Siber güvenlik dünyasında uzun süredir beklenen “yapay zekâ ajanlarıyla yürütülen saldırılar” artık somut vakalarla belgeleniyor. Microsoft Tehdit İstihbaratı, Çin devletiyle bağlantılı olarak değerlendirdiği Storm-0940 grubunun, açık kaynak bir yapay zekâ sızma testi çerçevesi olan ARTEX’i kullanarak dünya genelinde yüzlerce kuruma yönelik saldırıları otomatikleştirdiğini açıkladı.
Şirketin aktardığına göre bu kampanyanın en dikkat çekici halkası, BT hizmet sağlayıcısı ConnectWise’ın bulut yedekleme ürününe yönelik tedarik zinciri saldırısı oldu. Saldırganlar ele geçirdikleri uygulama kimlikleri üzerinden 2.250’den fazla Microsoft 365 ortamına giriş denedi.
ARTEX nedir?
ARTEX, normalde kurumların kendi sistemlerini test etmesi için geliştirilmiş, herhangi bir yapay zekâ modeliyle çalışabilen açık kaynak bir sızma testi çerçevesi. Go diliyle yazılmış çok ajanlı bir sistem olan araç; keşif aşamasından veri dışarı çıkarmaya kadar bir sızma testini çok az insan müdahalesiyle, birbirine bağlı yapay zekâ ajanlarıyla yürütebiliyor. Ajanlar buldukları varlıkları ve açıkları bir grafikte biriktiriyor.
Microsoft, farklı bölgelerden birden fazla tehdit aktörünün bu aracı kullandığını tespit ettiğini ve ekim ayında Kore’deki finans kuruluşlarına yönelik kişisel veri ihlallerinde de ARTEX kullanımının raporlandığını belirtiyor. Yani meşru bir güvenlik aracı, kötü niyetli ellerde saldırıyı hızlandıran bir motora dönüşmüş durumda.
Dakikada 2.900 giriş denemesi
Raporlara göre Storm-0940, ConnectWise saldırısından hemen önce, 14 Ekim’de sona eren dört günlük bir dönemde sekiz kurumdaki 327 hesaba yönelik bir parola deneme saldırısı yürüttü; 151 binden fazla başarısız giriş denemesi kaydedildi. Ertesi gün grup, aynı altyapı ve yapay zekâ ajanlarıyla ConnectWise Cloud Backup müşterilerinin Microsoft 365 ortamlarına yöneldi.
Saldırganlar, kurumların daha önce erişim izni verdiği ConnectWise uygulamalarının kimliklerini kullandığı için kullanıcıların etkileşimli giriş yapmasına gerek kalmadı. ARTEX sayesinde 2.250’den fazla ortama dakikada 2.900 deneme hızında ulaşıldı. Microsoft’a göre bazı ortamlarda ajanlar kimlik doğrulamanın ötesine geçerek keşif yaptı, uygulama kimlik bilgilerini değiştirdi ve grup ile yetki rollerinde değişiklik girişiminde bulundu. Bazı vakalarda ilk hedeflemeden ayrıcalıklı bulut erişimine kadar geçen süre üç saatin altında kaldı.
Microsoft, olayın kendi sistemlerindeki bir açık ya da ihlalden kaynaklanmadığını vurguluyor ve kaç müşterinin gerçekten ele geçirildiğini açıklamadı. ConnectWise ise etkilenen bağlantıları kapattığını, hizmetleri kontrollü aşamalarla geri getirdiğini ve iş ortaklarının resmi talimat gelene kadar bu bağlantıları kapalı tutması gerektiğini duyurdu.
Kurumlar ne yapmalı?
Microsoft’un önerileri arasında kayıtların korunması, hizmet hesaplarının giriş kayıtlarının, uygulama kimlik bilgilerinin, rollerin, onay izinlerinin ve dizin değişikliklerinin gözden geçirilmesi yer alıyor. Şirket, saldırganların yaptığı yetki değişikliklerinin asıl uygulama temizlense bile “arka kapı” olarak açık kalabileceği uyarısında bulunuyor.
Yapay zekâ okuryazarlığı açısından: Neyi sorgulamalıyız?
Bu vaka, yapay zekânın siber güvenlikte iki yönlü bir araç olduğunu çok net gösteriyor. Savunmacıların sistemlerini test etmek için kullandığı araçlar, saldırganların elinde insanların tepki veremeyeceği bir hıza ulaşabiliyor. Kendimize şu soruları sormakta fayda var:
- Kurumumuzda hangi üçüncü taraf uygulamalara geniş yetkiler verdik ve bunları en son ne zaman gözden geçirdik?
- Saldırılar makine hızında gerçekleşirken insan onayına dayanan güvenlik süreçlerimiz yeterince hızlı mı?
- Açık kaynak saldırı araçlarının yaygınlaşması, küçük işletmeler ve hizmet sağlayıcılar için riski nasıl değiştiriyor?
Tek bir güvenilir bağlantının yüzlerce kuruma kapı açabildiği bir dönemde, “kime ne kadar erişim verdik” sorusu artık sadece BT ekiplerinin değil, yöneticilerin de gündeminde olmalı.
Kaynak: Microsoft Threat Intelligence, ConnectWise, CSO Online, CyberScoop
