Der Einbruch bei ConnectWise wurde von Software gesteuert, mit 2.900 Anmeldeversuchen pro Minute

Am vergangenen Wochenende hat ConnectWise seinen eigenen Dienst Cloud Backup abgeschaltet, nachdem jemand dessen Anwendungsanmeldedaten benutzt hatte, um sich in die Microsoft-365-Konten von Kunden einzuloggen. Damals lag die Zahl bei rund 300 erfolgreichen Anmeldungen. Microsoft hat den Rest der Geschichte am 21. Oktober veröffentlicht, und er fällt erheblich größer aus.

Microsoft schreibt die Kampagne Storm-0940 zu, einer dem chinesischen Staat nahestehenden Gruppe, die seit 2021 beobachtet wird, und hält fest, dass die Angreifer nicht selbst tippten. Sie steuerten ARTEX, ein quelloffenes Penetrationstest-Framework, gebaut als Multi-Agenten-System um ein großes Sprachmodell herum, das alles von der Aufklärung bis zum Abgreifen der Daten mit sehr wenig menschlichem Zutun erledigt. Die erzeugten Zahlen sind der Punkt. Mehr als 2.250 angegangene Mandanten. Über 2.900 Anmeldeversuche pro Minute. Über 200 erfolgreiche Anmeldungen in unter vier Minuten mit vier Anwendungsanmeldedaten. In mehreren Fällen vergingen weniger als drei Stunden vom ersten Kontakt bis zum privilegierten Zugriff. In vier Tagen bis zum 14. Oktober prasselten 151.000 fehlgeschlagene Logins auf 327 Konten in acht Organisationen ein.

Microsofts eigene Zusammenfassung ist der Satz, den man behalten sollte: Agenten «können rund um die Uhr arbeiten, an Wochenenden und an Feiertagen, und mehrere Einbruchswege gleichzeitig versuchen». Passwörter zu raten war früher langsam genug, dass sich niemand um das Konto einer Privatperson kümmerte. Diese Bremse ist weg. Damit hat der Unterschied zwischen einem überall wiederverwendeten Passwort und einem einmalig benutzten aufgehört, theoretisch zu sein, und was ein E-Mail-Konto schützt, sollte ein Passkey oder ein langes, einmaliges Passwort sein, nicht der Name Ihres Hundes mit einer Ziffer dahinter.

Das meiste an diesem Kampf spielt sich auf Servern ab, die Sie nie sehen werden. Die Sicherheitslage-Prüfung von Tendvane deckt den Teil ab, der wirklich Ihnen gehört, etwa ob BitLocker die Platte tatsächlich verschlüsselt, von der es das behauptet.