Microsoft heeft bekendgemaakt dat een recent compromis in de ConnectWise supply chain is toegeschreven aan een dreigingsactor die wordt aangeduid als Storm-0940. In het incident speelde ARTEX een centrale rol: een Go-gebaseerd framework voor agentische AI-pen-testing dat, volgens Microsoft, is misbruikt om aanvallen op schaal te versnellen.
De kern van het probleem: via een vertrouwde softwareverbinding konden aanvallers downstream-omgevingen bereiken, sneller dan verdedigers vaak kunnen ontdekken en blokkeren. Dit is precies het type scenario waarin supply chain-aanvallen extra gevaarlijk zijn.
Wat speelde er bij de ConnectWise supply chain?
Het incident betrof een aanval op de ConnectWise Cloud Backup-applicatie. Microsoft stelt dat Storm-0940 deze keten gebruikte om toegang te krijgen tot organisaties wereldwijd. Daarbij ging het niet om één enkel doelwit, maar om een campagne die zich uitstrekte over uiteenlopende sectoren.
De aanvallen combineerden geautomatiseerde scanning en vervolgens misbruik van toegang die al beschikbaar was bij de slachtoffers. Microsoft beschrijft dat ARTEX werd gebruikt om activiteiten “op machnesnelheid” uit te voeren, waardoor de doorlooptijd tussen het benaderen van een doel en het benutten van verkregen rechten extreem kort kon zijn.
ARTEX als versneller: van scanning naar misbruik
Volgens Microsoft werd ARTEX ingezet om verschillende stappen te automatiseren, waaronder:
- scanning en reconnaissance (verkenning van doelomgevingen);
- password spraying (proberen met veel accounts en beperkte wachtwoordvarianten);
- OAuth application abuse (misbruik van geautoriseerde applicaties).
De automatisering maakte het voor Storm-0940 mogelijk om gecompromitteerde applicatie-accounts te gebruiken om te authenticeren zonder dat een aanvaller telkens via een interactieve login hoefde in te stappen.
Waarom dit zo lastig te detecteren is
Microsoft geeft aan dat het tempo van de aanvallen verdedigers een beperkt detectievenster biedt. In het ConnectWise-incident werden pogingen gedaan om in meer dan 2.250 tenants te komen, met een zeer hoog aantal aanmeldpogingen per minuut.
In de periode tussen 10 en 14 oktober 2026 beschrijft Microsoft een geautomatiseerde campagne die zich richtte op 327 accounts binnen acht organisaties. Daarbij werden in die tijd meer dan 151.000 mislukte aanmeldpogingen geregistreerd; het piekniveau lag op 2.900 failures per minuut.
Opvallend is dat Microsoft in die eerste fase meldt dat er geen geslaagde authenticatie, token-uitgifte, Graph-aanroepen of directory-wijzigingen zijn gezien. Het “omslagmoment” kwam later.
Het omslagmoment: van aanmelden naar rechten en Graph-activiteiten
Volgens Microsoft veranderde de situatie op 15 oktober 2026. De AI-agenten zouden dan de identiteit van meerdere ConnectWise-cloudapplicaties hebben kunnen benaderen en die gebruiken om authenticatie richting klantomgevingen uit te voeren.
Daarna maakten de agenten mogelijk gebruik van hetzelfde IP-bereik om door te gaan met authenticeren. Daarmee profiteerden ze van de al bestaande trust die die applicaties binnen een tenant hadden opgebouwd.
In sommige gevallen ging het verder dan alleen authenticatie. Microsoft noemt activiteiten zoals verkenning, aanpassingen aan applicatiecredentials en pogingen om privileges te wijzigen. Ook worden wijzigingen in identiteit- en groepsgerelateerde onderdelen genoemd, met het doel om toegang uit te breiden of langer te behouden.
Persistente toegang via applicatiecredential wijzigingen
Een belangrijk detail in de analyse van Microsoft: Storm-0940 zou met behulp van de agenten applicatiecredentials hebben aangepast om persistente toegang te creëren. Dergelijke wijzigingen kunnen, volgens Microsoft, actief blijven als backdoor, zelfs nadat de oorspronkelijk gecompromitteerde applicatie zou zijn “gemedieerd” (dus nadat de directe bron is ingeperkt).
Dat maakt deze campagne niet alleen een incident met een tijdelijke impact, maar ook een risico dat kan doorwerken zolang de gewijzigde vertrouwensrelaties blijven bestaan.
Storm-0940: botnet en eerdere observaties
Storm-0940 is eerder door Microsoft gedetailleerd. In een rapport uit november 2024 werd de aanpak al gekoppeld aan het gebruik van een botnet dat wordt aangeduid als Quad7 (ook bekend als CovertNetwork-1658). Microsoft stelt dat de actor al minstens sinds 2021 actief is en in eerdere campagnes zeer gericht password-spraygedrag inzet.
Verder beschrijft Microsoft een patroon waarin de aanvallers beginnen met initial access via internet-facing applicaties en daarna doorbewegen met gecompromitteerde accounts. Daarnaast wordt persistence genoemd via het toevoegen van credentials aan bestaande OAuth-applicaties binnen cloudinfrastructuren, met als doel toegang te behouden tot Microsoft 365-bronnen.
Meer dan één crew: ARTEX duikt vaker op
Microsoft benadrukt dat ARTEX niet uniek is voor Storm-0940. Het bedrijf zegt dreigingsactoren in meerdere regio’s te hebben gezien die het framework inzetten binnen hun offensieve werkwijze.
De boodschap achter die observatie is helder: agentic AI-tools maken het mogelijk om tegelijkertijd meerdere aanvalspaden te testen en door te gaan in een tempo dat niet afhankelijk is van menselijke beperkingen. Daardoor kan de tijd van “doel kiezen” tot “doel bereikt” afnemen, met grotere impact op complexe aanvallen zoals supply chain-compromissen.
Reactie van ConnectWise
ConnectWise stelde dat de activiteit “reikt tot ver voorbij één bedrijf”. Het bedrijf wijst erop dat nation-state actoren software supply chains steeds vaker targeten: één vertrouwde verbinding kan deuren openen naar veel organisaties.
ConnectWise heeft de diensten tijdelijk stilgezet en herstelt diensten in fases. Volgens de informatie in het bericht kost het herstel naar verwachting enkele dagen.
Wat betekent dit voor MSP’s en leveranciers?
De ConnectWise-situatie laat zien waarom supply chain security niet alleen gaat over het beveiligen van een product, maar ook over het beperken van het risico dat “vertrouwen” wordt misbruikt. Als één ketenschakel kan worden gecompromitteerd, kunnen aanvallers via die verbinding bij veel klanten tegelijk binnenkomen.
Daarnaast benadrukt dit incident het belang van detectie die niet alleen kijkt naar succesvolle logins. Microsoft laat zien dat vroege fasen veel mislukte pogingen kunnen bevatten, gevolgd door plotselinge omslagen naar authenticatie en wijziging van rechten.
Praktische aandachtspunten om mee te nemen
- Let op aanvalstempo: hoge aantallen failures per minuut kunnen al een signaal zijn voor geautomatiseerde campagnegedreven activiteit.
- Controleer OAuth-toegang: misbruik van geautoriseerde applicaties is een terugkerend pad richting token- en Graph-activiteiten.
- Beoordeel persistente wijzigingen: wijziging van applicatiecredentials kan blijven werken, ook nadat een oorspronkelijke verbinding is aangepakt.
Gerelateerd: als AI-aanvallen tempo en misleiding combineren
Deze case past in een bredere trend waarin aanvallers AI inzetten om sneller te werken of om verdedigingsmechanismen te omzeilen. Als je wilt begrijpen hoe aanvallen misleiding combineren met vertraging of ontwijking, is dit artikel relevant: Context bombs: AI-aanvallen misleiden en afremmen.
Ook helpt het om te zien hoe “rogue AI” in de praktijk kan worden beperkt en welke governance-aandachtspunten daarbij horen: Rogue AI-agenten: zo reageer je snel en goed.
Conclusie
De onthulling rond de ConnectWise supply chain laat zien hoe agentische AI kan worden ingezet om aanvallen op schaal te versnellen. Microsoft beschrijft dat Storm-0940 ARTEX gebruikte voor scanning, password spraying en OAuth-misbruik, met als gevolg dat aanvallers al verkregen vertrouwen konden benutten voor authenticatie en vervolgens konden doorzetten naar wijzigingen in rechten en mogelijke persistente toegang.
Voor organisaties en MSP’s is dit een dringende waarschuwing om supply chain-risico’s te behandelen als iets dat zowel detectie (ook bij mislukte pogingen) als het tijdig controleren van OAuth- en identity-wijzigingen omvat. Alleen dan verklein je de kans dat “machnesnelheid” zich vertaalt naar blijvende toegang bij downstream slachtoffers.
Bron: https://thehackernews.com/2026/10/china-linked-hackers-use-artex-ai.html
