Çin devletine yakın olduğu değerlendirilen Storm-0940, ConnectWise’ın Cloud Backup uygulamasını kullanan müşteri ortamlarına yönelik bir saldırı kampanyasında yapay zekâ destekli ARTEX aracından yararlandı. Microsoft, dünya genelinde yüzlerce kuruluşun hedef alındığını ve bazı ortamlarda kısa sürede yüksek ayrıcalıklı, kalıcı bulut erişimi sağlandığını bildirdi.
ConnectWise uygulaması üzerinden erişim sağlandı
Microsoft’un tehdit istihbaratı ekibinin analizinde, BT hizmetleri sağlayıcısı ConnectWise’ın Cloud Backup uygulamasına yönelik saldırının arkasında Storm-0940 gösterildi. ConnectWise CEO’su Manny Rivelo da Microsoft’un değerlendirmelerinin ve şirketin elindeki kanıtların, saldırganların Çin devletiyle bağlantılı bir grup olduğuna işaret ettiğini açıkladı.
Uygulamanın çok sayıda müşteriye hizmet vermesi, saldırıya tedarik zinciri boyutu kazandırdı. Saldırganlar, uygulamanın önceden erişim yetkisi bulunduğu müşteri sistemlerine kimlik doğrulaması üzerinden ulaşabildi. Böylece her hedef için kullanıcı etkileşimi gerektiren yeni bir oturum açma adımına ihtiyaç duymadan ilerleyebildiler.
ConnectWise, etkilenen uygulama bağlantılarını kontrol altına aldığını ve hizmetleri aşamalı, kontrollü biçimde yeniden devreye soktuğunu duyurdu. Ancak bu işlem, saldırganların müşteri ortamlarında daha önce elde etmiş olabileceği yetkisiz erişimleri kendiliğinden kaldırmıyor. Müşterilerin kendi sistemlerini ve erişim kayıtlarını ayrıca gözden geçirmesi gerekiyor.
ARTEX, saldırı adımlarının otomasyonunu sağladı
Microsoft’un tespitlerine göre Storm-0940, kampanyada ARTEX adlı açık kaynaklı sızma testi çerçevesini kullandı. Ağ ve hizmetlerdeki güvenlik açıklarını belirlemek için kullanılan sızma testlerinde ARTEX, çeşitli görevlerin farklı yapay zekâ modelleriyle otomatikleştirilmesine imkân tanıyor.
Araç; keşif ve verilerin dışarı aktarılması gibi faaliyetleri otonom yürütecek şekilde yapılandırılabiliyor. Bu sayede saldırganlar hedef sistemler hakkında bilgi toplayıp sonraki adımları daha az manuel müdahaleyle gerçekleştirebiliyor.
Microsoft, ARTEX’in ele geçirilen uygulamalar üzerinden hedef ortamlara erişim sürecini hızlandırdığını belirtti. Şirketin açıklamasına göre Storm-0940, kısa süre içinde çok sayıda kuruluşta yüksek ayrıcalıklı ve kalıcı bulut erişimi elde etmeyi başardı. Bu tür erişimler, ilk saldırının izleri temizlense dahi saldırganların sistemlerde kalabilmesi riskini taşıyor.
Farklı sektörlerden yüzlerce kuruluş hedef oldu
Microsoft’un aktardığına göre kampanya, dünya genelinde yüzlerce kuruluşu kapsadı. Hedefler arasında havacılık ve uzay, savunma, otomotiv, kimya, enerji, finansal hizmetler, kamu, hukuk, imalat, medya, askeri kuruluşlar, yarı iletken üreticileri ile yazılım ve teknoloji şirketleri bulunuyordu.
Düşünce kuruluşları ve kâr amacı gütmeyen kuruluşlar da hedef alınanlar arasındaydı. Microsoft, saldırı girişimlerinin çoğunun başarıya ulaşmadığını, ancak Storm-0940’ın bazı kuruluşlarda kısa sürede yüksek seviyeli erişim sağlayabildiğini bildirdi.
Çin’in Washington Büyükelçiliği sözcüsü ise Pekin yönetiminin siber saldırılara karşı olduğunu ve bu faaliyetlerle hukuk çerçevesinde mücadele ettiğini söyledi. Sözcü, siber güvenlik konularının Çin’i suçlamak ve hedef almak için gerekçe yapılmasına da karşı çıktıklarını ifade etti.
