Çin Bağlantılı Hackerlar Yapay Zekâ Destekli Araçla Yüzlerce Kuruluşu Hedef Aldı

Microsoft, Çin devlet destekli olduğu değerlendirilen Storm-0940 adlı hacker grubunun yapay zekâ destekli ARTEX aracını kullanarak dünya genelinde yüzlerce kuruluşu hedef aldığını açıkladı. Saldırı kampanyasında ConnectWise Cloud Backup uygulaması üzerinden müşteri ortamlarına erişim sağlanırken bazı sistemlerde yüksek ayrıcalıklı ve kalıcı bulut erişimi elde edildi. Microsoft’un bulguları, yapay zekâ destekli siber saldırı araçlarının tedarik zinciri güvenliği açısından oluşturduğu riskleri yeniden gündeme getirdi.

ConnectWise Cloud Backup Üzerinden Tedarik Zinciri Saldırısı Gerçekleştirildi

Microsoft’un tehdit istihbaratı ekibinin analizlerine göre Storm-0940, BT hizmetleri sağlayıcısı ConnectWise’ın Cloud Backup uygulamasını hedef alan saldırı kampanyasıyla ilişkilendirildi. ConnectWise CEO’su Manny Rivelo da Microsoft’un analizleriyle şirketin elindeki kanıtların Çin devletine yakın bir gruba işaret ettiğini belirtti.

Saldırının tedarik zinciri boyutu, ConnectWise uygulamasının birden fazla müşterinin sistemlerine erişim sağlamasıyla bağlantılı. Saldırganlar, uygulamanın daha önce yetkilendirildiği müşteri ortamlarına mevcut kimlik doğrulama mekanizmaları üzerinden ulaşabildi. Böylece her hedef için kullanıcı etkileşimi gerektiren yeni bir oturum açma sürecine ihtiyaç duymadan saldırılarını sürdürebildi.

ConnectWise, etkilenen uygulama bağlantılarını kontrol altına aldığını ve hizmetleri kontrollü biçimde yeniden devreye aldığını açıkladı. Ancak uygulama bağlantılarının kapatılması, saldırganların daha önce müşteri sistemlerinde elde etmiş olabileceği erişimlerin tamamını otomatik olarak ortadan kaldırmıyor. Bu nedenle kuruluşların erişim kayıtlarını, hesap yetkilerini ve bulut ortamlarındaki şüpheli faaliyetleri ayrıca incelemesi gerekiyor.

Microsoft’un tespitlerine göre Storm-0940, saldırı kampanyasında ARTEX adlı açık kaynaklı bir sızma testi çerçevesinden yararlandı. Sızma testi araçları, sistemlerdeki güvenlik açıklarını belirlemek amacıyla meşru güvenlik çalışmalarında da kullanılıyor. ARTEX ise farklı yapay zekâ modellerinden yararlanarak keşif ve veri dışarı aktarma gibi görevlerin otomatikleştirilmesine olanak tanıyor.

Yapay zekâ destekli otomasyon, saldırganların hedef sistemler hakkında bilgi toplamasını ve sonraki adımları daha az manuel müdahaleyle gerçekleştirmesini sağlayabiliyor. Microsoft, ARTEX kullanımının ele geçirilen uygulamalar üzerinden hedef ortamlara erişim sürecini hızlandırdığını bildirdi.

Saldırının önemli unsurlarından biri, bazı kuruluşlarda yüksek ayrıcalıklı erişim elde edilmesi oldu. Yüksek yetkili hesaplar, saldırganlara bulut kaynakları ve kurumsal veriler üzerinde geniş erişim imkânı sağlayabilir. Kalıcı erişim ise ilk ihlal tespit edilip bazı bağlantılar kapatılsa bile saldırganların sistemlerdeki varlığını sürdürmesi riskini doğuruyor.

Microsoft’un değerlendirmesine göre Storm-0940, kısa süre içinde çok sayıda kuruluşta yüksek ayrıcalıklı ve kalıcı bulut erişimi elde etmeyi başardı. Bununla birlikte, yapay zekâ aracının saldırının her aşamasında hangi ölçüde kullanıldığına ilişkin ayrıntılar paylaşılan bilgilerde bütünüyle açıklanmadı.

Microsoft, saldırı kampanyasının farklı ülkelerde ve sektörlerde faaliyet gösteren yüzlerce kuruluşu kapsadığını bildirdi. Hedefler arasında havacılık ve uzay, savunma, otomotiv, kimya, enerji, finansal hizmetler, kamu kurumları, hukuk, imalat, medya ve askeri kuruluşlar yer aldı.

Yarı iletken üreticileri, yazılım şirketleri, teknoloji kuruluşları, düşünce kuruluşları ve kâr amacı gütmeyen kurumlar da hedef alınan gruplar arasında sıralandı. Sektör çeşitliliği, saldırı kampanyasının tek bir ticari alana odaklanmadığını ortaya koydu.

Microsoft, girişimlerin çoğunun başarılı olmadığını belirtirken bazı kuruluşlarda kısa sürede yüksek seviyeli erişim elde edilmesini önemli bir risk olarak değerlendirdi. Bu durum, saldırı girişimlerinin sayısından bağımsız olarak başarılı ihlallerin etkisinin ayrıca incelenmesi gerektiğini gösteriyor.

Kuruluşlar açısından risk yalnızca ilk erişimin sağlanmasıyla sınırlı kalmıyor. Saldırganların yetkilerini genişletmesi, bulut kaynaklarında kalıcılık sağlaması ve hassas bilgileri dışarı aktarması, ihlalin etkisini artırabiliyor. Bu nedenle olay müdahale süreçlerinin uygulama bağlantılarının kontrol altına alınmasıyla sona ermemesi gerekiyor.

Çin’in Washington Büyükelçiliği sözcüsü, konuya ilişkin açıklamasında Pekin yönetiminin siber saldırı faaliyetlerine karşı olduğunu ve bu faaliyetlerle hukuk çerçevesinde mücadele ettiğini söyledi. Sözcü ayrıca siber güvenlik konularının Çin’e yönelik suçlamalar ve saldırılar için gerekçe olarak kullanılmasına karşı çıktıklarını ifade etti.

Microsoft’un değerlendirmesi Storm-0940 grubunu Çin devlet destekli bir aktör olarak tanımlarken Çin tarafı siber saldırılara karşı olduğunu belirtti. Dolayısıyla saldırının sorumluluğuna ilişkin değerlendirmeler, Microsoft’un teknik analizleri ile Çin yönetiminin açıklamaları çerçevesinde ele alınmalı.

ConnectWise Cloud Backup üzerinden gerçekleştiği bildirilen saldırı, üçüncü taraf uygulamalara verilen erişim izinlerinin düzenli biçimde denetlenmesinin önemini ortaya koydu. Kuruluşların özellikle yedekleme yazılımları, yönetim araçları ve birden fazla müşteri ortamına erişebilen hizmetlerde kullanılan kimlik doğrulama kayıtlarını incelemesi gerekiyor.

Güvenlik ekiplerinin şüpheli oturumları, beklenmedik yetki değişikliklerini, olağan dışı veri aktarımını ve kalıcı erişim oluşturabilecek hesapları kontrol etmesi önem taşıyor. Etkilenen kuruluşların yalnızca uygulama bağlantılarını yenilemesi yerine, mevcut erişim belirteçlerini, hesap izinlerini ve bulut ortamındaki güvenlik kayıtlarını da değerlendirmesi gerekiyor.

ARTEX örneği, yapay zekâ destekli otomasyonun siber güvenlik alanında hem savunma hem de saldırı amaçlı kullanılabileceğini gösteriyor. Kuruluşların bu riski azaltması, üçüncü taraf yazılımların güvenliğinin izlenmesine, en az ayrıcalık ilkesinin uygulanmasına ve ihlal sonrasında kalıcı erişimlerin kapsamlı biçimde araştırılmasına bağlı olacak.