China-nahe Hackergruppe greift mit KI-Tool „ARTEX“ Hunderte Unternehmen weltweit an

Der US-Konzern Microsoft teilte am 21. nach US-amerikanischer Zeit mit, eine mit der chinesischen Regierung verbundene Hackergruppe habe für Cyberangriffe das chinesische KI-Tool „ARTEX“ (ausgesprochen: „Altex“) eingesetzt. Bei der Auswertung von Aufzeichnungen seiner eigenen Cloud-Dienste und weiterer Daten stellte das Unternehmen nach eigenen Angaben fest, dass die als „Storm-0940“ bezeichnete Gruppe ARTEX seit September bei Angriffen verwendet hatte, die Hunderte Unternehmen und andere Organisationen weltweit betrafen. Ob die Gruppe auch an Angriffen auf japanische Unternehmen beteiligt war, ist nicht bekannt.

Nicht „KI hat angegriffen“, sondern: Mit KI wurde angegriffen

Wer hört, dass „KI einen Cyberangriff gestartet“ habe, stellt sich vielleicht vor, wie Maschinen wie im Film eigenmächtig Amok laufen. Doch das Bild, das Microsoft diesmal zeichnete, sieht etwas anders aus: Eine menschliche Hackergruppe, die mit einer Regierung in Verbindung gebracht wird, nutzte ein KI-Tool als Werkzeug. Das ist der bestätigte Sachverhalt.

Dieser Unterschied mag klein erscheinen, ist aber von großer Bedeutung. War die KI selbst der Akteur des Angriffs, oder überlassen menschliche Angreifer der KI einen Teil ihrer Arbeit? Im ersten Fall müsste man die Verteidigung grundlegend neu denken. Im zweiten trifft es die Realität wohl eher, von einer Beschleunigung des schon lange andauernden Wettlaufs zwischen Angriff und Abwehr durch ein neues Werkzeug zu sprechen.

Welche konkreten Funktionen ARTEX hat und in welchen Phasen des Angriffs das Tool zum Einsatz kam, lässt sich hier nicht sagen. Fest steht, dass ein chinesisches KI-Tool einer mutmaßlich staatsnahen Hackergruppe zur Verfügung stand und Microsoft seinen Einsatz anhand eigener Aufzeichnungen bestätigte.

Hunderte Unternehmen – und die Frage nach den Auswirkungen auf Japan

Laut Microsoft setzte Storm-0940 ARTEX seit September bei Angriffen ein, die Unternehmen und andere Organisationen auf der ganzen Welt betrafen. Die Zahl „Hunderte“ vermittelt eher den Eindruck einer fortlaufenden Operation als eines einzelnen Vorfalls.

Ob japanische Unternehmen ins Visier genommen wurden, ist hingegen nicht bekannt. Weltweite Aktivitäten und Schäden in Japan müssen getrennt betrachtet werden. Die Realität lässt weder den Schluss zu, Japan sei zwangsläufig betroffen, weil weltweit Hunderte Unternehmen betroffen seien, noch lässt sich sagen, Japan habe nichts damit zu tun, weil sein Name nicht genannt wurde.

Wichtig ist dabei: Auch solange keine Angaben zu möglichen Schäden veröffentlicht wurden, gehört es zu den Grundprinzipien der Sicherheitsarbeit, davon auszugehen, dass das eigene Unternehmen mit derselben Vorgehensweise angegriffen werden könnte, und sich darauf vorzubereiten.

Was die Bezeichnung „Storm-0940“ bedeutet

„Storm-0940“ ist eine Bezeichnung, mit der Microsoft Hackergruppen kategorisiert. Gruppen, deren Organisation im Hintergrund noch nicht vollständig identifiziert ist, versieht das Unternehmen mit „Storm“ und einer Nummer, um sie nachzuverfolgen. Im vorliegenden Fall wird auf Verbindungen zur chinesischen Regierung hingewiesen. Dass der Name so nüchtern klingt, ist auch eine Methode, um beobachtete Aktivitäten zu bündeln und zu verwalten, ohne vorschnell Schlussfolgerungen zu ziehen.

Für die Verteidiger kommt es darauf an, den Einsatz von KI zu erkennen

Was bedeutet es für die Abwehr in Unternehmen, wenn Angreifer KI einsetzen? Das dürfte der Kern dieser Nachricht sein. Wenn der Vorbereitungsaufwand sinkt, können gleich viele Angreifer mehr Organisationen ins Visier nehmen. Es ist durchaus denkbar, dass die Zahl der Angriffe steigt oder Texte und Vorgehensweisen ausgefeilter werden.

Microsoft kam zu seinen Erkenntnissen, indem das Unternehmen Aufzeichnungen seiner eigenen Cloud-Dienste auswertete. Die Bewegungen der Angreifer ließen sich also anhand der gesammelten Nutzungsprotokolle nachverfolgen. Ob Protokolle erfasst werden und ein System besteht, das Unregelmäßigkeiten erkennt, dürfte der Ausgangspunkt sein, um Angriffe im KI-Zeitalter aufzudecken.

Für Führungskräfte und Manager ist es realistischer, die Gelegenheit zu nutzen und grundlegende Maßnahmen wie Passwortverwaltung, Mehr-Faktor-Authentifizierung und die Überprüfung von Zugriffsprotokollen zu überdenken, statt sich zunächst nur auf einen „KI-Angriff“ einzustellen. Auch wenn neue Werkzeuge auftauchen, bleibt es dabei: Schwachstellen in der Basis der Abwehr werden zuerst ausgenutzt.

Wir sind in ein Zeitalter eingetreten, in dem KI Angreifern und Verteidigern gleichermaßen zur Verfügung steht. Der Fall ARTEX ist ein Ereignis, das diese Realität mit konkreten Zahlen und Namen veranschaulicht – und weiter beobachtet werden sollte.