In Kürze:
- Eine mit dem chinesischen Staat verbundene Hackergruppe nutzte laut Microsoft das KI-Tool ARTEX für Angriffe auf Hunderte Organisationen weltweit.
- Über gestohlene Zugangsdaten von ConnectWise versuchten die Hacker, sich bei mehr als 2.250 Cloud-Umgebungen von Kunden anzumelden.
- ConnectWise empfiehlt, die betroffenen Anwendungsverbindungen deaktiviert zu lassen, bis Wiederherstellungsanweisungen vorliegen.
Eine mit dem chinesischen Staat verbundene Hackergruppe nutzte ein KI-Tool, um Cyberangriffe auf Hunderte Organisationen weltweit zu beschleunigen.
Dazu gehörte auch ein Angriff auf das US-Technologieunternehmen ConnectWise, wie Microsoft am 21. Oktober berichtete.
Angriff über das chinesische KI-Tool ARTEX
Microsoft führte einen Diebstahl von Anmeldedaten für die Cloud-Backup-Anwendung von ConnectWise auf die Gruppe „Storm-0940“ zurück. Diese Hackergruppe ist mit dem chinesischen Staat verbunden und wird von Microsoft seit 2021 beobachtet.
Die gestohlenen Zugangsdaten ermöglichten es den Angreifern, einzudringen. Betroffen sind Kunden, die Microsofts Cloud-Dienste nutzen und ConnectWise-Anwendungen bereits Zugriff auf ihre Umgebungen gewährt hatten.
Die Hacker setzten ARTEX ein, ein in China entwickeltes KI-Tool zur Sicherheitsprüfung. Damit automatisierten sie laut Microsoft Angriffe auf Regierungsbehörden, Rüstungsunternehmen, Finanzinstitute, Technologieunternehmen und andere Organisationen.
In mehreren Fällen gelang es der Gruppe binnen drei Stunden nach dem ersten Angriff, privilegierten Zugriff auf Cloud-Systeme der Einrichtungen und Organisationen zu erhalten.
ConnectWise bestätigt den Angriff
ConnectWise bestätigte am 26. Oktober gegenüber der englischsprachigen Ausgabe der Epoch Times den unbefugten Zugriff auf Anwendungsidentitäten im Zusammenhang mit seinem Cloud-Backup-Dienst. Der Dienst war früher bekannt unter dem Namen SkyKick.
Das Unternehmen gab an, die betroffenen Verbindungen deaktiviert zu haben. Der Cloud-Backup-Dienst sowie zwei integrierte Dienste – SaaS Security und Cloud Management – seien dadurch unterbrochen worden. Derzeit dauern die Ermittlungen und Korrekturmaßnahmen an.
Es gebe keine Anzeichen dafür, dass Backup-Daten der Kunden kompromittiert worden seien, sagte ConnectWise.
Die identifizierten kompromittierten Zugangsdaten und Identitäten seien mittlerweile bereinigt. Seit der Umsetzung dieser Maßnahmen habe das Unternehmen zudem keine erfolgreichen Bedrohungsaktivitäten in den von ihm überwachten Umgebungen beobachtet.
ConnectWise-CEO macht chinesische staatliche Hacker verantwortlich
Manny Rivelo, CEO von ConnectWise, sagte, die dem Unternehmen vorliegenden Beweise – darunter auch von Microsoft bereitgestellte Informationen – deuteten darauf hin, dass eine mit dem chinesischen Staat verbundene Gruppe für den Angriff verantwortlich sei.
„Staatliche Akteure nehmen zunehmend die Software-Lieferkette ins Visier, da eine einzige vertrauenswürdige Verbindung den Zugang zu vielen Organisationen ermöglichen kann“, sagte Rivelo in seinem Statement.
Rivelo warnte auch, dass die Sicherung der ConnectWise-Systeme nicht zwangsläufig zur Folge habe, dass bereits bestehende Zugriffe auf die Cloud-Umgebungen der Kunden unterbunden würden:
„Diese Maßnahmen beseitigen keine unbefugten Zugriffe, die möglicherweise bereits innerhalb einzelner Kunden etabliert wurden; diese erfordern eine separate Überprüfung.“
In einem Update vom 26. Oktober teilte ConnectWise mit, dass man sich weiterhin auf die schrittweise Wiederherstellung der Cloud-Backup-Dienste vorbereite.
Das Unternehmen erklärte, dass zunächst der Zugriff auf bestehende Backups ermöglicht werde, gefolgt von der vollständigen erneuten Registrierung für den Dienst. Es gab nicht an, ab wann Partner mit der Wiederherstellung von Daten beginnen könnten.
Das Unternehmen riet den Kunden, die betroffenen Anwendungsverbindungen deaktiviert zu lassen, bis sie Wiederherstellungsanweisungen erhalten, und ihre Microsoft-365-Umgebungen auf unbefugte Aktivitäten zu überprüfen.
Wie die KI-gestützten Angriffe funktionieren
ConnectWise stellt IT-Dienstleistern, die Computersysteme für andere Unternehmen verwalten, entsprechende Technologien zur Verfügung. Seine Cloud-Backup-Anwendungen sind autorisiert, auf die Microsoft-365-Umgebungen der Kunden zuzugreifen.
Durch den Zugriff auf die Anmeldedaten der Anwendungen konnten die Hacker Zugriffsversuche unternehmen, ohne dass Mitarbeiter sich anmelden oder neue Anfragen genehmigen mussten. Microsoft sagte, Storm-0940 habe ARTEX verwendet, um Scans, Passwortversuche und die Ausnutzung der den kompromittierten Anwendungen gewährten Berechtigungen zu automatisieren.
Die Gruppe versuchte, sich über die kompromittierten ConnectWise-Anwendungen bei mehr als 2.250 Cloud-Umgebungen von Kunden anzumelden. Diese Zahl bezieht sich auf Zugriffsversuche, nicht auf bestätigte Verstöße.
Bei mehreren Organisationen erlangten die Angreifer privilegierten Zugriff. Microsoft beobachtete, dass sie Cloud-Ressourcen untersuchten, Anmeldedaten für Anwendungen änderten und versuchten, Berechtigungen zu ändern.
Solche Änderungen könnten es Angreifern ermöglichen, den Zugriff auch dann aufrechtzuerhalten, wenn die ursprünglich kompromittierten Anmeldedaten deaktiviert wurden. Microsoft sagte, dass ein erfolgreicher Zugriff nicht zwangsläufig bedeute, dass Kundendaten gestohlen worden seien.
ARTEX sollte ursprünglich Sicherheitsexperten helfen
ARTEX wurde zuvor bei Angriffen auf südkoreanische Finanzinstitute und japanische Unternehmen identifiziert. Japanische Ermittler fanden ARTEX auf sechs Servern im Ausland, die etwa 80 Unternehmen ins Visier nahmen. Microsoft ordnete diese früheren Angriffe nicht Storm-0940 zu.
ARTEX wurde ursprünglich entwickelt, um Sicherheitsexperten zu helfen, Computersysteme auf Schwachstellen zu testen. Die Software nutzt KI, um Operationen zu planen, andere Tools zu steuern und mit minimalem menschlichem Eingriff verschiedene Wege in ein Netzwerk zu erschließen.
Microsoft erklärte, dass die Automatisierung es Storm-0940 ermöglichte, Operationen gleichzeitig durchzuführen und gestohlene Anmeldedaten mit hoher Geschwindigkeit auszunutzen. Und:
„Aufgrund des hohen Tempos der Aktivitäten bleibt den Verteidigern nur sehr wenig Zeit, auf diese Warnmeldungen zu reagieren.“
Obwohl die meisten Angriffsversuche scheiterten, gab Microsoft an, dass die Gruppe privilegierten Zugriff erlangt habe, der in vielen Organisationen fortbestehen könnte.
In einigen betroffenen Umgebungen haben Angreifer Anmeldeinformationen und Berechtigungen von Anwendungen verändert, was möglicherweise unbefugten Zugang ermöglichte, selbst nachdem die ursprünglich kompromittierte Anwendung gesichert wurde.
Reaktionen von Entwicklern und Unternehmen
Der Entwickler von ARTEX, der online unter dem Namen Autumn-27 bekannt ist, verurteilte den Missbrauch des Tools in einer öffentlichen Erklärung vom 8. Oktober und bestritt jegliche Beteiligung an den gemeldeten Angriffen. Der Entwickler kündigte an, dass das Projekt keine öffentlichen Updates und Wartungsunterstützung mehr erhalte und in den Closed-Source-Bereich übergehe.
Das chinesische Cybersicherheitsunternehmen ThreatBook gab am 16. Oktober bekannt, dass ARTEX ursprünglich als persönliches Projekt seines Produktleiters für RedAgents entstanden sei.
Das Unternehmen räumte ein, dass die Open-Source-Version in bedeutenden Sicherheitsvorfällen im Finanzsektor missbraucht worden sei und keine integrierten Sicherheitskontrollen besitze.
Microsoft bestätigte den Eingang einer Anfrage der Epoch Times, gab jedoch keinen weiteren Kommentar ab. ThreatBook reagierte nicht auf eine Bitte um Stellungnahme, auch der ARTEX-Entwickler reagierte nicht.
Dieser Artikel erschien im Original auf theepochtimes.com unter dem Titel „China-Linked Hackers Used AI Tool in Global Cyberattacks, Microsoft Says“. (deutsche Bearbeitung: ks)