Storm-0940, ConnectWise Cloud Backup üzerinden 2.250’den fazla müşteriyi hedef aldı

Microsoft, Çin bağlantılı olduğu değerlendirilen Storm-0940 grubunun ConnectWise Cloud Backup ile ilişkili ele geçirilmiş uygulama kimlik bilgilerini kullanarak 2.250’den fazla Microsoft 365 müşteri ortamına erişmeyi denediğini açıkladı. Saldırının tedarik zinciri niteliği, Cloud Backup’ın müşterilerin ortamlarına önceden yetkilendirilmiş uygulama erişimine sahip olmasından kaynaklanıyor. Microsoft, bazı kuruluşların bulut altyapısında ilk hedeflemeden üç saatten kısa süre içinde ayrıcalıklı erişim elde edildiğini bildirdi.

Storm-0940, keşif ve tarama, password spraying ile OAuth uygulamalarının kötüye kullanılması gibi faaliyetleri ARTEX adlı agentic AI destekli penetration-testing framework üzerinden hızlandırdı. Microsoft’a göre araç, 2.250’den fazla tenant’a oturum açma girişimlerinde kullanıldı ve dakikada 2.900’e kadar deneme üretildi. Bazı ortamlarda Microsoft Graph üzerinden keşif yapıldığı, uygulama kimlik bilgilerinin değiştirildiği ve kalıcı ya da genişletilmiş erişim sağlayabilecek ayrıcalık değişikliklerinin denendiği gözlemlendi.

ConnectWise, Cloud Backup, SaaS Security ve Cloud Management hizmetleriyle ilgili soruşturma ve hizmet restorasyonu sürecini başlattı; şirket, mevcut yedek arşivlerinin şifreli ve izole durumda olduğunu, bunlarda ihlal belirtisi bulunmadığını açıkladı. Ancak uygulama bağlantılarının kontrol altına alınması, saldırganların müşteri ortamlarında daha önce oluşturmuş olabileceği yetkisiz veya kalıcı erişimleri kendiliğinden ortadan kaldırmıyor. Olay, MSP ve bulut hizmetlerindeki tek bir güvenilir bağlantının çok sayıda müşteriye uzanan erişim zincirine dönüşebileceğini gösteriyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.