Microsoft, Çin ile bağlantılı bir hacker grubunun, ConnectWise'ın Cloud Backup hizmetini hedef alarak AI ajanları kullandığını açıkladı. Bu saldırı, müşterilerin Microsoft 365 hesaplarına erişim sağlamak için bir yol açtı. Microsoft Threat Intelligence, bu grubun Storm-0940 adıyla bilindiğini ve 21 Ekim'de yaptığı araştırmaları paylaştı. ConnectWise ise, saldırıyı 16 Ekim'de bir güvenlik bildiriminde duyurdu.
ConnectWise Cloud Backup Nedir?
ConnectWise Cloud Backup, daha önce SkyKick olarak bilinen bir hizmettir ve IT hizmet sağlayıcılarının müşterilerinin Microsoft 365 verilerini yedeklemesine olanak tanır. Bu hizmet, müşteri hesaplarına geniş erişim sağlayan uygulamalara dayanıyor. Bu nedenle, uygulama kimlikleri, bağlı sistemlere giden bir yol oluşturuyor.
Microsoft'un açıklamasına göre, Storm-0940, bu kimliklerden birkaçını ele geçirerek müşteri hesaplarına erişim sağladı. Saldırganlar, bazı durumlarda yeni kimlik doğrulama anahtarları ekleyerek ve yönetici rollerini değiştirerek erişimlerini sürdürdü.
Saldırının Detayları
Bu grup, 2021 yılından beri aktif durumda ve savunma, hükümet, hukuk, enerji ve yarı iletken üretimi gibi birçok sektördeki kuruluşları hedef alıyor. Saldırganlar, ARTEX adlı ücretsiz ve açık kaynaklı bir hacking aracını kullanarak AI ajanları ile çalıştılar. Bu araç, farklı AI modelleri üzerinde çalışabilen sistemler geliştirmek için tasarlanmıştır.
Microsoft, bu ajanların ağları taradığını, şifre tahmininde bulunduğunu ve uygulama izinlerini kötüye kullandığını belirtti. Araştırmacılar, “Ajanlar, insanları etkileyen faktörlerden bağımsız olarak çalışabilir” ifadesini kullandı.
Saldırının Etkileri ve Önlemler
Storm-0940, 2,250'den fazla Microsoft 365 kiracısına giriş yapmaya çalıştı ve bu süreçte dakikada 2,900 giriş denemesi gerçekleştirdi. Microsoft, grubun bazı durumlarda bulut erişimini üç saat içinde elde ettiğini ancak çoğu girişimin başarısız olduğunu bildirdi. Huntress, 16 Ekim itibarıyla 162 kiracının ihlal edildiğini doğruladı ve saldırganların giriş denemeleri yaptığı yaklaşık 1,000 kiracı tespit etti.
ConnectWise, 17 Ekim'de yedi uygulama kimliğini devre dışı bıraktı ve Cloud Backup hizmetini çevrimdışı hale getirdi. Şirket, Microsoft'un saldırıyı Storm-0940'a atfına henüz kamuya açık bir yanıt vermedi. ConnectWise sözcüsü, yedek verilerin tehlikeye girdiğine dair bir belirti olmadığını ifade etti.
Microsoft, olayın kendi sistemlerindeki bir güvenlik açığından kaynaklanmadığını belirtti ve müşterilerine ConnectWise entegrasyonlarını devre dışı tutmalarını önerdi. Ayrıca, 15 Ekim tarihine kadar olan giriş kayıtlarını gözden geçirmelerini tavsiye etti. ConnectWise, 21 Ekim'den itibaren hizmeti kademeli olarak geri yüklemeye başladı ve iyileşmenin birkaç gün süreceğini öngörüyor.
Ne anlama geliyor?
Bu olay, siber güvenlik alanında AI teknolojisinin nasıl kötüye kullanılabileceğine dair önemli bir örnek teşkil ediyor. Şirketlerin, sistemlerini korumak için daha güçlü önlemler alması gerektiği bir gerçeği bir kez daha gözler önüne seriyor.
Yorumlar 0
Yorum kurallarıHenüz yorum yok. İlk yorumu siz yapın.