Microsoft waarschuwt voor grootschalige AI-gestuurde dreigingscampagnes
Microsoft heeft vandaag een blog gepubliceerd over nieuwe dreigingscampagnes waarbij de aan China gelieerde actor (APT) Storm-0940 gebruikmaakt van het agentic AI-framework ARTEX om aanvallen op grote schaal te automatiseren.
T-Update
Deze liveblog bevat informatie over grootschaligeAI-gestuurde dreigingscampagnes
Update 21 oktober 2026 22:18
Microsoft heeft vandaag een blog gepubliceerd over nieuwe dreigingscampagnes waarbij de aan China gelieerde actor (APT) Storm-0940 gebruikmaakt van het agentic AI-framework ARTEX om aanvallen op grote schaal te automatiseren. Volgens Microsoft zijn hierbij honderden organisaties wereldwijd doelwit geweest en is in meerdere gevallen binnen enkele uren toegang verkregen tot cloudomgevingen met verhoogde rechten.
De campagne maakt volgens Microsoft onderandere gebruik van:
- Misbruik van gecompromitteerde OAuth-applicaties;
- Service principal- en applicatie-identiteiten;
- Microsoft Graph;
- Password spraying;
- Geautomatiseerde verkenning van cloudomgevingen;
- Supply chain-toegang via trusted third-party applicaties.
Microsoft heeft de campagne in verband gebracht met een recente compromittering van ConnectWise gerelateerde cloudapplicaties. Daarbij zijn volgens Microsoft applicatie-identiteiten gebruikt om toegang te verkrijgen tot Microsoft365-omgevingen van klanten. Succesvolle authenticatie betekent daarbij niet automatisch dat gegevens zijn ingezien of buitgemaakt, maar Microsoft adviseert organisaties wel om hun omgeving actief te onderzoeken op mogelijke indicatoren van compromittering.
Achtergrond
Microsoft heeft vandaag een blog gepubliceerd over nieuwe dreigingscampagnes waarbij de aan China gelieerde actor (APT) Storm-0940 gebruikmaakt van het agentic AI-framework ARTEX om aanvallen op grote schaal te automatiseren. Volgens Microsoft zijn hierbij honderden organisaties wereldwijd doelwit geweest en is in meerdere gevallen binnen enkele uren toegang verkregen tot cloudomgevingen met verhoogde rechten.
Risico
De campagne laat zien dat aanvallers steeds vaker gebruikmaken van AI om bestaande aanvalstechnieken te versnellen en op grotere schaal uit te voeren. De aanval richt zich niet primair op eindgebruikers, maar op applicatie-identiteiten, OAuth-rechten en vertrouwde koppelingen tussen leveranciers en cloudomgevingen.
Voor organisaties die gebruikmaken van Microsoft 365 en Microsoft Entra is het daarom belangrijk extra aandacht te besteden aan:
- OAuth-applicaties en verleende toestemmingen;
- Service principals;
- Applicatiecredentials en certificaten;
- Onverwachte Microsoft Graph-activiteiten;
- Wijzigingen in rollen, rechten en applicatieconfiguraties.
Advies
Op basis van de door Microsoft gepubliceerde indicatoren, detectieregels en hunting guidance voert Tesorion proactief aanvullend onderzoek uit binnen de omgevingen van klanten waarvoor wij relevante monitoring- en detectiediensten leveren.
Hierbij zoeken wij onder meer naar:
- Bekende indicatoren uit de Microsoft-advisory;
- Verdachte service principal-authenticaties;
- Afwijkende OAuth-activiteiten;
- Onverwachte wijzigingen in applicatierechten;
- Signalen van mogelijke privilege escalation of persistence.
Wanneer wij tijdens deze onderzoeken relevante bevindingen vaststellen, nemen wij hierover rechtstreeks contact op met de betreffende klant en voorzien wij waar nodig van aanvullend handelingsperspectief.
Microsoft heeft uitgebreide technische informatie, indicatoren en detectiemogelijkheden gepubliceerd voor organisaties die hun eigen onderzoek willen uitvoeren. Tesorion volgt de ontwikkelingen rondom deze campagne actief en zal klanten informeren wanneer nieuwe inzichten of aanvullende risico's bekend worden. Voor vragen over deze T-Update kun je contact opnemen met jouw vaste contactpersoon of met het Tesorion SOC.
Bronnen
Schrijf je in voor T-Updates
Wil je de updates over kritieke kwetsbaarheden graag permail ontvangen? Dan kan jij je hier inschrijvenvoor de T-Update.
More than 1,000 organisations have already joined us.
