Microsoft, ARTEX ile hızlanan ConnectWise saldırısının ayrıntılarını açıkladı

Microsoft, ARTEX adlı yapay zekâ destekli sızma testi çerçevesini kullanan Storm-0940 grubunun yüzlerce kuruluşu hedef aldığını açıkladı. Yeni tehdit istihbaratı raporu, yapay zekâ araçlarının siber saldırılarda kullanılmasına ilişkin yeni bir örnek sunuyor. Şirket, ConnectWise Cloud Backup uygulamasındaki tedarik zinciri ihlalini de Çin devletiyle bağlantılı olarak değerlendirdiği bu gruba bağlıyor.

Raporda, bazı saldırılarda ilk hedeflemeden ayrıcalıklı bulut erişimine kadar geçen sürenin üç saatin altında kaldığı belirtiliyor. Buradaki kritik nokta yalnızca saldırı sayısı değil. Otomasyon, saldırganların birden fazla yolu kısa sürede denemesine ve savunma ekiplerinin müdahale süresinin daralmasına yol açabiliyor.

Microsoft’un değerlendirmesine göre saldırganlar, müşteri ortamlarına daha önce erişim izni verilmiş uygulamalardan yararlandı. Böylelikle her işlemde yeni bir kullanıcı oturumu açılması gerekmiyordu. Ancak etkilenen bir uygulamanın ortamda bulunması veya başarılı kimlik doğrulama görülmesi, müşteri verilerinin mutlaka okunduğunu ya da dışarı aktarıldığını göstermiyor. Bunları belirlemek için sonraki etkinliklerin ayrıca incelenmesi gerekiyor.

Şirket, saldırı girişimlerinin çoğunun başarılı olmadığını da belirtiyor. Bu nedenle hedeflenen yüzlerce kuruluşu, yüzlerce doğrulanmış veri sızıntısıyla eşitlememek gerekiyor. Raporun bazı ortamlarda yüksek ayrıcalıklı erişim ve kalıcılık tespit etmesi ise olayın yalnızca başarısız denemelerden oluşmadığını gösteriyor.

ConnectWise, müşteri ortamlarının ayrıca incelenmesini istiyor

ConnectWise’ın 22 Ekim tarihli güncellemesi, eski adı SkyKick olan Cloud Backup ile ilişkili uygulama kimlik bilgilerine yetkisiz erişim tespit edildiğini doğruluyor. Şirket, bağımsız uzmanlarla birlikte hizmetleri güvenlik doğrulamasından geçirerek aşamalar hâlinde yeniden devreye alıyor. Her hizmetin bağlantıyı yeniden kurma talimatı ayrı paylaşılacak.

Bunun yanında ConnectWise, mevcut yedek arşivlerinin şifreli, yalıtılmış ve korunmuş durumda olduğunu, bu arşivler için bir ihlal işareti görmediğini açıklıyor. Diğer ürün ve hizmetlerinin bu olaydan etkilendiğine dair bir işaret de bildirmiyor. Bu açıklama, tek tek müşterilerin Microsoft 365 ortamlarının ayrıca kontrol edilmesi gereğini ortadan kaldırmıyor.

Şirket, resmî yeniden bağlantı talimatı gelene kadar etkilenen bağlantıların kapalı tutulmasını istiyor. Yayınladığı teknik kılavuzun hem hizmet sağlayıcının kendi ortamında hem de yönettiği müşteri ortamlarında uygulanmasını öneriyor. Böylece merkezi hizmetin geri açılması ile müşterinin erişim kayıtlarının temiz çıkması birbirinden bağımsız iki kontrol olarak kalıyor.

Öte yandan ConnectWise, aynı duyuru sayfasında PHP açıkları nedeniyle yürüttüğü Axcient çalışmalarını bu olaydan ayrı tutuyor. Axcient yedekleme hizmetlerinin çalışmaya devam ettiğini, eski dosya yedekleme portalının ise önlem çalışmaları sırasında geçici olarak çevrimdışı kaldığını bildiriyor. Aynı şirketin iki farklı güvenlik başlığını tek bir saldırı gibi okumamak bu nedenle önemli.

ARTEX’in açık kaynaklı bir sızma testi aracı olması, onu kullanan her ekibin saldırgan olduğu anlamına gelmiyor. Bu tür araçların meşru güvenlik testlerinde de kullanım alanı bulunuyor. Microsoft’un raporu, aracın belirli bir aktör tarafından kötüye kullanımına ve bu kullanımın hızına odaklanıyor.