KI-Angriffe der Woche: Staatsnahe Gruppe greift über ConnectWise mit KI-Agenten an (KW 43/2026)

Berichtszeitraum: 19. bis 25. Oktober 2026.

ConnectWise: Staatsnahe Gruppe automatisiert einen Lieferkettenangriff mit KI-Agenten

Microsoft hat am 21. Oktober einen Bericht veröffentlicht, nach dem die Gruppe Storm-0940 spätestens seit September das Open-Source-Werkzeug ARTEX einsetzt. Microsoft beschreibt Storm-0940 als staatsnahen chinesischen Akteur. In ARTEX führen KI-Agenten einen Penetrationstest von der Aufklärung bis zum Datenabfluss mit wenig menschlichem Zutun durch. Dasselbe Werkzeug hatte CrowdStrike bei Angriffen auf südkoreanische Finanzunternehmen gefunden, über die wir in KW 41 berichtet haben.

Microsoft schreibt Storm-0940 auch den Angriff auf ConnectWise Cloud Backup (früher SkyKick) zu. ConnectWise hatte am 16. Oktober Zugriffsversuche gemeldet und später einen unbefugten Zugriff auf Zugangsdaten der Anwendung bestätigt. Mit den Identitäten der übernommenen Anwendungen versuchte der Angreifer laut Microsoft, sich bei mehr als 2.250 Microsoft-365-Mandanten anzumelden. Eine Anmeldung von Nutzern brauchte er dafür nicht, weil die Anwendungen in den Mandanten der Kunden Zugriff hatten. In einigen Umgebungen erkundeten die Agenten danach das Verzeichnis, änderten Zugangsdaten von Anwendungen und griffen in privilegierte Rollen ein. In mehreren Fällen der Kampagne vergingen laut Microsoft weniger als drei Stunden vom ersten Anvisieren bis zum privilegierten Zugang zur Cloud. Die meisten Versuche scheiterten.

ConnectWise schrieb am 21. Oktober, gestützt auch auf Erkenntnisse von Microsoft, verantwortlich sei offenbar eine staatsnahe chinesische Gruppe mit einem frei verfügbaren agentischen KI-Framework. Die eigene Eindämmung entferne keine Zugriffe, die in den Mandanten der Kunden schon eingerichtet sein könnten.

Wiz Research beobachtete dieselbe Infrastruktur im Oktober bei Angriffen auf weitere Softwarehersteller.

Rolle der KI: Laut Microsoft beschleunigte ARTEX Aufklärung, Password-Spraying und den Missbrauch der Anwendungen auf „Maschinentempo“. Die Techniken selbst gehörten schon vorher zum Repertoire von Storm-0940.

Wie gut belegt: Den Zugriff bestätigt ConnectWise selbst, die Folgeaktivität bei Kunden beschreibt Microsoft aus eigener Telemetrie. Woran Microsoft den Einsatz von ARTEX erkannt hat, legt der Bericht nicht offen, und ConnectWise stützt sich für die KI-Aussage auf Microsoft. Ob Kundendaten abgeflossen sind, ist offen. Wie der Angreifer an die Zugangsdaten kam, untersucht ConnectWise noch.

Jagd auf KI-Schlüssel: Railway, LiteLLM und Andromeda

Railway und LiteLLM haben Einbrüche gemeldet, bei denen es nach eigener Darstellung um Schlüssel für KI-Dienste ging. Andromeda, ein Anbieter von KI-Infrastruktur, meldete einen ähnlichen Vorfall. Einen gemeinsamen Täter nennt keiner von ihnen.

Die Cloud-Plattform Railway meldete am 21. Oktober einen Einbruch. Einen Tag später schrieb sie, der Angreifer habe API-Schlüssel von KI-Anbietern für Distillation-Angriffe erbeuten wollen, also um mit den Antworten fremder Modelle ein eigenes zu trainieren. Bei höchstens 1,85 Prozent aller Workspaces, rund 100.000, könnten Umgebungsvariablen offengelegt worden sein. Railway sieht den Vorfall als Teil einer Serie von Angriffen auf Plattformanbieter.

Beim KI-Gateway LiteLLM stand am 21. Oktober rund zwei Stunden lang eine Schadversion 1.107.0 auf PyPI, die Zugangsdaten stahl. Den Einstieg hat LiteLLM inzwischen aufgeklärt: Am 27. Mai war der Hauptschlüssel einer internen Agentenplattform in ein öffentliches Repository geraten. Der Fehler fiel auf, dieser Schlüssel wurde aber nie widerrufen. Am 10. Oktober nutzte ihn der Angreifer und erhielt darüber das GitHub-Token eines Inhabers der GitHub-Organisation. Auf weiteren Systemen suchte er laut LiteLLM vor allem nach Schlüsseln für Inferenz-APIs. Die indische Cyberbehörde CERT-In hat dazu eine Warnung herausgegeben.

Andromeda meldete am 20. Oktober einen unbefugten Zugriff auf Zugangsdaten, nach eigener Einschätzung als Teil eines branchenweiten Angriffs. Um welche Art von Schlüsseln es ging, sagt Andromeda nicht.

Rolle der KI: KI-Dienste waren Ziel und Beute. Railway vermutet außerdem, der Angreifer habe Modelle ohne Schutzmechanismen genutzt, hat das aber nicht belegt.

Wie gut belegt: Alle drei Vorfälle bestätigen die Betroffenen selbst, LiteLLM mit vollständiger Ursachenanalyse. Ob die Fälle zusammenhängen, belegt keine Quelle. Seine erste Vermutung, die Tokens stammten aus Protokollen, in die Claude Code sie geschrieben habe, hat LiteLLM am 23. Oktober selbst korrigiert.

Kriminelle lassen KI-Agenten Einbrüche führen

Der Sicherheitsanbieter NorForge fand ab Anfang Oktober rund zwei Dutzend offen erreichbare Installationen von Cairn, einer quelloffenen Plattform für KI-Agenten, die für Angriffe genutzt wurden. Die Agenten eines chinesischsprachigen Akteurs versuchten laut Reuters, in mehr als 1.200 Websites einzudringen, und kamen in die Websites von mehr als 100 Unternehmen. Ein erfolgreicher Einbruch dauerte typischerweise rund 23 Stunden. Reuters hat die Opfer unabhängig ermittelt. Deere sieht keine Hinweise auf einen Zugriff auf sensible Daten, bei SharkNinja war eine Website mit Produktsupport betroffen. NorForge konnte die Steuerseiten der Agenten direkt einsehen. Ob Daten abgeflossen sind, konnte Reuters nicht feststellen.

CrowdStrike beschreibt vier bisher unbekannte Akteure, deren Agenten-Frameworks in offenen Verzeichnissen lagen. Einer drang in mindestens 15 Gesundheitseinrichtungen in Argentinien ein. Ein anderer kam mit wenig Sicherheitswissen und Claude Code in mehrere Regierungsdomains Indonesiens, musste aber immer wieder eingreifen, um Schutzmechanismen des Modells zu überwinden. SOCRadar beschreibt Partner der Ransomware-Gruppen INC und The Gentlemen, die ihre Einbrüche über das Coding-Werkzeug OpenCode führten. Der Mensch gab Ziele vor und gab frei, die KI plante und erzeugte die Befehle. Lehnte ein Modell ab, gab der Betreiber die Anfrage als Auftrag eines autorisierten Red Teams aus.

Rolle der KI: CrowdStrike hält es für wahrscheinlich, dass Täter mit wenig Können so eine Wirkung erreichen, die bisher organisierten kriminellen Gruppen oder staatsnahen Akteuren vorbehalten war.

Wie gut belegt: technische Berichte mit Artefakten aus offen erreichbaren Systemen der Täter. Im Cairn-Fall bestätigen zwei Unternehmen den Vorfall gegenüber Reuters, bei CrowdStrike und SOCRadar liegen keine Bestätigungen von Betroffenen vor. Einen Teil seiner Angaben übernimmt SOCRadar aus Aufzeichnungen der Täter, die nicht unabhängig geprüft sind.

Niederlande: Festnahmen nach Bankbetrug mit KI-Sprachansagen

Die niederländische Polizei meldete am 21. Oktober die Festnahme zweier Männer im Alter von 23 und 25 Jahren. Opfer erhielten Anrufe mit Ansagen, die die Betrüger mit KI in Dutzenden Varianten erzeugt hatten. Danach meldete sich ein angeblicher Bankmitarbeiter und führte das Gespräch nach festem Skript. Die Opfer sollten eine App installieren und ihre Bankkarte an das Telefon halten. Über die App gingen die Daten des Chips an einen Komplizen, der zur selben Zeit am Geldautomaten wartete. In den drei Wochen, in denen die Ermittler die Server einsehen konnten, zählten sie rund 170 Opfer und 380.000 Euro Schaden.

Wie gut belegt: Mitteilung der Polizei. Ein Gericht in Rotterdam hat die Haft um mindestens 90 Tage verlängert. Für die Beschuldigten gilt die Unschuldsvermutung.

Lücken in KI-Werkzeugen

• MCP Inspector (GHSA-4fc4-wcmh-4g86, GHSA-6x67-4w4w-9f3w, GHSA-q978-78c7-phqw): Über das offizielle Testwerkzeug des MCP-Projekts konnte ein bösartiger MCP-Server Befehle auf dem Rechner des Nutzers ausführen. Zwei Lücken sind als kritisch eingestuft. Behoben in 1.0.3 und, für Version 2.x unter Windows und WSL, in 2.12.0.
• OpenCode unter Windows und WSL: Laut Pillar Security konnte ein bösartiger MCP-Server bei der Anmeldung Code ausführen. Der Hersteller hat das in Version 1.18.33 behoben, aber keine Sicherheitsmeldung und keine CVE veröffentlicht. Übliche Schwachstellenscanner finden betroffene Installationen deshalb nicht.
• Anweisungsdatei im Downloads-Ordner: Forever Security fand auf dem Rechner eines Kunden eine präparierte AGENTS.md im Downloads-Ordner. Ein Coding-Agent wollte daraufhin ein bekanntes Schadpaket installieren und wurde gestoppt, bevor Code lief. Wie die Datei dorthin kam, ist unbekannt.

Wie gut belegt: MCP Inspector vom Maintainer bestätigt, OpenCode und die AGENTS.md nur nach Angaben der Finder. Angaben zu einer Ausnutzung der Lücken gibt es nicht.

Was aus unserer Sicht folgt

• Drittanbieter-Anwendungen in Microsoft 365 prüfen. Storm-0940 kam über Anwendungen hinein, denen die Kunden Rechte gegeben hatten. Microsoft empfiehlt, solchen Anwendungen nur die nötigen Rechte zu geben und neue Zugangsdaten und Rollen zu überwachen. Solche Änderungen können laut Microsoft als Hintertür bestehen bleiben, auch wenn die ursprüngliche Anwendung bereinigt ist.
• Offengelegte Schlüssel sofort widerrufen. Bei LiteLLM blieb ein bekanntes Leck viereinhalb Monate lang gültig. Erledigt ist ein Leck erst mit dem Widerruf.
• Hinterlegte Schlüssel erneuern. Wer bei Railway Umgebungsvariablen gespeichert oder LiteLLM im fraglichen Zeitfenster ohne feste Version installiert hat, sollte den Hinweisen der Anbieter folgen.
• MCP-Werkzeuge aktualisieren und fremde Server nur bewusst verbinden. Coding-Agenten im Projektordner starten: Im Downloads-Ordner kann eine fremde Anweisungsdatei liegen.

Auswahl und Belege

Aufgenommen werden Meldungen, bei denen KI für den Angriff wesentlich war, als Werkzeug, als Ziel oder zur Täuschung. Jede Aussage ist an der Primärquelle geprüft. Wir unterscheiden, ob ein Vorfall vom Betroffenen, einer Behörde oder dem Hersteller bestätigt ist oder bisher nur berichtet wird. Hinweise auf Fehler nehmen wir gern entgegen und machen Korrekturen sichtbar.