Die Hackergruppe Storm-0940 führte eine großflächige Cyberangriffskampagne gegen über 2.250 Microsoft-365-Tenants durch. Die staatlich unterstützte chinesische Gruppe nutzte Anmeldedaten aus einem Sicherheitsleck bei ConnectWise Cloud Backup und das KI-gestützte Penetrationstesting-Framework ARTEX, das ursprünglich vom Entwickler Li Puhua auf GitHub veröffentlicht wurde. Die Angreifer konnten in mehreren Fällen innerhalb von weniger als drei Stunden privilegierte Cloud-Zugriffe erlangen und erreichten dabei Spitzenwerte von 2.900 Anmeldeversuchen pro Minute.
Die Multi-Faktor-Authentifizierung bot keinen Schutz, weil die Angreifer die vorautorisierte ConnectWise-Cloud-Backup-Anwendung mit umfassenden Berechtigungen nutzten. In etwa 50 Umgebungen vergaben sich die Angreifer Verzeichnisrollen, meist als Exchange-Administrator. ConnectWise-Chef Manny Rivelo bestätigte, dass die Verbindungen eingedämmt wurden und die Wiederherstellung am 21. Oktober begann. Das Unternehmen deaktivierte sieben Anwendungsidentitäten, widerrief Zertifikate und setzte alle betroffenen Konten und Anmeldedaten zurück.
Kernpunkte:
- Microsoft Threat Intelligence hat eine großangelegte Angriffskampagne gegen mehr als 2.250 Microsoft-365-Tenants der staatlich unterstützten chinesischen Gruppe Storm-0940 zugeordnet.
- Die Angreifer verwendeten Anmeldedaten aus einem ConnectWise-Cloud-Backup-Kompromiss.
- Die Angreifer nutzten das KI-gestützte Penetrationstesting-Framework ARTEX.
Quelle: Borns IT-Blog (Deutsch)