Microsoft: Storm-0940 ConnectWise saldırısında yapay zekâ kullandı

Microsoft'a göre Çin bağlantılı Storm-0940 adlı hacker grubu, yapay zekâ ajanlarıyla ConnectWise Cloud Backup hizmetine sızdı ve müşterilerin Microsoft 365 hesaplarına ulaştı. Microsoft Threat Intelligence bulgularını 21 Ekim'de yayımladı. ConnectWise ihlali 16 Ekim'de bir güvenlik duyurusuyla açıklamış, güvenlik firması Huntress da aynı gün ilk analizini paylaşmıştı; haberi The Next Web aktarıyor.

Saldırı nasıl işledi

Eski adı SkyKick olan ConnectWise Cloud Backup, BT hizmet sağlayıcılarının müşterilerinin Microsoft 365 verilerini yedeklemesini sağlıyor. Hizmet, müşteri hesaplarına geniş erişimi olan uygulamalara dayanıyor; bu uygulama kimlikleri de bağlı sistemlere açılan cazip bir kapı oluyor. Microsoft'a göre Storm-0940 bu kimliklerden birkaçını ele geçirdi, müşteri hesaplarına girdi ve bazı durumlarda erişimi korumak için yeni kimlik doğrulama anahtarları ekleyip yönetici rollerini değiştirdi.

Grup, farklı yapay zekâ modelleriyle çalışabilen, yapay zekâ ajanları üzerine kurulu ücretsiz ve açık kaynaklı ARTEX aracını kullandı. Güvenlik ekipleri de bu tür araçları kendi sistemlerini sınamak için kullanabiliyor. Microsoft, ajanların ağları taradığını, parola tahmin etmeye çalıştığını ve uygulama izinlerini sınırlı insan müdahalesiyle istismar ettiğini belirtti. Kullanılan yapay zekâ modelini açıklamadı.

Storm-0940, dakikada 2.900 denemeye varan hızla 2.250'den fazla Microsoft 365 kiracısına giriş yapmaya çalıştı. Çoğu girişim başarısız oldu, ancak bazı durumlarda grup üç saat içinde üst düzey bulut erişimi elde etti. Microsoft, grubun 2021'den beri aktif olduğunu ve savunma, kamu, hukuk, enerji ve yarı iletken sektörlerini hedeflediğini söylüyor.

Etki ve yanıt

Huntress 16 Ekim'e kadar 162 kiracıda ihlali doğruladı; sonra giriş denemesi alan yaklaşık 1.000 kiracı belirledi ve bunların 300'den fazlasında deneme başarılı oldu. ConnectWise 17 Ekim'de yedi uygulama kimliğini devre dışı bırakıp Cloud Backup'ı çevrimdışı yaptı. Şirket Microsoft'un atfına açıkça yanıt vermedi; bir sözcü The Record'a yedek verilerin ele geçirildiğine dair "bir belirti olmadığını" söyledi.

Microsoft, olayın kendi sistemlerindeki bir açıktan kaynaklanmadığını vurguluyor. Müşterilere, ConnectWise güvenli geri yükleme onayı verene kadar entegrasyonları kapalı tutmalarını ve oturum açma günlüklerini en az 15 Ekim'e kadar incelemelerini öneriyor. ConnectWise hizmeti 21 Ekim'de aşamalı olarak geri getirmeye başladı ve toparlanmanın birkaç gün süreceğini bekliyor.