Microsoft: Kinesisk statstilknyttet gruppe rettet KI-styrte angrep mot hundrevis av virksomheter

Microsoft kunngjorde onsdag 21. oktober at gruppen selskapet kaller Storm-0940, siden september har brukt KI-verktøyet ARTEX til å automatisere angrep mot hundrevis av organisasjoner verden over. Microsoft omtaler gruppen som «China-state aligned», altså på linje med den kinesiske staten.

Ifølge Microsoft står gruppen etter selskapets vurdering bak angrepet på det amerikanske IT-selskapet ConnectWise, som ble kjent forrige uke. Tilskrivelsen er Microsofts vurdering. ConnectWise skriver at det «ser ut til» at en kinesisk statstilknyttet gruppe sto bak, og viser blant annet til etterretning fra Microsoft.

Ifølge Microsoft fikk gruppen i flere tilfeller privilegert tilgang til en virksomhets skyløsninger på under tre timer fra den først ble valgt ut som mål. Microsoft beskriver Storm-0940 som en gruppe som har vært aktiv siden 2021, og som går etter virksomheter i mange bransjer for å stjele data.

– Agenter er ikke begrenset av det som begrenser mennesker. De kan jobbe døgnet rundt, i helger og på helligdager, og prøve flere angrepsveier samtidig, skriver Microsoft (vår oversettelse).

Bildet øverst er et illustrasjonsfoto av et serverrom hos det amerikanske forskningssenteret NOIRLab. Det har ingen tilknytning til ConnectWise, Microsoft eller angrepet.

Stjålet nøkkel til backup-tjeneste

Angrepet gikk gjennom ConnectWise Cloud Backup, tidligere kjent som SkyKick. Tjenesten tar sikkerhetskopi av e-post, filer og Teams-data i Microsoft 365 for IT-driftsleverandører og kundene deres, og har derfor bred tilgang i kundenes miljøer.

Ifølge sikkerhetsselskapet Huntress kom angriperne over en hemmelig innloggingsnøkkel som tilhørte ConnectWise-appen. Med den kunne de logge seg inn i kundenes Microsoft 365-miljøer som om de var backup-tjenesten, uten at noen bruker måtte logge inn.

Hvordan nøkkelen kom på avveie, er fortsatt under etterforskning, skriver ConnectWise. Det er heller ikke slått fast om en svakhet i selskapets produkter bidro. Microsoft skriver at aktiviteten ikke skyldtes innbrudd i eller sårbarheter i Microsofts egne systemer.

Tallene spriker

Kildene teller ulike ting, på ulike tidspunkter og med ulikt innsyn. Microsoft skriver at gruppen etter innbruddet hos ConnectWise brukte ARTEX til å forsøke å logge inn i over 2250 Microsoft 365-miljøer. Det tallet gjelder forsøk, ikke miljøer der angriperne kom inn.

Huntress ser bare miljøer der selskapet har innsyn i innloggingsloggene. Fredag 16. oktober hadde Huntress bekreftet uautoriserte innlogginger i 162 kundemiljøer. Lørdag 17. oktober skrev selskapet at nær 1000 miljøer hadde innloggingsaktivitet fra angripernes IP-adresse, og at over 300 av innloggingene lyktes. I miljøer der ConnectWise-appen ikke var installert, ga en vellykket innlogging likevel ikke tilgang, ifølge Huntress.

Ifølge Microsoft mislyktes de fleste forsøkene. Gruppen klarte likevel å skaffe seg varig, privilegert tilgang hos mange virksomheter på kort tid, skriver selskapet. I enkelte miljøer endret angriperne innloggingsnøkler og forsøkte å gi seg selv flere rettigheter. Microsoft oppgir ikke hvor mange virksomheter som er rammet.

Huntress beskriver ett kundemiljø der en ConnectWise-app gjorde seg selv til global administrator og la til nye nøkler på to andre apper i løpet av rundt fem minutter. Den siste vellykkede innloggingen med den stjålne nøkkelen som Huntress har sett, skjedde torsdag 15. oktober. ConnectWise skriver at selskapet ikke har sett vellykket angrepsaktivitet i miljøene det overvåker siden tiltakene startet lørdag 17. oktober.

Dette er ikke bekreftet: Det er ikke slått fast at data er hentet ut. I de to miljøene Huntress har gått gjennom i detalj, fant selskapet ingen tegn til at e-post eller filer var endret. Huntress påpeker samtidig at enkelte oppslag via Microsofts systemer ikke etterlater spor i loggene, slik at datatyveri ikke kan utelukkes. Både Microsoft og ConnectWise understreker at en innlogging fra angriperne ikke i seg selv betyr at data er lest eller stjålet.

KI-agenter fra start til slutt

ARTEX er ifølge Microsoft et åpent kildekode-verktøy for penetrasjonstesting, altså godkjente angrepstester av egne systemer. Verktøyet består av flere samarbeidende KI-agenter, kan bruke hvilken som helst KI-modell og kan gjennomføre en test fra kartlegging til uthenting av data med lite menneskelig innblanding. Den opprinnelige prosjektsiden på GitHub var ikke lenger tilgjengelig da vi sjekket fredag.

Microsoft skriver at gruppen brukte verktøyet til å automatisere kartlegging, såkalt passordsprøyting og misbruk av apptilganger. I én kampanje mellom lørdag 10. og onsdag 14. oktober, rettet mot 327 kontoer i åtte organisasjoner, registrerte Microsoft over 151.000 mislykkede innloggingsforsøk, med en topp på 2900 forsøk i minuttet søndag 11. oktober. Den kampanjen ga ingen vellykket innlogging, ifølge Microsoft.

Ifølge Microsoft bruker også trusselaktører i flere andre deler av verden ARTEX. Microsoft lister opp en rekke bransjer Storm-0940 har gått etter, blant dem forsvar og luftfart, energi, finans, offentlig forvaltning, advokatvirksomhet, industri, halvledere og teknologi.

Saken handler om et annet verktøy enn Cairn, KI-verktøyet som forskeren i det norske selskapet NorForge beskrev i en rapport vi omtalte tirsdag 20. oktober.

Kina avviser

En talsperson for den kinesiske ambassaden i Washington sier at Kina «motsetter seg og bekjemper hackeraktivitet i tråd med loven», og at landet er imot svertekampanjer mot Kina under påskudd av cybersikkerhet, ifølge nyhetsbyrået Reuters (vår oversettelse). Det kinesiske utenriksdepartementets offisielle referater fra pressekonferansene onsdag og torsdag nevner ikke saken.

Tjenestene fortsatt stengt

ConnectWise oppdaget problemet onsdag 14. oktober og varslet kundene fredag 16. oktober. Selskapet stengte backup-tjenesten og to tilknyttede tjenester, og slo lørdag 17. oktober av sju av selskapets apper i Microsoft 365. Ifølge ConnectWise er det ingen tegn til at de lagrede sikkerhetskopiene er kompromittert.

I den siste oppdateringen, publisert natt til fredag norsk tid, skriver ConnectWise at selskapet regner med å bli ferdig med testing og sikkerhetskontroll av det gjenopprettede systemet i løpet av helgen. Hvis testingen går som planlagt, skal kundene kunne hente ut data fra eksisterende sikkerhetskopier tidlig neste uke. Full drift skal deretter komme tilbake i etapper.

ConnectWise skriver at stengingen ikke fjerner tilganger angriperne allerede kan ha skaffet seg inne i hvert enkelt kundemiljø. De må sjekkes hver for seg.

– IT-driftsleverandørene står midt i denne kjeden. De er mål i seg selv, og de er også en vei inn til hver eneste kunde de betjener, skriver ConnectWise (vår oversettelse).

Ingen norske ofre offentlig kjent

Ingen av kildene sier noe om hvorvidt norske virksomheter er rammet, og ingen norske ofre er offentlig kjent. Nasjonal sikkerhetsmyndighet (NSM) hadde ikke publisert noe varsel om ConnectWise-angrepet på sin oversikt over varsler da vi sjekket fredag morgen.

Kilder

Microsoft Security Blog (Microsoft Security Research og Microsoft Threat Intelligence): «AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise» (21.10.2026) – https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/

ConnectWise Trust Center: «Cloud Backup (formerly known as SkyKick) Service Interruption» (først publisert 16.10.2026, sist oppdatert 23.10.2026 kl. 03.00 norsk tid) – https://www.connectwise.com/company/trust/advisories

Huntress: «ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks» (publisert 16.10.2026, sist oppdatert 19.10.2026) – https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access

Reuters: «Chinese-linked hackers compromise ConnectWise, target hundreds in global attack, Microsoft says» (21.10.2026), brukt kun for ambassadens kommentar – https://www.investing.com/news/stock-market-news/chineselinked-hackers-compromise-connectwise-target-hundreds-in-global-attack-microsoft-says-4964230

Kinas utenriksdepartement: referater fra pressekonferansene 21. og 22.10.2026 – https://www.mfa.gov.cn/mfa_eng/xw/fyrbt/lxjzh/

NSM: «Varsler fra NSM» (sjekket 23.10.2026) – https://nsm.no/fagomrader/digital-sikkerhet/digital-hendelseshandtering/varsler-fra-nsm/

Bilde: Foto: NOIRLab/NSF/AURA/T. Slovinský (CC BY 4.0). Original: https://noirlab.edu/public/images/6V6A0375-CC/ og https://commons.wikimedia.org/wiki/File:NOIRLab_HQ_Server_Racks_(6V6A0375-CC).jpg – lisens: https://creativecommons.org/licenses/by/4.0/