Wiz hat am 22. Oktober 2026 eine Untersuchung veröffentlicht, wonach ein Akteur im gesamten Oktober 2026 das quelloffene, autonome Penetrationstest-Framework ARTEX gegen mehrere IT- und Softwarefirmen eingesetzt hat, mit Schwerpunkt auf Identitätsanbietern wie Okta, Entra und Cognito sowie auf Microsoft-365-Anbindungen. Laut Wiz überschneiden sich Werkzeuge, Infrastruktur und Muster mit dem früheren Microsoft-Bericht zu Storm-0940, und derselbe Akteur weitet seine Versuche von Lieferkettenangriffen inzwischen auf weitere Softwarebranchen aus.
ARTEX wurde im Juli 2026 von einem chinesischen Entwickler auf GitHub veröffentlicht und gewann im September Baidus Agent+-Red-Team-Wettbewerb. Die Arbeitsteilung ist klar: Der Operator gibt nur Ziel und Zweck vor, ein Planungsagent entscheidet den nächsten Schritt, Ausführungsagenten bedienen Werkzeuge wie nmap, curl und Impacket, und jedes Ergebnis fließt in einen gemeinsamen Graphen aus Assets und Funden. Am 8. Oktober stellte der Entwickler das Werkzeug auf closed source, doch bis dahin war der Code mehr als 12.000-mal geforkt worden,
Erst wird die Anwendung gelesen, dann der Karte gefolgt
Das von Wiz rekonstruierte Vorgehen ist hochgradig wiederholbar: JavaScript-Bundles, offengelegte Source Maps, Laufzeitkonfigurationen und Swagger- oder OpenAPI-Dokumente herunterladen, um interne API-Routen zu kartieren; danach Anmeldeabläufe wiederholt starten, OAuth-Callbacks und state-Parameter manipulieren und SSO-Einstiege mit unsignierten JWTs testen, allein gegen Microsofts OAuth-Flows mehr als 60 Routenvarianten in zwei Minuten. Wo eine Registrierung offen ist, meldet sich der Agent mit Wegwerf-Postfächern an und prüft sofort vorhersagbare Kennungen auf defekte Zugriffskontrollen und mandantenübergreifenden Datenzugriff, während Kontowiederherstellung und Passwort-Resets dieselbe ausdauernde Behandlung erhalten. Das Muster unterscheidet sich von dem Angriffsagenten, der ungeschützte Modell-Endpunkte kapert: Der stiehlt Rechenleistung, dieser hebelt an der Identität.
Der Rhythmus des Password Spraying verrät die Maschine
Noch deutlicher ist das Password Spraying: Hunderte Nutzer bei Entra und Okta, vor allem Softwareingenieure, in koordinierten Schüben von 20 bis 60 Minuten, mit einem Medianabstand von exakt einer Sekunde zwischen den Versuchen; einzelne Nutzer wurden mehr als ein Dutzend Mal angegangen. Einzelne Sitzungen liefen 24 bis 30 Stunden, blockierte IPs waren binnen Minuten ersetzt, und sobald eine Loginseite drosselte, wechselte der Agent einfach zu einem anderen Endpunkt desselben Hosts. Wiz sagt es unverblümt: Keine der Einzeltechniken ist neu; neu ist, dass sie zu einer Pipeline verkettet sind, die nie ermüdet und nie aufgibt.
Für Verteidiger ist die praktische Folge, dass bestehende Erkennungen für zahlreiche fehlgeschlagene Logins, Password Spraying und ungewöhnlich viele Zugriffsverweigerungen diesen Akteur weiterhin fassen können und sein Rhythmus sogar regelmäßiger ist als der eines Menschen. Die eigentliche Lücke, die sich öffnet, ist Zeit: Das Fenster zwischen dem Auftauchen einer Schwachstelle und ihrer Ausnutzung schrumpft weiter, also müssen das Entfernen öffentlicher Dokumentation und Source Maps sowie das Flicken von Identitätsabläufen mit einem Prüfer Schritt halten, der nie schläft.
