Storm-0940, ARTEX ajanlarıyla ConnectWise tedarik zincirini hedef aldı

Microsoft, Çin devlet bağlantılı Storm-0940 aktörünün ConnectWise Cloud Backup uygulamasındaki tedarik zinciri ihlalinden sorumlu olduğunu bildirdi. Aktör, ARTEX adlı Go tabanlı agentic AI penetration testing framework’ünü kullanarak ConnectWise uygulamalarının daha önce yetkilendirildiği müşteri Microsoft 365 ortamlarına erişti; bu süreçte çalınan uygulama kimlik bilgilerinden yararlanıldı.

Microsoft’a göre ARTEX, tarama ve reconnaissance, password spraying ile OAuth uygulaması kötüye kullanımını otomatikleştirerek saldırıların yüzlerce kuruluşa ölçeklenmesini sağladı. ConnectWise olayı sırasında ajanlar 2.250’den fazla tenant’a dakikada 2.900 oturum açma denemesi gerçekleştirdi. Bazı ortamlarda ilk hedeflemeden ayrıcalıklı erişime geçişin üç saatten kısa sürdüğü belirtildi.

Saldırı sonrasında Microsoft Graph üzerinden reconnaissance, uygulama kimlik bilgilerinin değiştirilmesi ve kimlikler, gruplar ile ayrıcalıklı roller üzerinde değişiklik yapma girişimleri gözlendi. Microsoft, bu değişikliklerin kalıcı erişim sağlayabilecek bir arka kapı olarak kalabileceğini belirtiyor; ancak etkilenen uygulamanın veya başarılı kimlik doğrulamanın müşteri verilerine erişildiği ya da verilerin dışarı aktarıldığı anlamına gelmediğini vurguluyor.

Kampanya, agentic AI araçlarının saldırganların mevcut operasyonlarını otomatikleştirerek hızlandırabildiğini ve savunma ekiplerinin müdahale süresini daralttığını gösteriyor. ConnectWise ve benzeri SaaS, bulut yedekleme ve kimlik entegrasyonlarını kullanan kuruluşlar açısından uygulama kimlikleri, service principal oturumları ve beklenmeyen ayrıcalık değişiklikleri tedarik zinciri riskinin önemli izleme noktaları haline geliyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.