Yakın zamanda yapılan güvenlik araştırmaları, Çin bağlantılı Storm-0940 siber tehdit grubunun, dünya genelinde çeşitli endüstri sektörlerindeki yüzlerce kuruluşu hedef alan geniş çaplı saldırılar gerçekleştirmek için ARTEX adlı yapay zeka destekli sızma testi çerçevesini kullandığını ortaya çıkardı. Bu otomatik saldırılar, birçok vakada saldırganın kurbanların bulut altyapılarına ayrıcalıklı erişim sağlamasıyla sonuçlandı; bazı durumlarda ilk hedefleme aşamasından ayrıcalıklı erişim elde edilmesine kadar geçen süre üç saati bile aşmadı.
Teknik veriler, zararlı faaliyetin yakın zamanda duyurulan ConnectWise çok kiracılı uygulama tedarik zinciri ihlali ile doğrudan bağlantılı olduğunu gösterdi. Bu gelişmeler, tehdit gruplarının geleneksel saldırı güvenliği iş akışlarına yapay zeka aracı sistemlerini nasıl entegre etmeye başladığını ve 7/24 kesintisiz çalışarak ve aynı anda birden fazla yolu ihlal etmeye çalışarak insan kısıtlamalarını nasıl aştığını gözler önüne seriyor.
ARTEX çerçevesi ile saldırı mekanizması ve uygulama hızı
ARTEX çerçevesi, büyük dil modellerine dayanan, Go diliyle yazılmış ve Next.js tabanlı bir kullanıcı arayüzüne sahip çok aracılı bir sistemdir. Bu sistem, keşif aşamasından veri sızdırma aşamasına kadar, neredeyse hiç insan müdahalesi olmadan tamamen otonom bir sızma testi gerçekleştirebilir. ConnectWise olayında Storm-0940 grubu, bu çerçeveyi tarama ve keşif işlemlerini hızlandırmak, parola püskürtme (password spraying) saldırıları yapmak ve OAuth API'leri aracılığıyla uygulama bilgilerini toplamak için kullandı.
- Parola püskürtme saldırıları: Saldırganların altyapısı, Microsoft 365 ve Exchange Online'a erişmek için 8 kuruluş genelinde 327 hesabı hedefleyen otomatik bir kampanya yürüttü ve dakikada 2.900 başarısız denemeye varan rekor seviyelerde binlerce başarısız kimlik doğrulama girişimi kaydetti.
- Uygulama kimlik bilgilerinin kötüye kullanımı: ConnectWise'a ait birden fazla bulut uygulamasının kimliklerinin ele geçirilmesinin ardından, yapay zeka aracıları insan etkileşimine gerek kalmadan müşteri ortamlarında kimlik doğrulaması yapmak için aynı IP adresi aralığını kullandı.
- Sonraki faaliyetler: Bu faaliyetler, Microsoft Graph aracılığıyla keşif işlemlerini ve kalıcılığı sağlamak, rolleri ve ayrıcalıklı yetkileri değiştirmek için uygulama kimlik bilgilerinde yapılan değişiklikleri içeriyordu.
Kurumlar için pratikte neler değişiyor?
Bu saldırılar, siber tehditlerin hızı ve ölçeğinde niteliksel bir değişimi temsil ediyor; otomatik aracıların kullanılması, savunmacıların geleneksel manuel yöntemlere kıyasla saldırıyı tespit etme, müdahale etme ve karşı koyma süresini ciddi oranda azaltıyor. Etkilenen uygulamanın varlığı veya bir kimlik doğrulamanın gerçekleşmesi mutlaka müşteri verilerinin sızdığı anlamına gelmese de, hizmet kimlik bilgilerinde yapılan değişiklikler, orijinal uygulama düzeltildikten sonra bile aktif arka kapılar bırakabilir.
Azaltma ve teknik koruma yönergeleri
Güvenlik makamları, riskleri kontrol altına almak ve etkilenen altyapıları güvence altına almak için aşağıdaki adımların atılmasını tavsiye etti:
- Etkilenen ConnectWise uygulama bağlantılarını, tedarikçi firmadan resmi bir geri yükleme talimatı gelene kadar devre dışı bırakın.
- İlk müdahale olarak kurumsal uygulamaları silmekten kaçının ve yapılandırma günlüklerini ve adli kanıtları kaydetmeye odaklanın.
- Her Microsoft 365 kiracısında olayla bağlantılı dört hizmet yöneticisi kimliğini ve uygulama kimliğini gözden geçirin.
- Microsoft Entra denetim günlüklerini ve Microsoft Purview günlüklerini, olağan dışı kimlik bilgisi eklemeleri veya ayrıcalıklı rol yetkileri açısından inceleyin.