Çinli hackerlar ConnectWise yedekleme ihlalinden yararlanarak yapay zeka ajanlarıyla 2.250 kuruluşa saldırdı

Ne oldu

Microsoft'taki araştırmacılar, Çin devletiyle bağlantılı bir hacker grubunun ConnectWise'ın barındırılan yedekleme ürününü tehlikeye attığını ve servisin kurumsal müşterilerin ortamlarına bağlanmasını sağlayan uygulama kimlik bilgilerini ele geçirdiğini bildiriyor; TechCrunch bunu aktarıyor. Müşteriler bu ürünü, yani Cloud Backup'ı şirket verilerini korumak için kullanıyor — ve ürünün Microsoft 365 tenant'larına güçlü, kalıcı erişime sahip olmasının nedeni de tam olarak bu.

Saldırganlar bu kimlik bilgileriyle, meşru bir entegrasyonun yapacağı şekilde kurbanın Microsoft tarafından barındırılan ortamına kimlik doğrulaması yapabildi ve e-posta ile diğer dosyaları görünür hale getirdi. Microsoft, saldırıya uğrayan kuruluş sayısını kabaca 2.250 olarak veriyor; oturum açma denemeleri dakikada yaklaşık 3.000 hızındaydı — bu tempo güvenlik ekiplerine durumu fark edip tepki verme şansı neredeyse bırakmıyor.

Microsoft, kampanyayı Storm-0940 olarak izlediği bir kümeye atfediyor; bu bilgi, Microsoft'un güvenlik bloguna ve CyberScoop haberciliğine dayanan, dev.to'da yayımlanan bağımsız bir analizde yer alıyor.

ARTEX ile makine hızında saldırılar

TechCrunch, bu hacmi ARTEX'e bağlıyor; ARTEX, otomatik güvenlik testleri için yapay zeka modelleri kullanan açık kaynaklı bir çerçeve. Aynı araçların, birçok hedefin zayıf yapılandırmalar çalıştırdığı ve çok faktörlü kimlik doğrulama kullanmadığı yakın tarihli bir Güney Kore finansal sistemleri ihlalinin de arkasında olduğu bildiriliyor.

dev.to analizinde, Microsoft'a atıf yapılarak, bazı kurbanların ortamlarında yapay zeka ajanlarının yalnızca oturum açmakla kalmadığı ekleniyor. Ajanlar Microsoft Graph ve dizin işlemlerine ilerledi: keşif, kalıcılığı sağlamak için uygulama kimlik bilgilerinde değişiklikler ve kimliklere, gruplara ve ayrıcalıklı rollere dokunan değişiklikler.

Bir ayrıntı, olayın nasıl okunması gerektiğini yeniden çerçeveliyor. Analize göre, kötü amaçlı trafiğin hiçbir kısmı internete açık bir ConnectWise cihazına dokunmamış. Tehlikeye atılan bileşen çok kiracılı barındırılan bir servisti ve salırganların onunla ilişkisi bir ağ saldırganının değil, bir müşterininki gibiydi — dolayısıyla şirket içi ConnectWise konsollarının açığa çıkması, bir kuruluşun bu kampanyanın kapsamında olup olmadığı konusunda hiçbir şey söylemiyor.

ConnectWise'ın yanıtı ve müşteri kurtarma süreci

ConnectWise, soruşturma sürerken bulut yedekleme sistemine erişimi askıya aldı ve şirketin TechCrunch'a verdiği bilgiye göre perşembe günü itibarıyla servisi geri yüklemek için çalışıyordu.

dev.to analizi zaman çizelgesini dolduruyor: ConnectWise saldırılardan sonraki cumartesi günü etkilenen servisleri çevrimdışı aldı ve takip eden çarşamba günü aşamalı bir geri yüklemeye başladı; müşterilere bağlantılarını kapalı tutmalarını söyledi ve kurtarmanın birkaç gün süreceği uyarısında bulundu.

Etkilenen kuruluşlar için analiz sıkı bir işlem sırası öneriyor: bağlantılar kapalıyken tenant'tan erişilebilen tüm kimlik bilgilerini değiştirin, ihlal penceresinde yapılan dizin değişikliklerini inceleyin ve ancak daha sonra entegrasyonları her seferinde bir tane olacak şekilde yeniden etkinleştirin, her izin kapsamını yeniden kontrol ederek.

Kapsam belirsizliği

İki anlatı önemli bir noktada ayrışıyor. TechCrunch yaklaşık 2.250 kuruluşun hacklendiğini bildirirken, dev.to analizi ne Microsoft'un ne de ConnectWise'ın sonuçta kaç tenant'ın tehlikeye atıldığını söylemediğine dikkat çekiyor. Microsoft, başarılı kimlik doğrulama ile gerçek veri erişimi arasında bir çizgi çekiyor — oturum açmak tek başına posta kutularının veya dosyaların okunduğunu ya da çalındığını kanıtlamıyor.

Neden önemli

Olay, tedarik zinciri riskinin nasıl kaydığını gösteriyor. Müşteri altyapısını hedefleyen bir exploit yoktu; saldırganlar, her kurbanın tenant'ında zaten yüksek ayrıcalıklara sahip olan güvenilir bir üçüncü taraf uygulamayı istismar etti. dev.to analizinin belirttiği gibi, Microsoft'un kendisi de yükseltilmiş izinlere sahip, tehlikeye atılmış bir üçüncü taraf uygulamasının amaçlanan işlevinin çok ötesine ulaşabileceğine dikkat çekti — ve ele geçirilmiş bir yedekleme entegrasyonu ile zapt edilmiş bir RMM konsolu aynı yerde bitiyor: insan olmadan oturum açan, geniş erişimli bir kimlik.

Olay ayrıca tempoda bir değişimi işaret ediyor. Dakikada neredeyse 3.000 oturum açma denemesi hızıyla yapılan bir sızıya manuel izlemeyle yanıt verilemez ve bir Microsoft yönetici başkan yardımcısı bu kampanyayı, ekim başından bu yana süren yapay zeka destekli saldırı dalgasından biri olarak nitelendirdi.

Son olarak, kalıcılık teknikleri dizin izinleriyle üçüncü taraf entegrasyonları çalıştıran her tenant için önemli: mevcut bir uygulamaya eklenen yeni bir secret ya da ayrıcalıklı bir rol veya grupta sessiz bir değişiklik fark edilmesi kolay şeyler değil. Bu uygulamaları envanterlemek, yapılandırmalarını temel çizgiye oturtmak ve değişikliklerde uyarı üretmek artık ekstra bir başarı değil, temel hijyen.