Çinlə bağlı Storm-0940 ConnectWise təchizat zənciri hücumunda ARTEX AI agentlərindən istifadə edib

Təchizat zəncirinin pozulması

Microsoft, Çinlə bağlı təhdid aktyoru Storm-0940-ın təchizat zənciri hücumunda ConnectWise Cloud Backup tətbiqini pozduğunu bildirdi. Qrup ən azı 2021-ci ildən fəaliyyətdədir və noyabr 2024-cü ildə Microsoft tərəfindən ilk dəfə ətraflı təsvir edilib. Storm-0940 Quad7 kimi tanınan botnetdən istifadə edərək çox gizli parol püskürtmə hücumları həyata keçirir və ilkin giriş üçün internetə açıq tətbiqləri sömürür.

ARTEX AI agentlərindən istifadə

Hücumçular Cənubi Koreyanın maliyyə institutlarına qarşı sui-istifadədən sonra qapalı mənbəli hala gətirilən, Go əsaslı agent AI penetrasiya test çərçivəsi olan ARTEX-dən istifadə etdilər. ARTEX qrupa 2026-cı ilin sentyabrından bəri dünya üzrə yüzlərlə təşkilatda skan, kəşfiyyat, parol püskürtmə və OAuth tətbiq sui-istifadəsini maşın sürəti ilə avtomatlaşdırmağa imkan verdi. ConnectWise hadisəsində AI agentləri dəqiqədə 2 900 cəhd sürəti ilə 2 250-dən çox tenantə daxil olmağa çalışdı. 10-14 oktyabr 2026 tarixlərində 144.172.64.99 ünvanındaki infrastruktur səkkiz təşkilatda 327 hesabı hədəf alan tenantlararası parol püskürtmə kampaniyasına başladı və 11 oktyabrda dəqiqədə 2 900 uğursuzluq zirvəsi ilə 151 000-dən çox uğursuz giriş hadisəsi yaratdı. Bu dövrdə uğurlu autentifikasiya müşahidə olunmadı. 15 oktyabr 2026-da agentlər bir neçə ConnectWise bulud tətbiqi identifikatoruna nəzarəti ələ keçirdi və onlardan müştəri mühitlərində autentifikasiya üçün istifadə edərək Microsoft Graph və kataloq əməliyyatlarını, o cümlədən kəşfiyyatı, etimad məlumatlarının dəyişdirilməsini və imtiyazlı rol dəyişikliklərini yerinə yetirdi.

Təsir və cavab

ARTEX tərəfindən idarə olunan hücumlar bir neçə halda imtiyazlı bulud girişinə səbəb oldu; ilk hədəfləmədən imtiyazlı girişə qədər olan vaxt üç saatdan az ölçüldü. Microsoft agentlərin etdiyi etimad məlumatı dəyişikliklərinin orijinal zədələnmiş tətbiq aradan qaldırıldıqdan sonra da arxa qapı kimi aktiv qala biləcəyi barədə xəbərdarlıq etdi. Çərçivə həmçinin bir neçə coğrafi regionda təhdid aktyorları tərəfindən mənimsənilib. ConnectWise kampaniyanın hər hansı bir şirkətlə məhdudlaşmadığını və dövlət dəstəkli aktyorların proqram təminatı təchizat zəncirini getdikcə daha çox hədəf aldığını bildirdi. Şirkət xidmətləri müvəqqəti dayandırdı və onları mərhələlərlə bərpa edir; bu prosesin bir neçə gün çəkəcəyini bildirib.

Əvvəlki məqalə: ConnectWise hücumdan sonra Microsoft 365 tenantlarində Cloud Backup-i dayandırdı

Mənbələr: The Hacker News