Microsoft meldt dat een China-gelinkte dreigingsactor een open source AI-penetratietestframework, Artex, inzet om een recente golf ConnectWise-aanvallen te versnellen. De activiteit richt zich op honderden organisaties en combineert geautomatiseerde herkenning met pogingen tot inloggen en misbruik van OAuth-toepassingen. Daarbij is de impact groot, omdat de aanvallers na authenticatie verder kunnen gaan met acties in Microsoft 365 en Microsoft Graph.
De campagne wordt gevolgd onder de naam Storm-0940. Volgens Microsoft is de actor al sinds minstens 2021 actief en staat hij bekend om technieken zoals password spraying en het uitbuiten van kwetsbare, naar het internet gerichte applicaties. Vanaf begin september 2026 kwam daar een extra versneller bij: Artex als automatiseringslaag.
Wie is Storm-0940 en waarom valt dit op?
Storm-0940 is een dreigingsgroep die meerdere sectoren target. Microsoft beschrijft aanvallen in onder meer de aerospace-, automotive-, chemicals-, defense-, energy-, financiële-, en overheidssector. Daarnaast zouden ook organisaties zonder winstoogmerk en denktanks doelwit zijn.
Opvallend is niet alleen dat de actor al langer bestaande aanvalstechnieken toepast, maar vooral dat de AI pentest tool Artex volgens Microsoft wordt ingezet om stappen richting intrusie sneller en consistenter uit te voeren. Daarmee wordt de campagne minder afhankelijk van handmatige interactie en meer van schaalbare automatisering.
Hoe de AI pentest tool Artex werd ingezet in ConnectWise-aanvallen
De sleutel zit volgens Microsoft in het combineren van gecompromitteerde toegang en geautomatiseerde uitvoering. Rond half oktober 2026 werd Artex misbruikt om intrusies in omgevingen van ConnectWise-klanten te automatiseren.
Microsoft stelt dat de aanvallers met Artex:
- snellere reconnaissance uitvoerden,
- password spraying automatiseerden, en
- OAuth application abuse versnellen.
Microsoft koppelt de aanpak aan “machine speed”: activiteiten die normaliter tijd kosten, worden in een hoger tempo uitgevoerd. In de beschreven gevallen raakten de aanvallen meer dan 300 accounts bij acht organisaties met een snelheid van meer dan 2.900 pogingen per minuut.
OAuth-misbruik en “tenants” op schaal
Na ongeautoriseerde toegang probeerde Storm-0940 in sommige gevallen in te loggen op meer dan 2.250 tenants. Microsoft noemt daarbij dat OAuth-abuse binnen het gebruikelijke arsenaal van Storm-0940 past, maar dat Artex het proces in dit incident extra versnelt.
Microsoft rapporteert bovendien dat er 151.000+ mislukte aanmeldpogingen werden gezien. Tegelijk werden er ook succesvolle authenticaties waargenomen met behulp van identiteiten van ConnectWise cloud-applicaties.
Van inloggen naar acties in Microsoft Graph en directory
Het gevaar stopt niet bij het “binnenkomen”. Microsoft beschrijft dat de aanvallers na authenticatie doorgingen met acties in Microsoft Graph en directorybewerkingen. Denk aan:
- reconnaissance binnen de omgeving,
- het wijzigen van applicatiecredential om persistentie te behouden, en
- aanpassingen aan identiteiten, groepen en privileged roles.
Voor organisaties betekent dit dat incidenten meerdere “lagen” kunnen raken: van identity events (aanmeldingen) tot wijzigingen in rollen en groepsstructuren. Daardoor is snelle detectie en correlatie van signalen essentieel.
ConnectWise reageerde: services geschorst
In reactie op de dreiging schorste ConnectWise volgens Microsoft meerdere services. Daarbij ging het onder meer om Cloud Backup, SaaS Security en Cloud Management.
Dat wijst erop dat de campagne niet alleen theoretisch was, maar dat er in de praktijk ongeautoriseerde toegang werd vastgesteld. Voor defenders is zo’n stap van de leverancier vaak een moment om eigen logbestanden en toegangsregels extra kritisch te controleren.
Waarom credentialwijzigingen zo’n hard effect hebben
Microsoft waarschuwt specifiek voor een persistentiestrategie: door application credentials aan te passen, kan de toegang blijven bestaan, zelfs nadat het getroffen ConnectWise-applicatieonderdeel is geremedieerd.
Met andere woorden: het “stoppen” van een gecompromitteerde dienst is niet automatisch hetzelfde als het beëindigen van de dreiging. Organisaties moeten daarom verder kijken dan alleen de initiële inbraakroute.
Praktisch: zo kun je dit type aanval beter herkennen
Microsoft geeft als richtlijn mee om niet te blijven hangen bij alleen inloglogs. Het advies: onderzoek service principal sign-ins en koppel die aan wat erna gebeurde.
Concreet beveelt Microsoft aan om te correleren:
- suspicious sign-ins van service principals,
- vervolgactiviteit via Microsoft Graph,
- directorywijzigingen, en
- toegang tot resources.
Een nuttige verdedigingsstap is om verdachte identity-events te vergelijken met geautoriseerde administratieve activiteit. Als wijzigingen ontstaan op momenten of vanaf plaatsen die niet passen bij geplande beheeractiviteiten, wordt de kans groter dat het gaat om gecompromitteerde cloudapplicaties.
Als je ook zoekt naar bredere patronen rond AI-gestuurde aanvallen en geautomatiseerde compromisroutes, is het relevant om te kijken naar signalen zoals credentialdiefstal en AI-leaks. Op onze site bespreken we bijvoorbeeld trends rond AI-leaks en credentialdiefstal en welke updates teams doorgaans moeten volgen.
Snelle checklijst voor security teams
Gebruik deze korte checklist om direct actie te nemen zodra je dit patroon herkent of vermoedt:
- Controleer of er ConnectWise cloud-applicatie-identiteiten betrokken waren bij aanmeldingen.
- Zoek naar service principal-aanmeldingen en match die met daaropvolgende Graph- en directory-acties.
- Let op snelle uitrol: in het gemelde geval gaat het om zeer hoge snelheden bij password spraying.
- Onderzoek of applicatiecredential wijzigingen hebben plaatsgevonden die persistentie mogelijk maken.
- Beperk waar mogelijk OAuth-toegang en herzie of geautoriseerde applicaties nog kloppen met het huidige beheerbeleid.
Heb je te maken met AI-gateway- of supply chain-gerelateerde vragen rondom tooling en tokens? Dan kan ook de context rond supply chain risico’s helpen bij het beoordelen van wat er “onder de motorkap” mis kan gaan, zoals in deze analyse van een LiteLLM supply chain-aanval.
Wat je nu moet doen
De kernboodschap is duidelijk: de AI pentest tool Artex wordt niet alleen gebruikt als onderzoekstool, maar als automatiseringscomponent binnen echte intrusies. Microsoft beschrijft hoe dit leidt tot snellere reconnaissance, grootschalige password spraying en OAuth-abuse, gevolgd door handelingen in Microsoft Graph en directory.
Voor organisaties betekent dat vooral één ding: behandel incidentanalyse als een keten. Beoordeel niet alleen het moment van eerste toegang, maar ook de activiteiten die daarna volgen—zeker wanneer credentials zijn aangepast om persistentie te behouden.
Door identity events, Graph-activiteit en directorywijzigingen te correleren met geautoriseerde administratieve handelingen, kun je gerichter vaststellen wat er werkelijk gebeurd is. Dat is de beste manier om tijdig bij te sturen voordat aanvallers hun toegang verankeren.
Bron: https://www.securityweek.com/china-apt-uses-ai-pentest-tool-artex-in-connectwise-attacks/
