Chinesische Hacker nutzten KI-Agenten, um ConnectWise zu kompromittieren und Tausende auszuspionieren

Staatlich unterstützte Hacker aus China haben die IT-Management-Riese ConnectWise kompromittiert und Anwendungs-Zugangsdaten gestohlen, die es ihnen ermöglichten, Tausende Unternehmenskunden auszuspionieren. Sicherheitsforscher bei Microsoft bestätigten den Eindringversuch in den Cloud-Backup-Dienst von ConnectWise, der Datenverbindungen offenlegte, die Unternehmen zur Sicherung ihrer Informationen nutzen.

Die Angreifer nutzten künstliche Intelligenz, um die Ausnutzung dieser gestohlenen Zugangsdaten zu automatisieren, und zielten in einer schnellen, koordinierten Kampagne auf etwa 2.250 Organisationen ab. Dieser Vorfall verdeutlicht eine wachsende Bedrohung, bei der KI-Tools nicht mehr nur theoretische Risiken darstellen, sondern aktive Komponenten in groß angelegten Cyber-Spionageoperationen sind.

Was passiert ist

Sicherheitsforscher bei Microsoft stellten fest, dass Hacker in den Cloud-Backup-Dienst von ConnectWise eingebrochen waren. Die Eindringlinge haben nicht nur statische Daten gestohlen; sie extrahierten Anwendungs-Zugangsdaten. Diese Zugangsdaten sind kritisch, da sie die vertrauenswürdigen Datenverbindungen zwischen ConnectWise und seinen Unternehmenskunden herstellen. Viele dieser Kunden verlassen sich auf den Cloud-Dienst, um ihre Firmendaten zu sichern, was bedeutet, dass die kompromittierten Zugangsdaten einen direkten Einstiegspunkt in ihre internen Systeme boten.

Nachdem die Hacker diese Zugangsdaten besaßen, konnten sie sich als autorisierte Benutzer in den Microsoft-gehosteten Umgebungen der Kunden anmelden. Dieses Maß an Zugriff ermöglichte es ihnen, E-Mails einzusehen, auf Dateien zuzugreifen und Aktivitäten zu überwachen, ohne sofortiges Misstrauen zu wecken. Der Einbruch verwandelte effektiv eine vertrauenswürdige Lieferantenbeziehung in eine Schwachstelle für Tausende von Unternehmen, die ihr Vertrauen in die Infrastruktur von ConnectWise gesetzt hatten.

ConnectWise reagierte daraufhin, indem der Zugriff auf das Cloud-Backup-System pausiert wurde, um den Schaden einzudämmen. Das Unternehmen erklärte, dass es aktiv den Einbruch untersucht und an der Wiederherstellung des Dienstes arbeitet. Stand Donnerstag waren die Wiederherstellungsmaßnahmen im Gange, aber das Ausmaß der Datenoffenlegung bleibt für die betroffenen Organisationen ein erhebliches Anliegen.

Wie es funktioniert

Das Ausmaß und die Geschwindigkeit dieses Angriffs wurden durch den Einsatz von KI-Agenten vorangetrieben. Microsoft berichtete, dass die Hacker Anmeldeversuche mit einer Rate von fast 3.000 pro Minute unternahmen. Dieses Volumen ist für menschliche Sicherheitsteams manuell schwer zu bewältigen, da es traditionelle Überwachungstools überlastet und Verteidigern wenig Zeit lässt, Anomalien zu erkennen und darauf zu reagieren.

Das spezifische eingesetzte Tool war ARTEX, ein Open-Source-KI-Framework, das entwickelt wurde, um mit KI-Modellen zusammenzuarbeiten und Cyber-Abwehrmaßnahmen zu testen (Stress-Testing). In diesem Kontext zweckentfremdeten die Hacker ein Tool, das für defensive Tests gedacht war, als offensive Waffe. ARTEX automatisierte den Prozess der Nutzung der gestohlenen Zugangsdaten, um gleichzeitig den Zugriff auf Tausende von Konten zu versuchen, wodurch manuelle Eingriffe überflüssig wurden und die Angreifer ihre Operationen effizient skalieren konnten.

Derselbe KI-Software wurde zuvor mit einer Kompromittierung der südkoreanischen Finanzsysteme in Verbindung gebracht. In diesem Fall verfügten viele der angegriffenen Systeme über schwache Sicherheitsprotokolle und fehlende Multi-Faktor-Authentifizierung, was sie anfällig für automatisierte Brute-Force- oder Credential-Stuffing-Angriffe machte. Das erneute Auftreten von ARTEX in diesen hochkarätigen Einbrüchen deutet darauf hin, dass staatlich unterstützte Akteure ihre Werkzeugkästen rund um zugängliche, leistungsstarke KI-Frameworks standardisieren.

Wichtige Details

• Ziel: ConnectWise, ein großer Anbieter von IT-Management und Fernzugriff.
• Angreifer: Staatlich unterstützte Hacker aus China, laut Sicherheitsforschern von Microsoft.
• Methode: Einbruch in den Cloud-Backup-Dienst von ConnectWise zum Diebstahl von Anwendungs-Zugangsdaten.
• Ausmaß: Etwa 2.250 Organisationen waren Ziel und wurden angegriffen.
• Tool: ARTEX, ein Open-Source-KI-Framework, das verwendet wurde, um Anmeldeversuche mit einer Rate von nahezu 3.000 pro Minute zu automatisieren.
• Auswirkung: Hacker erlangten Zugriff auf Ebene autorisierter Benutzer auf Microsoft-gehostete Umgebungen, einschließlich E-Mails und Dateien.

Warum es wichtig ist

Für Softwareentwickler und IT-Leiter unterstreicht dieser Vorfall die Fragilität der Lieferketten-Sicherheit. Wenn ein Anbieter wie ConnectWise kompromittiert wird, kaskadiert das Risiko zu jedem Kunden, der diesem Anbieter seine Datenverbindungen anvertraut. Es reicht nicht mehr aus, nur den eigenen Perimeter zu sichern; Sie müssen auch die Sicherheitslage der Drittanbieterdienste bewerten, die sich in Ihre Infrastruktur integrieren. Der Diebstahl von Anwendungs-Zugangsdaten ist besonders gefährlich, weil er Benutzerebene-Schutzmechanismen umgeht und Angreifern systemweiten Zugriff gewährt.

Der Einsatz von KI-Agenten wie ARTEX verändert die Dynamik der Incident Response. Traditionelle Security Operations Centers verlassen sich auf Warnmeldungen und menschliche Untersuchungen, aber eine Angriffsgeschwindigkeit von 3.000 Anmeldeversuchen pro Minute komprimiert das Entscheidungsfenster auf Sekunden. Verteidiger müssen nun davon ausgehen, dass automatisierte Bedrohungen manuelle Reaktionen übertreffen werden. Dies erfordert eine Umstellung auf automatisierte Abwehrmechanismen, die mit der Geschwindigkeit KI-gesteuerter Angriffe mithalten können, wie Echtzeit-Anomalieerkennung und automatische Widerrufung von Zugangsdaten.

Darüber hinaus zeigt die Wiederverwendung von ARTEX in verschiedenen geopolitischen Kontexten, vom südkoreanischen Finanzsektor bis hin zu globalen IT-Management-Firmen, dass diese Tools bei fortgeschrittenen Bedrohungsakteuren zunehmend commoditized werden. Organisationen können KI-verstärkte Cyberangriffe nicht länger als selten oder experimentell betrachten. Sie sind eine dauerhafte Realität, die aktualisierte Sicherheitsarchitekturen erfordert, einschließlich strikter Durchsetzung der Multi-Faktor-Authentifizierung und Zero-Trust-Prinzipien für alle Service-zu-Service-Verbindungen.

Was Sie tun können

• Prüfen Sie alle Drittanbieter-Integrationen und identifizieren Sie, welche Dienste Anwendungs-Zugangsdaten für Ihre Umgebung halten.
• Implementieren Sie strenge Multi-Faktor-Authentifizierung für alle administrativen und Dienstkonto-Accounts, insbesondere solche, die mit Cloud-Backups verknüpft sind.
• Überwachen Sie ungewöhnliche Anmelde-Muster, wie z. B. hohe Volumina von Versuchen aus einzelnen Quellen, und automatisieren Sie Antworten, um diese zu blockieren.
• Prüfen Sie Zugriffsprotokolle auf unbefugte Einträge während des Zeitraums des ConnectWise-Einbruchs, wenn Sie Kunde sind.
• Führen Sie ein Zero-Trust-Modell ein, bei dem Service-zu-Service-Verbindungen kontinuierliche Verifizierung erfordern, nicht nur initiale Zugangsdaten.
• Bleiben Sie informiert über Open-Source-KI-Sicherheitstools wie ARTEX, um zu verstehen, wie sie möglicherweise für Angriffe gegen Ihre Systeme zweckentfremdet werden könnten.