ARTEX KI: KI-Agenten im chinesischen Angriff auf ConnectWise

Am 21. Oktober hat Microsoft Threat Intelligence den Lieferkettenangriff auf ConnectWise der chinesischen, staatsnahen Gruppe Storm-0940 zugeordnet. Laut Microsoft führte die Gruppe den Angriff mit ARTEX AI durch, einem KI-Agenten-Framework für Penetrationstests, und versuchte, sich bei mehr als 2.250 Tenants von Microsoft 365 anzumelden.

Was ist eigentlich passiert?

ConnectWise liefert Software für IT-Dienstleister, die die Infrastruktur ihrer Kunden verwalten. Ziel war ConnectWise Cloud Backup (früher SkyKick), ein Backup-Dienst mit Berechtigungen für die Microsoft-365-Daten seiner Kunden.

Der Ablauf laut Microsoft:

1. Seit Anfang September 2026 setzt Storm-0940 ARTEX gegen Hunderte Organisationen weltweit ein.
2. 10.–14. Oktober: Von einer einzigen IP-Adresse läuft automatisiertes Password Spraying gegen 327 Konten in acht Organisationen, mit über 151.000 fehlgeschlagenen Anmeldungen und in der Spitze 2.900 Versuchen pro Minute. Diese Phase brachte keine einzige erfolgreiche Anmeldung.
3. 15. Oktober: Die Angreifer übernehmen die Identitäten mehrerer ConnectWise-Anwendungen und melden sich damit in Kundenumgebungen an, ganz ohne interaktive Benutzeranmeldung.
4. 16. Oktober: ConnectWise veröffentlicht eine erste Mitteilung und deaktiviert am 17. Oktober sieben Anwendungsidentitäten; Cloud Backup wird ausgesetzt.

Die beunruhigendste Zahl: In einigen Fällen vergingen von der Zielauswahl bis zum privilegierten Cloud-Zugriff weniger als 3 Stunden. Eine der ConnectWise-Anwendungen gab sich selbst die Rolle des Global Administrators.

Was ist ARTEX KI?

Kein Modell, sondern ein Agent-Harness für Penetrationstests: ein Multi-Agenten-System aus LLMs, geschrieben in Go, mit einer Oberfläche in Next.js, das jedes beliebige Modell nutzen kann. Laut Microsoft gehen die Agenten den ganzen Weg von der Aufklärung bis zur Datenexfiltration selbstständig und sammeln gefundene Ressourcen und Schwachstellen in einem Graphen.

Laut Zscaler ThreatLabz entstand ARTEX in China und wurde von einem Entwickler mit dem Pseudonym „Autumn-27“ auf GitHub veröffentlicht. Nachdem der Missbrauch bekannt wurde, schloss der Autor den Code, frühere Kopien und Forks könnten aber weiter im Umlauf sein.

Es ist nicht das erste Mal, dass ARTEX Schlagzeilen macht. Am 14. Oktober beschrieb Zscaler eine Kampagne gegen südkoreanische Finanzunternehmen, bei der personenbezogene Daten von rund 67.000 Menschen abflossen. Dort nutzte ARTEX vor allem DeepSeek v4.1-flash, GLM-5.3 und Grok dienten für zusätzliches Reasoning. Interessant: Der Angreifer fragte auch Claude Code, wie man die gestohlenen Daten verkauft und wo man koreanische Telegram-Kanäle findet.

Welches Modell Storm-0940 bei ConnectWise einsetzte, hat Microsoft nicht angegeben.

Was ist daran neu?

KI-Agenten in Angriffen haben wir schon beim KI-Hackerangriff Cairn gesehen, und KI half auch bei der Suche nach Lücken in PHP2Shell. Diesmal geht es jedoch um eine staatsnahe Gruppe, einen Lieferkettenangriff und ein ausdrücklich benanntes Agenten-Framework. Wie die Forscher von Microsoft schreiben, zeigt das, wie Angreifer „KI-Agenten in bestehende offensive Abläufe einbauen“ (im Original „integrating agentic AI into existing offensive security workflows“).

Microsoft nennt zwei Vorteile von Agenten: Sie arbeiten rund um die Uhr und können mehrere Einbruchswege gleichzeitig ausprobieren. Im Bericht heißt es knapp: „Agents are not constrained by factors affecting humans“.

Der Vollständigkeit halber: Die meisten Versuche scheiterten. Microsoft betont außerdem, dass eine Anmeldung der Anwendung nicht bedeuten muss, dass Kundendaten gelesen oder abgezogen wurden (im Original „does not necessarily indicate that customer data was accessed or exfiltrated“). Ein Sprecher von ConnectWise sagte The Record, nichts deute auf einen Abfluss von Backup-Daten hin.

Worauf sollten wir künftig achten?

Wer ConnectWise nutzt, dem empfiehlt Microsoft einige Schritte:

1. Verbindungen zu ConnectWise-Anwendungen deaktiviert lassen, bis ConnectWise offizielle Anweisungen zur Wiederherstellung veröffentlicht.
2. Anwendungen in allen Tenants über die Anwendungs-ID suchen, nicht über den Anzeigenamen.
3. Entra- und Purview-Logs sichern und die Aktivität mindestens ab dem 15. Oktober prüfen, Anmeldungen von Service Principals am besten ab dem 1. Oktober.
4. Neue Anmeldeinformationen, Rollen und Zustimmungen für die Anwendungen prüfen, denn von Angreifern hinzugefügte Anmeldeinformationen können auch nach dem Entfernen der ursprünglichen Anwendung als Hintertür dienen.

Die allgemeine Lehre gilt für alle: Drittanbieter-Anwendungen mit weitreichenden Berechtigungen in Microsoft 365 sind heute ein leichtes Ziel. Es lohnt sich, ihre Rechte auf das Minimum zu beschränken (und ab und zu nachzusehen, was überhaupt Zugriff auf unseren Tenant hat).

FAQ

Wer steckt hinter ARTEX KI?

Laut Zscaler entstand das Tool in China und wurde von einem Entwickler namens „Autumn-27“ auf GitHub veröffentlicht. Nachdem der Missbrauch bekannt wurde, wurde der Code geschlossen.

Ist ARTEX ein KI-Modell?

Nein. Es ist ein Framework, das mehrere Modelle steuert (z. B. DeepSeek, GLM, Grok) und Aufgaben zwischen ihnen verteilt wie in einem Pentester-Team.

Sind Backup-Daten von ConnectWise abgeflossen?

Bisher gibt es dafür keine Belege. ConnectWise fand keine Spuren eines Zugriffs auf die verschlüsselten Archive, räumt aber ein, nicht sehen zu können, was in den Tenants der Kunden passiert ist.

Wie viele Organisationen sind betroffen?

Microsoft spricht von Anmeldeversuchen bei über 2.250 Tenants. Laut The Next Web fand Huntress fast 1.000 Tenants mit Anmeldeversuchen, davon über 300 mit erfolgreichen.