Microsoft, ConnectWise saldırısını Çin bağlantılı bir gruba bağladı

Microsoft, 21 Ekim Çarşamba günü yaptığı açıklamada, Storm-0940'ın ConnectWise Cloud Backup'ın yakın zamandaki ihlalinin arkasında olduğunu belirtti. Microsoft, Storm-0940'ı Çin devletiyle bağlantılı bir tehdit aktörü olarak tanımlıyor. Şirkete göre grup, saldırılarını otomatikleştirmek için ARTEX adlı yapay zeka tabanlı bir sızma testi çerçevesi kullandı ve Microsoft Tehdit İstihbaratı, "Storm-0940, ARTEX'i dakikada 2,900 giriş denemesiyle 2,250'den fazla kiracıya ulaşmak için kullandı; bu hız, savunmacılara tespit edip yanıt vermek için çok az zaman bırakıyor" açıklamasında bulundu.microsoft.com

Bu, olaya ilişkin ilk kamuoyu açıklamasıdır. Çarşamba gününe kadar ne ConnectWise ne de dış araştırmacılar saldırıları bilinen bir grupla ilişkilendirmişti.cyberscoop.com

Makine hızında yapay zeka

Microsoft, Storm-0940'ın 2021'den beri aktif olduğunu ve birçok sektörden veri çaldığını belirtti. Eylül 2026'dan itibaren ARTEX'i yüzlerce kuruluşa karşı kullandı. Hedefler arasında havacılık ve savunma, hükümet, finansal hizmetler, yarı iletken firmaları ve düşünce kuruluşları yer alıyordu. Microsoft'a göre, bazı durumlarda grup, bir hedefi gözüne kestirdikten üç saatten kısa bir süre sonra ayrıcalıklı bulut erişimi kazandı.microsoft.com

ARTEX açık kaynaklıdır ve herhangi bir yapay zeka modeliyle çalışır. Microsoft onu "keşiften veri sızdırmaya kadar otonom bir sızma testi yürüten, insan etkileşimine çok az ihtiyaç duyan LLM tabanlı ajanlar sistemi" olarak tanımlıyor. Şirket, birçok bölgedeki tehdit aktörlerinin bunu kullandığını belirtti.cyberscoop.com

Microsoft, 10-14 Ekim tarihleri arasında gerçekleşen ve aynı altyapıya dayanan bir parola püskürtme kampanyasını izledi. Kampanya, sekiz kuruluştaki 327 hesabı hedef aldı ve 151,000'den fazla başarısız oturum açma kaydetti, ancak hiçbiri başarılı olmadı. 15 Ekim'de yapay zeka ajanları, çalınmış ConnectWise uygulama kimlik bilgilerini kullanarak müşteri kiracılarına giriş yaptı. Microsoft, bazı ortamlarda keşif yapmaya, uygulama kimlik bilgilerini değiştirmeye ve ayrıcalıklı rolleri değiştirmeye devam ettiklerini belirtti.microsoft.com

Müşteriler için sonuçlar

Saldırgan, kullanıcı girişi olmadan Microsoft Graph belirteçleri elde etmek için daha önce SkyKick olarak bilinen çok kiracılı yedekleme uygulamasının ele geçirilmiş bir kimlik bilgisini kullandı. Bu, çok faktörlü kimlik doğrulamanın onu durduramadığı anlamına geliyordu. Huntress, 162 kiracıda yetkisiz girişleri doğruladı. 17 Ekim'de ConnectWise, yedi uygulama kimliğini devre dışı bıraktı ve Cloud Backup, SaaS Security ve Cloud Management hizmetlerini askıya aldı. Şirket, yedekleme arşivlerinin ele geçirildiğine dair hiçbir kanıt olmadığını belirtti.csoonline.com+2

Çarşamba günü ConnectWise, hizmetleri aşamalı olarak geri yüklemeye başladığını ve kurtarma işleminin birkaç gün sürmesini beklediğini açıkladı. Ayrıca müşterilere bağlantılarını şimdilik devre dışı bırakmalarını söyledi.cyberscoop.com

Cevaplanmamış sorular

Microsoft kaç kuruluşun ele geçirildiğini söylemedi. Ayrıca başarılı bir girişin "müşteri verilerine erişildiği veya verilerin sızdırıldığı anlamına gelmediğini" belirtti. Ancak şirket, ajanlar tarafından yapılan kimlik bilgisi değişikliklerinin orijinal uygulama düzeltildikten sonra bile arka kapı olarak kalabileceği konusunda uyardı.microsoft.com

Microsoft başkan yardımcısı Igor Tsyganskiy, LinkedIn'de yaptığı bir paylaşımda "Ekim ayının başından beri yapay zeka destekli bir siber saldırı dalgası devam ediyor" dedi. ConnectWise saldırısını "pek çoğundan biri" olarak nitelendirdi.cyberscoop.com