Çinlə əlaqəli hakerlər ConnectWise buludundan Microsoft 365-ə hücum etdi

    Çin dövləti ilə əlaqəli “Storm-0940” qrupu “ConnectWise” bulud xidmətinə daxil olduqdan sonra genişmiqyaslı təchizat zənciri hücumuna başlayıb. Yəni hakerlər bir xidmət üzərindən onun çoxsaylı müştərilərini hədəfə alıblar. Oğurlanmış tətbiq giriş məlumatları ilə 2 250-dən çox “Microsoft 365” mühitinə daxil olmağa çalışıblar. Prosesi sürətləndirmək üçün süni intellektlə işləyən agentlərdən yararlanıblar.

    Oğurlanan giriş məlumatları “ConnectWise” ilə korporativ müştərilər arasında əlaqə quran bulud tətbiqlərinə aid olub. Həmin tətbiqlər istifadəçinin iştirakı olmadan etibarlı xidmət kimi tanınıb. Beləliklə, hakerlər müştərilərin sistemlərinə daxil ola biliblər. Onlar e-poçt və fayllara baxa bilsələr də, hansı məlumatları götürdükləri bilinmir. Giriş məlumatlarının necə oğurlandığı və neçə müştərinin zərər çəkdiyi də hələ dəqiqləşməyib.

    Hücumu avtomatlaşdırmaq üçün açıq mənbəli “ARTEX” sistemindən istifadə olunub. Sistem süni intellekt modelləri ilə insan müdaxiləsi olmadan təhlükəsizlik sınaqları aparır. O, şəbəkəni yoxlayır, məlumat toplayır, çoxsaylı parolları sınayır və giriş icazəsi verən OAuth tətbiqlərindən sui-istifadə edir. Bəzi hədəflərdə ilk cəhddən 3 saat keçməmiş yüksək səlahiyyətlər ələ keçirilib. Belə agentlər az insan müdaxiləsi ilə gecə-gündüz işləyə bilir.

    Avtomatik parol sınaqları 8 təşkilatdakı 327 hesabı əhatə edib. Ümumilikdə 151 000-dən çox uğursuz giriş qeydə alınıb. Oktyabrın 11-də hücumun sürəti dəqiqədə 2 900 cəhdə çatıb. Həmin gün giriş cəhdlərinin sayı 111 000-i keçib. 48 hesabın hər birində 1 000-dən çox uğursuz cəhd olub. Təhlükəsizlik sistemləri bütün cəhdlərin təxminən 98%-ni bloklayıb.

    Hücumda 4 tətbiqin giriş məlumatından yararlanılıb. Bununla 4 dəqiqədən az vaxtda 200-dən çox dəfə sistemlərə daxil olunub. Oktyabrın 16-dək 162 mühitə icazəsiz giriş təsdiqlənib. Ertəsi gün hücumda işlədilən IP ünvanından təxminən 1 000 “Microsoft Entra” mühitinə qoşulma cəhdi aşkarlanıb və 300-dən çox giriş uğurlu olub. Bəzi mühitlərdə hesablar, qruplar, tətbiq məlumatları və yüksək səlahiyyətli rollar dəyişdirilib. Oktyabrın 15-də tətbiqlərdən biri özünə qlobal administrator səlahiyyəti verib və 2028-ci ildə bitəcək yeni məxfi açarlar yaradıb.

    “Storm-0940” 2021-ci ildən aktivdir. Qrup bu hücumda aerokosmik və müdafiə, yarımkeçirici, dövlət qurumları və analitik mərkəzlər də daxil olmaqla 14 sahəni hədəfə alıb. “Microsoft” hadisənin şirkətin sistemlərindəki boşluqdan və ya məhsullarının sındırılmasından qaynaqlanmadığını deyib. “ARTEX” daha əvvəl Cənubi Koreyanın maliyyə qurumlarına hücumlarla da əlaqələndirilib. Həmin hücumlarda “Anthropic Claude Code”un işlədildiyi güman olunur. Sistemin “Autumn-27” ləqəbli müəllifi layihəni daha yeniləməyəcəyini və proqramın kodunu qapalı edəcəyini açıqlayıb.

    “ConnectWise” ehtiyat tədbiri kimi “Cloud Backup”, “SaaS Security” və “Cloud Management” xidmətlərinə girişi dayandırıb. “SkyKick” adı ilə tanınan bulud ehtiyatlama xidmətinin hissə-hissə bərpasına başlanıb. Prosesin bir neçə gün çəkəcəyi gözlənilir. Hələlik tərəfdaşların ehtiyat nüsxələrinin ələ keçirildiyini göstərən əlamət yoxdur. Tətbiqə uğurlu giriş məlumatların oxunduğunu və ya götürüldüyünü təsdiqləmir. Müştərilərə rəsmi bərpa göstərişinədək təsirlənmiş tətbiq bağlantılarını söndürmək və oktyabr ayına aid giriş qeydlərini yoxlamaq tövsiyə olunur.