Storm-0940 gebruikt agentisch AI-framework ARTEX voor grootschalige cloudinbraak
Onderzoekers van Microsoft Security Research en Microsoft Threat Intelligence hebben een grootschalige, door kunstmatige intelligentie aangestuurde cyberaanval aan het licht gebracht. Sinds september 2026 maakt de aan China gelieerde dreigingsactor Storm-0940 gebruik van het geavanceerde penetration testing-framework ARTEX. Met deze agentische AI-technologie automatiseert de groep zijn aanvalsworkflows, wat leidde tot de digitale compromittering van honderden organisaties wereldwijd in uiteenlopende sectoren zoals defensie, energie, financiële dienstverlening, overheid, technologie en de semi-conductorindustrie.
Het ARTEX-framework is een opensource multi-agentsysteem dat gebruikmaakt van grote taalmodellen om zelfstandig een penetratietest uit te voeren. Vanaf het eerste verkennend onderzoek tot het uiteindelijke ontvreemden van gegevens kunnen de AI-agenten vrijwel zonder menselijke tussenkomst werken. Door de inzet van agentische AI omzeilen cybercriminelen menselijke beperkingen: de systemen voeren dag en nacht op hoge snelheid aanvallen uit en testen meerdere inbraakpaden tegelijkertijd. In verschillende gevallen wist Storm-0940 binnen drie uur na de eerste targeting bevoorrechte toegang te krijgen tot de cloudinfrastructuur van een slachtoffer.
Een centraal onderdeel van de vastgestelde campagne betreft een supply chain-compromittering via ConnectWise. Storm-0940 misbruikte de gestolen authenticatiegegevens van een veelgebruikte multi-tenant applicatie voor cloudback-ups. Doordat deze applicatie door slachtoffers vooraf al vertrouwde toegang en hoge rechten tot hun Microsoft 365-omgevingen was verleend, kon de aanvaller authenticeren zonder dat een interactieve gebruikersinlog vereist was. Via Microsoft Graph voerden de AI-agenten vervolgens op geautomatiseerde wijze verkenningen uit, wijzigden ze applicatie-identiteiten en voegden ze bevoorrechte rollen toe om zo langdurige toegang tot de cloudomgevingen te verankeren.
Uit de meetgegevens van Microsoft blijkt dat het geautomatiseerde framework tot enorme pieken in netwerkverkeer leidt. Zo voerde de infrastructuur van Storm-0940 in oktober 2026 een geautomatiseerde wachtwoordspray-campagne uit op 327 accounts verdeeld over acht organisaties, wat resulteerde in meer dan 151.000 mislukte inlogpogingen met pieken tot 2.900 pogingen per minuut. Vervolgens probeerde de actor via ARTEX in te loggen bij meer dan 2.250 afzonderlijke omgevingen. Microsoft benadrukt dat de vastgestelde acties van Storm-0940 niet het gevolg zijn van een kwetsbaarheid in of inbreuk op de eigen bedrijfssystemen of diensten van Microsoft, en dat geslaagde authenticatie door een applicatie niet automatisch betekent dat er klantgegevens zijn ingezien of ontvreemd.
Om de dreiging in te dammen, adviseert Microsoft organisaties om getroffen ConnectWise-koppelingen uitgeschakeld te laten tot de leverancier herstelinstructies geeft, maar enterprise-applicaties niet zomaar te verwijderen om bewijsmateriaal te behouden. Beheerders moeten hun Microsoft 365-omgevingen grondig controleren op ongebruikelijke wijzigingen in servicerechten, rechtenuitbreidingen zoals de self-assignment van Global Administrator-rollen, en afwijkende leesacties in Azure Key Vaults. Microsoft heeft specifieke detectieregels en hunting-queries beschikbaar gesteld binnen Microsoft Defender XDR en Sentinel om verdacht gedrag en netwerkindicatoren vroegtijdig op te sporen.
Meer over cybercrime
Over Witold Kepinski
