Selamlar,
Microsoft, ConnectWise Cloud Backup tedarik zinciri saldırısını Çin devleti bağlantılı Storm-0940 aktörüne atfetti. Dikkat çeken yön: aktör, açık kaynaklı ajan tabanlı bir sızma testi çerçevesi olan ARTEX'i kullanarak keşif, parola püskürtme ve OAuth kötüye kullanımını "makine hızına" çıkardı. SecurityWeek ve CyberScoop konuyu aktardı. Bu, YZ ajanlarının saldırı hızını nasıl değiştirdiğini gösteren somut bir vaka. Burada olayı ve kurumsal savunma adımlarını özetliyorum.
Konuda anlatılacaklar
- ARTEX nedir?
- Olay zinciri: parola püskürtmeden OAuth kötüye kullanımına
- Rakamlar: 2.250 kiracı, 2.900 deneme/dakika
- Kalıcılığın kurnazlığı: uygulama kimlik bilgisi değiştirme
- Savunma: servis sorumlusu girişlerini izlemek
1. ARTEX nedir?
Microsoft'a göre ARTEX, herhangi bir YZ modeliyle çalışabilen, Go ile yazılmış ve Next.js ön yüzü olan çok ajanlı bir LLM sistemidir. Keşiften veri sızdırmaya kadar otonom bir sızma testini çok az insan müdahalesiyle yürütebiliyor; keşfedilen varlık ve zafiyetleri bir grafa topluyor. Microsoft birden fazla coğrafyadaki tehdit aktörünün ARTEX'i kullandığını belirtiyor.
2. Olay zinciri
- Eylül 2026 başından itibaren Storm-0940 ARTEX'i yüzlerce kurumu hedeflemek için kullandı (havacılık, savunma, otomotiv, enerji, finans, kamu, hukuk, üretim, medya, yarı iletken, yazılım, düşünce kuruluşları).
- 10-14 Ekim arası, sekiz kurumda 327 hesaba karşı otomatik, kiracılar arası parola püskürtmesi yapıldı.
- 15 Ekim'de ConnectWise'a yöneldi; ele geçirilmiş ConnectWise uygulama kimlik bilgileriyle müşteri Microsoft 365 ortamlarına erişti.
3. Rakamlar
Kod:
Hedeflenen hesap (8 kurum) : 327
Pik hız : 2.900 deneme/dakika
Başarısız giriş olayı : 151.000+
Denenen kiracı sayısı : 2.250+4. Kalıcılığın kurnazlığı
En önemli savunma dersi burada: saldırganlar uygulama kimlik bilgilerini değiştirerek, etkilenen uygulama temizlendikten sonra bile erişimlerini sürdürdü. Yani sadece "kötü uygulamayı kaldırmak" yetmiyor; uygulamaya eklenmiş yeni sırlar/sertifikalar da temizlenmeli.
5. Savunma kontrol listesi
- Servis sorumlusu (service principal) girişlerini izleyin. Microsoft, bu girişleri sonraki Graph aktivitesi, dizin değişiklikleri ve kaynak erişimiyle ilişkilendirmeyi öneriyor.
- OAuth uygulama izinlerini denetleyin. Yüksek yetkili üçüncü taraf uygulamalar, kendi kapsamının ötesine erişim sağlayabilir.
- Uygulama kimlik bilgisi/sertifika eklemelerini alarmlayın. Beklenmeyen yeni secret bir kalıcılık göstergesidir.
- Koşullu erişim ve zorunlu MFA ile parola püskürtmeyi zorlaştırın.
- Ani, yüksek hacimli başarısız giriş (dakikada binlerce) için eşik tabanlı tespit kurun.
Sonuç
Bu vaka, YZ'nin saldırı temellerini değil hızını değiştirdiğini gösteriyor. Dakikada binlerce deneme ve saatler içinde kalıcı erişim, insan hızında yazılmış oyun kitaplarının makine hızına çıkmış hali. Savunma da aynı ölçekte otomasyon ister. Siz OAuth uygulama izinlerinizi en son ne zaman denetlediniz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar