Çin devlet destekli olduğu değerlendirilen Storm-0940 adlı hacker grubu, yapay zeka destekli sızma testi aracı ARTEX’i kullanarak dünya genelinde yüzlerce kuruluşu hedef alan bir siber saldırı kampanyası yürüttü. Microsoft, saldırının ConnectWise üzerinden gerçekleştirilen bir tedarik zinciri ihlaliyle bağlantılı olduğunu açıkladı.
ConnectWise kullanıldı
Microsoft’un tehdit istihbaratı ekibinin analizlerine göre Storm-0940, BT hizmetleri sağlayıcısı ConnectWise’ın Cloud Backup uygulamasını hedef alan saldırının arkasında yer alıyor. ConnectWise CEO’su Manny Rivelo da Microsoft’un analizleri ve şirketin elindeki kanıtların, saldırının Çin devletine yakın bir grup tarafından gerçekleştirildiğine işaret ettiğini belirtti.
Saldırının tedarik zinciri boyutu ConnectWise’ın çok sayıda müşteriye hizmet veren uygulamasının hedef alınmasından kaynaklanıyor. Saldırganlar, uygulamanın daha önce erişim izni aldığı müşteri ortamlarına kimlik doğrulaması yaparak ulaşabildi. Bu yöntem, her hedefte kullanıcı etkileşimi gerektiren yeni bir oturum açma işlemi yapılmadan saldırıların sürdürülmesini mümkün kıldı.
ConnectWise, etkilenen uygulama bağlantılarını kontrol altına aldığını ve hizmetleri kontrollü bir şekilde yeniden devreye aldığını açıkladı. Ancak şirketin müdahalesi, saldırganların daha önce müşteri ortamlarında elde etmiş olabileceği yetkisiz erişimleri otomatik olarak ortadan kaldırmıyor. Bu nedenle müşterilerin kendi sistemlerini ve erişim kayıtlarını ayrıca incelemesi gerekiyor.
Yapay zeka destekli ARTEX saldırıları hızlandırdı
Microsoft’un tespitlerine göre Storm-0940, saldırı kampanyasında ARTEX adlı açık kaynaklı bir sızma testi çerçevesinden yararlandı. Sızma testleri, ağların ve hizmetlerin güvenlik açıklarını belirlemek amacıyla gerçekleştirilen meşru güvenlik çalışmalarını kapsıyor. ARTEX ise farklı yapay zeka modellerini kullanarak bu süreçteki çeşitli görevlerin otomatikleştirilmesine olanak tanıyor.
Araç, keşif faaliyetleri ve verilerin dışarı aktarılması gibi işlemleri otonom biçimde yürütecek şekilde yapılandırılabiliyor. Bu özellikler, saldırganların hedef sistemler hakkında bilgi toplamasını ve sonraki saldırı adımlarını daha az manuel müdahaleyle gerçekleştirmesini sağlıyor.
Microsoft’a göre ARTEX kullanımı ele geçirilen uygulamalar üzerinden hedef ortamlara erişim sağlama sürecini hızlandırdı. Microsoft, Storm-0940’ın kısa süre içerisinde çok sayıda kuruluşta yüksek ayrıcalıklı ve kalıcı bulut erişimi elde etmeyi başardığını bildirdi. Bu tür erişimler, ilk saldırının izleri temizlense bile saldırganların sistemlerdeki varlıklarını sürdürebilmesi riskini beraberinde getiriyor.
Savunmadan enerjiye kadar birçok sektör hedef alındı
Microsoft’a göre saldırı kampanyası, dünya genelinde farklı sektörlerde faaliyet gösteren yüzlerce kuruluşu kapsadı. Hedefler arasında havacılık ve uzay, savunma, otomotiv, kimya, enerji, finansal hizmetler, kamu kurumları, hukuk, imalat, medya, askeri kuruluşlar, yarı iletken üreticileri, yazılım ve teknoloji şirketleri yer aldı.
Düşünce kuruluşları ve kâr amacı gütmeyen kuruluşlar da hedef alınan gruplar arasındaydı. Microsoft, saldırı girişimlerinin çoğunun başarılı olmadığını belirtirken Storm-0940’ın bazı kuruluşlarda kısa sürede yüksek seviyeli erişim elde edebilmesine dikkat çekti.
Çin’in Washington Büyükelçiliği sözcüsü, konuya ilişkin açıklamasında Pekin yönetiminin siber saldırı faaliyetlerine karşı olduğunu ve bunlarla hukuk çerçevesinde mücadele ettiğini söyledi. Sözcü ayrıca siber güvenlik meselelerinin Çin’e yönelik suçlama ve saldırılar için gerekçe olarak kullanılmasına karşı çıktıklarını ifade etti.
