De China-georiënteerde groep Storm-0940 gebruikte ARTEX AI-framework om wereldwijd honderden organisaties aan te vallen en toegang te krijgen tot cloudomgevingen.
Vanaf september 2026 heeft de door China gesteunde dreigingsactor Storm-0940 het agentic AI-penetratietestframework ARTEX ingezet om geautomatiseerde aanvallen uit te voeren op honderden organisaties wereldwijd, verspreid over diverse sectoren. Deze AI-gestuurde aanvallen resulteerden in meerdere gevallen in het verkrijgen van geprivilegieerde toegang tot cloudinfrastructuren, waarbij de tijd tussen het selecteren van een doelwit en het verkrijgen van toegang soms minder dan drie uur bedroeg.
Microsoft stelt dat Storm-0940 verantwoordelijk is voor de recent bekendgemaakte supply chain-compromittering van de multi-tenant applicatie ConnectWise. Deze aanval illustreert hoe dreigingsactoren agentic AI integreren in hun bestaande offensieve securityprocessen, waardoor zij hun operaties exponentieel kunnen opschalen. AI-agents zijn niet gebonden aan menselijke beperkingen en kunnen continu, ook in het weekend en op feestdagen, meerdere aanvalspaden gelijktijdig proberen. Dit verkort de tijd van doelwitselectie tot het behalen van hun doelstellingen aanzienlijk en verhoogt de snelheid en impact van complexe aanvallen zoals supply chain-aanvallen.
Door het gebruik van ARTEX kon Storm-0940 snel misbruik maken van gecompromitteerde applicaties om zich te authenticeren bij Microsoft 365-omgevingen van klanten zonder dat een interactieve gebruikersaanmelding nodig was. In meerdere getroffen omgevingen observeerde Microsoft AI-versnelde vervolgactiviteiten via Microsoft Graph, waaronder verkenning, wijzigingen in applicatiecredentials en pogingen om privileges aan te passen die kunnen leiden tot uitgebreide of blijvende toegang. Deze activiteiten zijn niet het gevolg van een kwetsbaarheid of compromittering van Microsoft-systemen, producten of diensten zelf.
Hoewel Microsoft authenticatie- en vervolgactiviteiten van Storm-0940 in diverse klantomgevingen heeft vastgesteld, betekent de aanwezigheid van een getroffen applicatie of succesvolle authenticatie niet automatisch dat klantgegevens zijn ingezien of exfiltratie heeft plaatsgevonden. Microsoft Defender XDR biedt detecties en zoekopdrachten voor verdachte Microsoft Graph-activiteiten en bekende dreigingsinfrastructuur. Organisaties wordt geadviseerd om service principal-aanmeldingen te controleren, onverwachte wijzigingen in applicatiecredentials of privileges te onderzoeken en de door ConnectWise gepubliceerde containment-richtlijnen te volgen, terwijl relevante bewijsmaterialen worden veiliggesteld.
Storm-0940 is sinds 2021 actief en richt zich op datadiefstal bij organisaties in uiteenlopende sectoren, waaronder lucht- en ruimtevaart, automotive, energie, financiële dienstverlening, overheid, juridische dienstverlening, productie, media, defensie, software en non-profit. De actor verkrijgt initiële toegang doorgaans via password spraying en het misbruiken van internetgerichte applicaties, waarna gecompromitteerde accounts worden gebruikt om zich binnen doelomgevingen te verplaatsen. In cloudomgevingen vestigt de actor persistentie door credentials toe te voegen aan bestaande OAuth-applicaties, waarmee toegang tot Microsoft 365-resources wordt behouden. Deze applicaties worden gebruikt om e-mail en andere data via Microsoft Graph te benaderen en exfiltreren.
