Çin ile İlişkili Hackerlar, ConnectWise Tedarik Zincirine Saldırdı

Çin ile bağlantılı bir hacker grubu olan Storm-0940, Microsoft'un güvenlik blogunda yer alan bilgilere göre, ConnectWise tedarik zincirine yönelik büyük ölçekli bir saldırıda ARTEX adlı açık kaynaklı yapay zeka penetrasyon testi çerçevesini kullandı. Bu saldırı sırasında, grup 2,250'den fazla Microsoft 365 kiracısında yetkisiz oturum açma girişiminde bulundu ve çalınan ConnectWise uygulama kimlik bilgilerini kullanarak uygulamalara erişim sağlamaya çalıştı. Bazı saldırılar, hedef alındıktan sadece üç saat sonra ayrıcalıklı erişim elde etti.

Saldırının Detayları

Storm-0940 grubu, otomatik şifre tahmin etme ve şifre püskürtme yöntemleriyle sekiz farklı organizasyonda 327 hesaba saldırdı. Bu süreçte 151,000'den fazla başarısız oturum açma girişimi yapıldı. ARTEX'in kullanımı, "otonom bir penetrasyon testi yürüten LLM destekli ajanların sistemi" sayesinde tarama ve keşif süreçlerini hızlandırdı. Bu ajanlar, insan etkileşimi olmadan sürekli çalışabilmekte ve savunma mekanizmalarının yanıt verme süresini kısaltmaktadır.

Hedef Alınan Sektörler

Storm-0940, 2021 yılından beri aktif olan bir grup olarak, havacılık ve savunma, yarı iletken, hükümet ve düşünce kuruluşları gibi çeşitli sektörleri hedef aldı. Toplamda 14 farklı endüstri bu saldırıdan etkilendi. Microsoft'un sistemlerinde, ürünlerinde veya hizmetlerinde herhangi bir güvenlik açığı olmadığı belirtiliyor.

Saldırının Etkileri

Saldırının zirve yaptığı 11 Ekim'de, grup dakikada 2,900 başarısız oturum açma girişiminde bulundu ve gün sonunda 111,000'den fazla deneme gerçekleştirdi. 48 hesap, her biri 1,000'den fazla başarısız girişim kaydetti. Ancak, bu faaliyetlerin neredeyse %98'i engellendi. Yine de, birden fazla ConnectWise bulut uygulamasının kimlik bilgilerine sahip olan saldırgan yapay zeka ajanları, aynı IP aralığından müşteri kiracılarına giriş yaptı.

Güvenlik Önlemleri ve Gelecek

ConnectWise, yetkisiz erişimi tespit ettikten sonra Cloud Backup ve SaaS Security hizmetlerini askıya aldı. Kurtarma işlemlerinin birkaç gün süreceği ve partner yedek verilerinin tehlikeye girmediğine dair bir gösterge olmadığı bildirildi. Microsoft, etkilenen bir uygulamanın veya başarılı bir oturum açmanın veri erişimi veya çalınması anlamına gelmediğini vurguladı ve müşterileri etkilenen uygulama bağlantılarını devre dışı bırakmaya teşvik etti.

Sonuç olarak, bu saldırı, açık kaynaklı bir penetrasyon testi çerçevesinin kullanımının geleneksel saldırılardan nasıl farklılaştığını gösteriyor. ARTEX'in geliştiricisi, projenin artık güncellenmeyeceğini ve kapalı kaynak haline geleceğini duyurdu. Bu tür tehditler, dünya genelinde birçok sektörde ciddi riskler oluşturuyor ve dikkatli olunması gerektiğini ortaya koyuyor.