Storm-0940 Used ARTEX to Accelerate ConnectWise Supply-Chain Attacks
Oktober 22, 2026Microsoft hat Storm-0940 für eine aktuelle Kompromittierung der ConnectWise-Cloud-Backup-Anwendung verantwortlich gemacht. Der Angriff nutzt bereits vertrauenswürdige Cloud-Anwendungen, um sich in Kundenumgebungen zu authentifizieren. Dadurch betrifft das Risiko nicht nur ConnectWise selbst, sondern auch Organisationen, die solche Verbindungen oder Dienste in ihrer Umgebung akzeptieren.
Der Akteur setzte dabei ARTEX ein, ein Go-basiertes Framework für agentische Penetrationstests. Laut der Analyse automatisierten die damit arbeitenden Agenten unter anderem Aufklärung, Passwort-Spraying und den Missbrauch von OAuth-Anwendungen. Der entscheidende Unterschied zu einem herkömmlichen Einzelangriff liegt damit in der Geschwindigkeit und in der Möglichkeit, mehrere Angriffswege parallel zu verfolgen.
Für Microsoft-365-Umgebungen beschreibt Microsoft zunächst eine automatisierte Passwort-Spraying-Kampagne zwischen dem 10. und 14. Oktober 2026. Sie richtete sich gegen 327 Konten in acht Organisationen. In diesem Abschnitt wurden zwar mehr als 151.000 fehlgeschlagene Anmeldeereignisse erfasst, aber keine erfolgreiche Authentifizierung, Token-Ausstellung oder Verzeichnisänderung festgestellt.
Das änderte sich am 15. Oktober 2026: Die Agenten erlangten Zugriff auf Identitäten mehrerer ConnectWise-Cloud-Anwendungen und nutzten deren bereits bestehende Vertrauensbeziehungen für die Anmeldung bei Kunden. In einzelnen betroffenen Umgebungen folgten laut Microsoft Zugriffe auf Microsoft Graph, Aufklärung sowie Änderungen an Anwendungsschlüsseln, Identitäten, Gruppen und privilegierten Rollen.
Besonders relevant ist die mögliche Dauerhaftigkeit des Zugangs. Änderungen an Anwendungsschlüsseln können laut Microsoft weitere Identitäten, Zugangsdaten und Cloud-Dienste als Rückfalloptionen etablieren. Ein solcher Zugang kann demnach auch dann bestehen bleiben, wenn die ursprünglich kompromittierte Anwendung bereits abgesichert wurde.
Unternehmen mit ConnectWise-Verbindungen sollten deshalb prüfen, ob zugehörige Anwendungen und OAuth-Berechtigungen unerwartet verändert wurden, und privilegierte Rollen sowie Anwendungsschlüssel auf nicht geplante Änderungen kontrollieren. Diese Prüfung ist besonders wichtig, weil der beschriebene Angriff nicht zwingend eine interaktive Anmeldung eines Benutzers benötigt. Die vorliegende Analyse nennt allerdings keine konkrete bereinigte Version und keine allgemeingültige Herstelleranweisung; sie berichtet lediglich, dass ConnectWise seine Dienste nach einer vorübergehenden Abschaltung schrittweise wiederherstellt.
