Microsoft, ConnectWise’ın bulut yedekleme hizmetine yönelik tedarik zinciri saldırısını Çin devletiyle bağlantılı Storm-0940 grubuna bağladı. Şirkete göre grup, saldırıyı yapay zekâ ajanlarıyla çalışan ARTEX adlı çerçeveyle yürüttü ve çok sayıda kuruma ulaştı.

Dakikada 2.900 oturum açma denemesi

Microsoft Threat Intelligence, Storm-0940’ın ARTEX sayesinde dakikada 2.900 oturum açma denemesi hızına çıktığını ve 2.250’den fazla kiracıya ulaştığını açıkladı. ARTEX, keşiften veri sızdırmaya kadar çok az insan müdahalesiyle çalışan, büyük dil modeli tabanlı ajanlardan oluşan açık kaynaklı bir sızma testi sistemi. Her yapay zekâ modeliyle çalışabiliyor. Microsoft’a göre bazı olaylarda grup, ilk saldırıdan üç saatten kısa süre sonra ayrıcalıklı bulut erişimi elde etti.

Çok faktörlü doğrulama neden işe yaramadı?

Saldırgan, daha önce SkyKick adıyla bilinen çok kiracılı yedekleme uygulamasının ele geçirilmiş bir kimlik bilgisini kullandı. Böylece hiçbir kullanıcı oturum açmadan Microsoft Graph belirteçleri elde etti ve çok faktörlü doğrulama devreye girmedi. 10-14 Ekim arasındaki parola püskürtme kampanyası da aynı altyapıya bağlandı: sekiz kurumda 327 hesap hedeflendi, 151.000’den fazla deneme yapıldı ancak hiçbiri başarılı olmadı. 15 Ekim’de ajanlar, çalınan uygulama kimlik bilgileriyle müşteri kiracılarında oturum açtı.

ConnectWise hizmetleri aşamalı olarak geri açılıyor

ConnectWise, 17 Ekim’de yedi uygulama kimliğini devre dışı bıraktı; Cloud Backup, SaaS Security ve Cloud Management hizmetlerini askıya aldı. Şirket, yedekleme arşivlerinin ele geçirildiğine dair kanıt bulamadığını söylüyor. Hizmetlerin yeniden açılması birkaç gün sürecek ve müşterilerden bağlantılarını şimdilik kapalı tutmaları isteniyor. Microsoft, yapay zekâ ajanlarının değiştirdiği kimlik bilgilerinin, asıl açık kapatılsa bile arka kapı olarak kalabileceği uyarısını yaptı. Kaç kuruluşun ele geçirildiği ise açıklanmadı.