Microsoft, Çin'e bağlı Storm-0940 tehdidinin ConnectWise Cloud Backup üzerinden tedarik zinciri saldırısı düzenlediğini açıkladı. Saldırganlar ajan tabanlı yapay zekâ çerçevesi ARTEX kullanarak 2.250'den fazla Microsoft 365 kiracısına erişmeye çalıştı. ConnectWise yedekleme hizmetini askıya aldı ve müşterilerden bağlantıları çevrimdışı tutmalarını istedi.
Microsoft araştırmacılarına göre Çin'e bağlı hackerlar ConnectWise'ın bulut yedekleme servisine sızarak müşteri kimlik bilgilerini çaldı. Ele geçirilen bilgilerle 2.250'ye yakın kuruluşun Microsoft ortamına yetkisiz giriş yapıldı. Saldırı hızının yapay zekâ ajanları sayesinde sağlandığı belirtildi.
Microsoft, Çin'e bağlı Storm-0940'un ConnectWise Cloud Backup uygulamasını hedef alan tedarik zinciri saldırısında ARTEX adlı yapay zekâ destekli penetrasyon test çerçevesini kullandığını açıkladı. Saldırı Eylül 2026'dan itibaren yüzlerce kuruluşa yayılırken, 10-14 Ekim'de 2.900 giriş denemesi/dakika hızına ulaşan otomatik şifre püskürtme kampanyası tespit edildi. ConnectWise hizmetleri geçici olarak durduruldu ve kademeli olarak yeniden açılıyor.
ConnectWise, Cloud Backup ile ilişkili uygulama kimliklerine yetkisiz erişim yaratan güvenlik olayı sonrası düzeltme adımları attığını ve bulut yedekleme hizmetini askıya aldığını açıkladı. Şirket 17 Ekim'de başlayan azaltma çalışmalarıyla hesapları sıfırladı, idari erişim korumalarını güçlendirdi ve üçüncü taraf uzman desteği aldı. Siber güvenlik firması Huntress, olayla bağlantılı IP adreslerini paylaştı ve iki kiracıda benzer yetki yükseltme izleri tespit edildiğini bildirdi.
ConnectWise, Cloud Backup ürününe ait uygulama kimliklerine 14 Ekim’de yetkisiz erişim tespit ettiğini açıkladı ve 17 Ekim’de hizmeti devre dışı bıraktı. Araştırmacılar kimlik bilgilerinin kötüye kullanılarak binlerce Microsoft 365 kiracısına giriş yapıldığını öne sürerken, şirket müşteri tarafında doğrulanmış bir etki olmadığını belirtiyor.
ConnectWise, bilinmeyen tehdit aktörlerinin uygulama kimliklerine yetkisiz erişim sağlayıp Microsoft 365 kiracılarını tehlikeye attığı olayın ardından yedi uygulama kimliğini devre dışı bıraktı ve Cloud Backup hizmetini durdurdu. Şirket 14 Ekim’de fark ettiği saldırıyla ilgili incelemesini sürdürürken Huntress, 15 Ekim’de hedefli ikinci bir saldırı dalgası tespit edildiğini bildirdi.
Siber güvenlik araştırmacıları, ConnectWise ScreenConnect altyapısını kötüye kullanan ve yeni bağlanan sistemlere kötü amaçlı VBScript dosyaları bulaştıran solucan benzeri bir siber saldırının detaylarını paylaştı. Saldırganlar, teknik destek dolandırıcılığı ve oltalama gibi yöntemlerle dört aşamalı bir zararlı yazılım zincirini tetikliyor.