Nach Darstellung von Microsoft nutzte der Akteur das KI-Werkzeug in „Maschinengeschwindigkeit", um seit September 2026 Angriffe auf Hunderte Organisationen weltweit zu automatisieren. Betroffen sind unter anderem Luft- und Raumfahrt sowie Verteidigung, Automobilindustrie, Chemie, Energie, Finanzdienstleistungen, Regierungsstellen, Rechtswesen, Fertigung, Medien, Militär, Halbleiterbranche, Software, Technologie sowie Denkfabriken und gemeinnützige Organisationen.
„Der Einsatz von ARTEX durch Storm-0940 beschleunigte den Missbrauch kompromittierter Anwendungen, um sich über bereits berechtigte Anwendungen in Zielumgebungen zu authentifizieren, wodurch der Akteur ohne interaktive Benutzeranmeldung agieren konnte", erklärte Microsoft. Die KI-beschleunigten Folgeaktivitäten umfassten demnach Aufklärung, Änderungen an Anwendungsanmeldeinformationen und Versuche, Berechtigungen zu verändern, um erweiterten oder dauerhaften Zugang zu erlangen.
Storm-0940 wurde von Microsoft erstmals im November 2024 beschrieben. Damals hieß es, die Gruppe nutze das Botnetz Quad7 (auch CovertNetwork-1658) für besonders schwer erkennbare Password-Spray-Angriffe. Der Akteur soll mindestens seit 2021 aktiv sein. Für den Erstzugang werden zudem aus dem Internet erreichbare Anwendungen ausgenutzt, anschließend bewegt sich die Gruppe mit kompromittierten Konten durch die Zielumgebungen. Beobachtet wurde auch, dass sie sich dauerhaft festsetzt, indem sie bestehenden OAuth-Anwendungen in Cloud-Infrastrukturen Anmeldeinformationen hinzufügt, um Zugriff auf Microsoft-365-Ressourcen zu behalten.
Ein erheblicher Teil der ARTEX-gestützten Angriffe führte laut Microsoft dazu, dass der Akteur privilegierten Zugriff auf die Cloud-Infrastruktur einer Organisation erhielt – in mehreren Fällen lagen zwischen erster Anvisierung und privilegiertem Zugriff weniger als drei Stunden.
Im Fall von ConnectWise versuchte Storm-0940 mit ARTEX, sich bei mehr als 2.250 Mandanten anzumelden, mit 2.900 Anmeldeversuchen pro Minute. Dieses Tempo lasse Verteidigern nur ein kurzes Zeitfenster zur Erkennung und Reaktion, so das Unternehmen.
„Zwischen dem 10. und 14. Oktober 2026 führte Storm-0940-Infrastruktur unter 144.172.64[.]99 eine automatisierte mandantenübergreifende Password-Spray-Kampagne gegen 327 Konten in acht Organisationen durch, um Zugang zu Microsoft 365 und Exchange Online zu erlangen", teilte Microsoft mit. In diesem Zeitraum erfasste das Unternehmen über 151.000 fehlgeschlagene Anmeldeereignisse. Den Höhepunkt erreichte die Aktivität am 11. Oktober mit 2.900 Fehlversuchen pro Minute und mehr als 111.000 Fehlschlägen an einem einzigen Tag. 48 Konten entfielen dabei jeweils mehr als 1.000 Fehlversuche. Eine erfolgreiche Authentifizierung, Tokenausgabe, Graph-Abfrage oder Verzeichnisänderung wurde in diesem Zeitraum nicht festgestellt.
Das änderte sich am 15. Oktober 2026: Die KI-Agenten erlangten Zugriff auf die Identitäten mehrerer ConnectWise-Cloud-Anwendungen und begannen, sich damit in Kundenumgebungen zu authentifizieren. „Nachdem die Agenten die Kontrolle über die Identitäten mehrerer ConnectWise-Cloud-Anwendungen erlangt hatten, nutzten die im Auftrag des Akteurs arbeitenden KI-Agenten weiterhin denselben IP-Bereich, um sich mit dem über diese gestohlenen Anwendungsanmeldeinformationen erlangten unrechtmäßigen Zugang bei Kundenumgebungen anzumelden – sie machten sich damit das bereits etablierte Vertrauen dieser Anwendungen innerhalb eines Mandanten zunutze", so Microsoft.
In einigen Fällen gingen die KI-Agenten den Einschätzungen zufolge über die Authentifizierung hinaus zu Microsoft-Graph- und Verzeichnisoperationen. Dazu zählten Aufklärung, Änderungen an Anwendungsanmeldeinformationen zur dauerhaften Verankerung sowie Änderungen an Identitäten, Gruppen und privilegierten Rollen. „Die von den mit Storm-0940 verbundenen Agenten vorgenommenen Änderungen an Anwendungsanmeldeinformationen in den Umgebungen der betroffenen Opfer können zu Persistenz über andere Identitäten, Anmeldeinformationen und Cloud-Dienste führen", erklärte Microsoft. Diese Änderungen könnten als Hintertür aktiv bleiben, selbst nachdem die ursprünglich kompromittierte Anwendung behandelt wurde.
Storm-0940 ist dabei nicht die einzige Gruppe, die auf ARTEX setzt: Microsoft beobachtete nach eigenen Angaben Akteure in mehreren geografischen Regionen, die das Framework in ihren Operationen einsetzen. „Agenten unterliegen nicht den Einschränkungen, die für Menschen gelten – sie können rund um die Uhr arbeiten, an Wochenenden und Feiertagen, und mehrere Angriffswege gleichzeitig verfolgen. Das verkürzt die Zeit von der Auswahl eines Ziels bis zum Erreichen der Ziele erheblich und erhöht Tempo und Wirkung komplexer Angriffe wie Lieferkettenkompromittierungen", so das Unternehmen.
ConnectWise erklärte zu den Erkenntnissen, die Aktivität „beschreibt eine Kampagne, die weit über ein einzelnes Unternehmen hinausreicht". Staatliche Akteure nähmen zunehmend die Software-Lieferkette ins Visier, „weil eine einzige vertrauenswürdige Verbindung die Tür zu vielen Organisationen öffnen kann". KI erlaube es ihnen nun, diese Verbindungen in „Maschinengeschwindigkeit" zu testen. MSPs stünden mitten in dieser Kette: Sie seien selbst Ziele und zugleich ein Weg zu jedem ihrer Kunden; jeder Anbieter und jeder MSP müsse sich mit Blick auf beide Risiken verteidigen.
ConnectWise hatte seine Dienste nach den Angriffen vorübergehend abgeschaltet und stellt sie nun schrittweise wieder her – ein Prozess, der nach Unternehmensangaben mehrere Tage dauern wird.