Çin bağlantılı korsanlar ConnectWise bulut altyapısına sızarak çaldıkları kimlik bilgileri ve yapay zekâ otomasyonuyla 2 bin 250 kurumun verilerine ulaştı.
Üç noktada haber
ConnectWise bulut yedekleme sistemine sızan saldırganlar, şirket ile kurumsal müşteriler arasındaki veri bağlantısını sağlayan uygulama kimlik bilgilerini çaldı.
Saldırganlar ARTEX adlı açık kaynaklı yapay zekâ aracını kullanarak dakikada yaklaşık 3 bin giriş denemesiyle 2 bin 250 kuruluşu hedef aldı.
ConnectWise sızıntı incelemesi kapsamında bulut yedekleme sistemine erişimi askıya aldı ve hizmeti yeniden açmak için çalışma başlattı.
Bilgi teknolojileri yönetimi ve uzaktan erişim yazılımları geliştiren ConnectWise altyapısına düzenlenen siber saldırı, binlerce kurumsal müşteriyi doğrudan etkileyen geniş kapsamlı bir casusluk operasyonuna dönüştü. Microsoft güvenlik araştırmacıları tarafından paylaşılan teknik bulgulara göre, Çin devletiyle bağlantılı siber korsanlar ConnectWise bünyesindeki bulut yedekleme hizmetine sızdı. Bu yetkisiz erişim sonucunda, şirketin kurumsal müşterileriyle veri bağlantısı kurmasını sağlayan uygulama kimlik bilgileri ele geçirildi.
Yetkili Kullanıcı Maskesiyle Dosyalara Erişildi
Saldırganlar, çaldıkları bu kimlik doğrulama anahtarlarını kullanarak doğrudan müşterilerin Microsoft tarafından barındırılan bulut ortamlarına giriş yaptı. Kimlik bilgilerinin geçerli olması nedeniyle sistemler bu bağlantıları meşru ve yetkili kullanıcılar olarak algıladı. Korsanlar bu yöntemle hedef aldıkları şirketlerin e-postalarına, dahili yazışmalarına ve depolanan hassas belgelerine herhangi bir ek güvenlik engeline takılmadan ulaştı.
Yapay Zekâ Savunma Ekiplerine Zaman Bırakmadı
Saldırının yayılma hızını artıran temel unsur, otomatikleştirilmiş yapay zekâ ajanlarının operasyona dahil edilmesi oldu. Güvenlik analizlerine göre korsanlar, siber savunmaları test etmek amacıyla geliştirilmiş açık kaynaklı ARTEX adlı yapay zekâ çerçevesini kullandı. Bu altyapı sayesinde dakikada yaklaşık 3 bin giriş denemesi gerçekleştirildi ve çok kısa süre içinde 2 bin 250'ye yakın kurumun sistemlerine sızıldı. Microsoft, bu düzeydeki bir saldırı hızının savunma ekiplerine durumu tespit edip müdahale etmek için neredeyse hiç zaman tanımadığını vurguladı.
Altyapı Erişime Kapatıldı
Söz konusu yapay zekâ yazılımının daha önce çok faktörlü kimlik doğrulaması bulunmayan ve güvenlik açıkları barındıran Güney Kore finans sistemlerine yönelik saldırılarda da kullanıldığı kayıtlara geçti. Yaşanan ihlalin tespit edilmesinin ardından ConnectWise, kurumsal bulut yedekleme hizmetine erişimi geçici olarak durdurduğunu ve adli inceleme başlattığını açıkladı. Şirket perşembe günü itibarıyla sistemleri güvenli şekilde yeniden devreye almak için çalışmalarını sürdürdüğünü duyurdu.
Neden önemli?Yapay zekâ destekli dakikada 3 bin giriş denemesi, tedarik zincirinde meşru kimlikleri hedef alan saldırılarda savunma ekiplerinin müdahale süresini neredeyse sıfıra indiriyor.
Cevabı beklenen sorular
- Saldırganların Microsoft ortamlarına sızdığı kurumlardan hangi kritik verilerin dışarı sızdırıldığı ve etkilenen kuruluşların tam listesi açıklanacak mı?
- ConnectWise bulut yedekleme hizmetinin güvenlik doğrulamaları tamamlanarak ne zaman tamamen yeniden devreye alınacağı henüz bilinmiyor.
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
