1
Die Eindämmungsrichtlinien von Microsoft sehen vor, dass Unternehmen die betroffenen ConnectWise-Anwendungsverbindungen deaktiviert lassen, Konfigurationen und Beweismaterial sichern, bevor sie irreversible Änderungen vornehmen, jeden Mandanten überprüfen, auf dem die Anwendungen installiert oder autorisiert wurden, und die Anmelde- und Audit-Protokolle mindestens ab dem 15. Oktober überprüfen. Microsoft weist außerdem darauf hin, dass die Geschwindigkeit der von „ KI “ gesteuerten Aktivitäten den Sicherheitsverantwortlichen nur wenig Zeit lässt, auf Warnmeldungen zu reagieren und den Zugriff des Angreifers auf koordinierte Weise zu unterbinden.1 Diese Empfehlungen müssen von einem Team umgesetzt werden, dessen eigene Microsoft 365-Umgebung – einschließlich E-Mail und Teams – Gegenstand der Untersuchung ist.
Was sie herausgefunden haben und was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
Storm-0940 nutzte ARTEX-Agenten, um sich bei mehr als 2.250 Mandanten anzumelden, und erlangte in mehreren Fällen innerhalb von weniger als drei Stunden privilegierten Zugriff auf die Cloud. | Agentic KI verkürzt den Weg vom Targeting bis zur Kompromittierung auf einen Zeitraum, der kürzer ist, als es die meisten Incident-Response-Prozesse annehmen. | Warnmeldungen werden möglicherweise erst ausgelöst, wenn bereits privilegierter Zugriff besteht, sodass die Reaktion erst beginnt, wenn der Angreifer bereits in Position ist. | Wie viele Unternehmen verfügen über einen Reaktionsprozess, mit dem sich ein Cloud-Sicherheitsvorfall innerhalb weniger Stunden eindämmen lässt – auch außerhalb der Geschäftszeiten? |
Der Akteur authentifizierte Anwendungen als vertrauenswürdige Anbieter, die die Kunden bereits ohne interaktive Benutzeranmeldung autorisiert hatten. | Kontrollen, die auf der Benutzeranmeldung basieren, einschließlich der Multi-Faktor-Authentifizierung (MFA), erfordern keinen weiteren Schritt. | Das Risiko hängt davon ab, welche Anwendungen von Drittanbietern privilegierten Zugriff auf einen Mandanten haben – unabhängig davon, wie gut die Benutzer geschützt sind. | Wie viele Unternehmen können alle Anwendungen von Drittanbietern auflisten, die über privilegierten Zugriff auf ihren Mandanten verfügen, sowie die jeweiligen Berechtigungen dieser Anwendungen? |
Änderungen an den Anmeldeinformationen des Benutzers können auch nach der Behebung des ursprünglichen Sicherheitsproblems in der betroffenen Anwendung bestehen bleiben. Microsoft empfiehlt daher, Beweismaterial zu sichern, bevor irreversible Änderungen vorgenommen werden. | Die Eindämmung erfolgt in einer sorgfältig abgestimmten Abfolge von Schritten und läuft ab, während der Mandant für den Angreifer möglicherweise noch zugänglich ist. | Das Team, das die Eindämmungsmaßnahmen koordiniert, arbeitet innerhalb der untersuchten Umgebung, wobei auch seine eigenen E-Mail- und Chat-Systeme in den Untersuchungsumfang einbezogen sind. | Ist in den Notfallplänen festgelegt, wie das Team kommuniziert, wenn der Mandant, bei dem E-Mail und Chat gehostet werden, selbst Gegenstand einer Untersuchung ist? |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Ein Einsatzteam kann sich während eines Cloud-Angriffs über die üblichen E-Mail- und Chat-Kanäle der Organisation abstimmen. | Gemäß den Angaben von Microsoft fallen alle Mandanten, bei denen die betroffenen Anwendungen autorisiert waren, in den Geltungsbereich; der Angreifer hat in der Vergangenheit kompromittierte Anwendungen genutzt, um über Microsoft Graph auf E-Mails zuzugreifen und diese zu entwenden. | BlackBerry® AtHoc® wurde entwickelt, um Mitarbeiter über mobile Geräte und Telefone außerhalb des internen E-Mail-Systems und Netzwerks der Organisation zu erreichen, sodass die Koordination auch während der laufenden Untersuchung des Mandanten fortgesetzt werden kann. |
Das Deaktivieren einer kompromittierten Integration ist ein schneller, in sich abgeschlossener Schritt. | Zur Eindämmung gehören die Deaktivierung der Anwendungen, die Sicherung von Beweismitteln, die Überprüfung der Protokolle seit mindestens dem 15. Oktober sowie die Abwägung der Auswirkungen auf die Backup- und Wiederherstellungsabläufe, oft über viele Mandanten und Teams hinweg. | BlackBerry AtHoc kann diesen Ablauf team- und regionenübergreifend koordinieren und den Empfang bestätigen. BlackBerry® SecuSUITE® bietet Einsatzkräften einen sicheren Kanal für sensible Entscheidungen. |
MFA und Benutzerschutzmaßnahmen decken die Zugriffspfade zu einem Microsoft 365-Mandanten ab. | Bei der rein app-basierten Authentifizierung über eine bereits autorisierte Anbieter-App ist keine interaktive Anmeldung des Benutzers erforderlich, damit diese Schutzmaßnahmen greifen können. | BlackBerry AtHoc und die BlackBerry- SecuSUITE en befassen sich mit der Reaktionsphase, da die Steuerung der Anwendungsberechtigungen von Anbietern eine Identitätsfunktion ist, die außerhalb dieser Produkte liegt. |
Empfohlene Maßnahmen
SOFORT | Ermitteln Sie alle Mandanten, bei denen die betroffenen ConnectWise-Anwendungen installiert oder autorisiert sind oder waren, wobei Sie nach der Anwendungs-ID und nicht nach dem Anzeigenamen suchen, und lassen Sie diese Verbindungen deaktiviert, bis ConnectWise Anweisungen zur Wiederherstellung bereitstellt. |
SOFORT | Bewahren Sie die Anmelde- und Prüfprotokolle von Entra sowie die Microsoft 365-Prüfdaten auf, bevor Sie unwiderrufliche Änderungen vornehmen, und überprüfen Sie die Anmeldungen von Dienstprinzipalen sowie Änderungen an Anmeldeinformationen, Rollen und Berechtigungen mindestens ab dem 15. Oktober. |
KURZFRISTIG | Erfassen Sie Anwendungen von Drittanbietern, die über privilegierten Zugriff auf Ihre Mandanten verfügen, wenden Sie das Prinzip der geringsten Berechtigungen auf deren Berechtigungen an und überwachen Sie das Hinzufügen von Anmeldedaten sowie die Vergabe von Berechtigungen. |
KURZFRISTIG | Legen Sie fest, wie das Einsatzteam kommunizieren und Entscheidungen treffen soll, falls der Provider, bei dem E-Mail und Chat gehostet werden, Gegenstand einer Untersuchung ist, und testen Sie diesen Kommunikationskanal. |
LAUFEND | Planen Sie Reaktionsfristen unter Berücksichtigung von Angriffen mit maschineller Geschwindigkeit ein, da Microsoft berichtet, dass privilegierter Zugriff in weniger als drei Stunden erlangt werden kann. |
BlackBerry-Position
Der Bericht von Microsoft beschreibt einen Angriff, bei dem es vor allem auf die Geschwindigkeit ankommt: Agenten, die rund um die Uhr im Einsatz waren, gelang es innerhalb weniger Stunden, über eine Anbieteranwendung, der die Kunden bereits vertraut hatten, von der Zielauswahl zum privilegierten Zugriff zu gelangen. Den Verteidigern bleibt nur wenig Zeit, und die Aufgabe, den Angriff einzudämmen, fällt einem Team zu, dessen eigener Mandant Teil der Untersuchung ist. Unternehmen, die auf diesen Fall vorbereitet sind und über einen Koordinationskanal außerhalb der untersuchten Umgebung verfügen, können die Gegenmaßnahmen durchführen, ohne auf die Systeme angewiesen zu sein, in denen sich der Angreifer möglicherweise bereits befindet.
Quellenangaben:
1. Microsoft Threat Intelligence und Microsoft Security Research: Eine von „ KI “ gesteuerte, groß angelegte staatlich geförderte Kampagne unter Einsatz von ARTEX ermöglicht die Kompromittierung der Lieferkette, (Microsoft Security Blog, 21. Oktober 2026, aktualisiert am 26. Oktober 2026).
:quality(90):no_upscale())