Microsoft, ConnectWise bulut uygulaması saldırısını Çin bağlantılı Storm-0940'a bağladı

Microsoft, 21 Ekim'de yayımladığı analizde ConnectWise'ın çok kiracılı bulut yedekleme uygulamasını hedef alan son saldırının arkasında Çin devletiyle bağlantılı Storm-0940 grubunun bulunduğunu açıkladı. Şirkete göre grup, ARTEX adlı ajan tabanlı yapay zekâ sızma testi çerçevesini kullanarak 2026 Eylül'ünden itibaren yüzlerce kuruma yönelik saldırıları otomatikleştirdi. Microsoft, bazı vakalarda ilk hedeflemeden bulut altyapısında yetkili erişime kadar geçen sürenin üç saatin altında kaldığını belirtiyor.

Neler oldu?

Microsoft'un aktardığına göre Storm-0940 en az 2021'den beri aktif. Grup 10-14 Ekim arasında 144.172.64.99 adresinden sekiz kurumdaki 327 hesaba parola püskürtme saldırısı düzenledi; 151.000'den fazla başarısız oturum açma denemesi kaydedildi ve 11 Ekim'de dakikada 2.900 denemeyle zirve görüldü. Bu aşamada başarılı bir kimlik doğrulama gözlenmedi.

15 Ekim'de ConnectWise bulut yedekleme ihlaline ilişkin ilk kamuya açık raporlar aynı 144.172.64.x aralığındaki göstergelerle ortaya çıktı; ConnectWise ilk duyurusunu 16 Ekim'de yayımladı. Microsoft, faaliyetin kendi kurumsal sistemlerindeki bir ihlal ya da ürünlerindeki bir açıktan kaynaklanmadığını vurguladı. The Hacker News'in haberine göre ConnectWise hizmetlerini geçici olarak kapattı ve aşamalı olarak yeniden açıyor.

Teknik detaylar

Microsoft'a göre saldırganların ajanları, birkaç ConnectWise bulut uygulamasının kimliklerini ele geçirdikten sonra çalınan uygulama kimlik bilgileriyle müşteri kiracılarına giriş yaptı ve bu uygulamaların zaten sahip olduğu güveni istismar etti. Etkileşimli kullanıcı oturumu gerekmedi. Grup, dakikada yaklaşık 2.900 denemeyle 2.250'den fazla kiracıda oturum açmayı denedi.

Bazı ortamlarda faaliyet Microsoft Graph ve dizin işlemlerine uzandı: keşif, kalıcılık için uygulamalara kimlik bilgisi eklenmesi ve kimlik, grup ve ayrıcalıklı rollerde değişiklikler. Bir vakada ConnectWise yönetim uygulaması kendine Global Administrator rolü atadı. Microsoft, uygulama kimlik bilgileriyle kurulan kalıcılığın uygulama düzeltildikten sonra da arka kapı olarak kalabileceği uyarısını yaparken, etkilenen bir uygulamanın verilere erişildiği anlamına gelmediğini de not ediyor.

The Hacker News'in aktardığına göre Zscaler, DeepSeek'i OpenAI uyumlu bir ağ geçidi üzerinden kullanan özel bir ARTEX kurulumu tespit etti; komut geçmişinde kişisel ve işlem verileri ile ödeme API anahtarlarının istenmesi finansal motivasyona işaret ediyor. Hedeflenen sektörler arasında havacılık ve savunma, enerji, finans, kamu, imalat, yarı iletken ve yazılım bulunuyor.

Ne yapmalı?

Microsoft, ConnectWise müşterilerinin şirket resmî geri yükleme talimatlarını yayımlayana kadar etkilenen uygulama bağlantılarını devre dışı tutmasını ve kanıtları korumak için kurumsal uygulamaları ilk adımda silmemesini öneriyor. Yöneticiler tüm Microsoft 365 kiracılarında uygulama kimliğine göre arama yapmalı, Entra oturum ve denetim kayıtlarını saklamalı, en az 15 Ekim'den itibaren, mümkünse 1 Ekim'e kadar geriye giden hizmet sorumlusu oturumlarını incelemeli.

İncelemede uygulamalara eklenen kimlik bilgileri, yeni hizmet sorumluları veya sahipler, onay izinleri, ayrıcalıklı rol atamaları, Koşullu Erişim değişiklikleri ve olağan dışı e-posta yönlendirme ya da gelen kutusu kuralları kontrol edilmeli. Microsoft göstergeler arasında 144.172.64.128, 144.172.64.99 ve 144.172.64.60 adreslerini ve python-requests/2.31.0, azure-toolkit/1.0 gibi kullanıcı aracılarını listeliyor; ancak avlanmanın yalnızca bu adreslerle sınırlandırılmamasını tavsiye ediyor.