Çin Bağlantılı Storm-0940, ARTEX Yapay Zeka Ajanlarıyla ConnectWise Tedarik Zincirini Hedef Aldı

Microsoft, Çarşamba günü yaptığı açıklamada Çin devletiyle hizalı olduğu değerlendirilen Storm-0940 adlı tehdit aktörünün ConnectWise Cloud Backup uygulamasını hedef alan tedarik zinciri saldırısının arkasında olduğunu duyurdu. Saldırıda, daha önce Güney Koreli finans kuruluşlarına yönelik kötüye kullanımının ardından kapalı kaynak hale getirilen Go tabanlı ajanlı yapay zeka sızma test çerçevesi ARTEX kullanıldı. Storm-0940, bu araçla tarama ve keşif, parola püskürtme ile OAuth uygulama kötüye kullanımı işlemlerini otomatikleştirerek Eylül 2026'dan bu yana dünya genelinde yüzlerce kuruluşu hedef aldı.

ARTEX Nedir ve Saldırıda Nasıl Kullanıldı?​

ARTEX, Go programlama diliyle geliştirilmiş, ajanlı yapay zeka mimarisine dayanan bir sızma test çerçevesidir. Microsoft'un aktarımına göre Storm-0940, bu aracı "makine hızında" çalıştırarak saldırıları otomatize etti. Tehdit aktörü, halihazırda belirli kiracılara erişim yetkisi tanınmış ConnectWise bulut uygulamalarının kimliklerini ele geçirdikten sonra ARTEX ajanlarını bu kimlikler üzerinden müşteri ortamlarına yönlendirdi. Bu yöntem, etkileşimli kullanıcı girişi gerektirmeden hedef sistemlere erişim sağlanmasına olanak tanıdı.
Microsoft, ARTEX güdümlü saldırıların bir bölümünde tehdit aktörünün hedef kuruluşların bulut altyapısına ayrıcalıklı erişim elde ettiğini belirtti. Bazı vakalarda ilk hedefleme ile ayrıcalıklı erişim arasındaki sürenin üç saatin altında kaldığı saptandı. Ajanlı yapay zekanın devreye girdiği takip faaliyetleri arasında keşif, uygulama kimlik bilgisi değişiklikleri ve kimlik ile grup ile ayrıcalıklı rol değişikliklerini kapsayan kalıcılık girişimleri yer aldı.

ConnectWise Olayının Kronolojisi​

Microsoft'un paylaştığı verilere göre Storm-0940, ConnectWise olayı kapsamında ARTEX'i kullanarak dakikada 2.900 oturum açma girişimiyle 2.250'den fazla kiracıya erişmeye çalıştı. 10-14 Ekim 2026 tarihleri arasında 144.172.64[.]99 adresindeki Storm-0940 altyapısı, sekiz kuruluş genelindeki 327 hesabı hedef alan otomatik bir çapraz kiracı parola püskürtme kampanyası yürüttü. Bu süreçte Microsoft, 151.000'i aşkın başarısız oturum açma olayı tespit etti. Aktivite, 11 Ekim'de zirveye ulaşarak tek bir günde 111.000'den fazla başarısız girişim kaydedildi; 48 hesap 1.000'den fazla başarısız denemeyle karşılaştı. Microsoft, bu pencerede başarılı kimlik doğrulama, token üretimi, Graph çağrısı veya dizin değişikliği tespit edilmediğini vurguladı.
Tablo 15 Ekim 2026'da değişti. Yapay zeka ajanları, birden fazla ConnectWise bulut uygulamasının kimliklerini ele geçirerek bu kimlikler aracılığıyla müşteri ortamlarına erişmeye başladı. Microsoft, ajanların bazı durumlarda kimlik doğrulamanın ötesine geçerek Microsoft Graph ve dizin işlemlerine ilerlediğini bildirdi. Söz konusu işlemler arasında keşif, kalıcılık sağlamaya yönelik uygulama kimlik bilgisi değişiklikleri ile kimlik, grup ve ayrıcalıklı rol değişiklikleri yer aldı. Microsoft, bu değişikliklerin orijinal güvenliği ihlal edilmiş uygulama giderildikten sonra bile arka kapı olarak etkin kalabileceği uyarısında bulundu.

Hedef Sektörler ve Storm-0940'ın Geçmişi​

Saldırıların hedef aldığı sektörler arasında havacılık ve savunma, otomotiv, kimyasallar, enerji, finansal hizmetler, kamu, hukuk, imalat, medya, askeri, yarı iletken, yazılım, teknoloji ile düşünce kuruluşları ve kar amacı gütmeyen kuruluşlar yer aldı. Storm-0940, Microsoft tarafından ilk kez Kasım 2024'te ayrıntılı biçimde ele alınmıştı. O dönemde tehdit aktörünün, yüksek kaçınma kapasitesine sahip parola püskürtme saldırıları gerçekleştirmek amacıyla Quad7 (diğer adıyla CovertNetwork-1658) olarak bilinen bir botnet'ten yararlandığı ortaya konulmuştu. Grubun en az 2021'den bu yana aktif olduğu değerlendirilmektedir.
Storm-0940'ın bilinen taktikleri arasında internete açık uygulamaları istismar ederek ilk erişim sağlamak, ardından ele geçirilen hesaplarla hedef ortamlarda yanal hareket etmek ve Microsoft 365 kaynaklarına sürekli erişimi güvence altına almak amacıyla bulut altyapılarındaki mevcut OAuth uygulamalarına kimlik bilgileri eklemek yer alıyor.

Microsoft ve ConnectWise'ın Değerlendirmeleri​

Microsoft, ARTEX'i yalnızca Storm-0940'ın kullandığını değil, birden fazla coğrafi bölgeden tehdit aktörlerinin bu çerçeveyi operasyonlarında silahlandırdığını açıkladı. Şirket, ajanlı yapay zeka araçlarının insan faktörüyle kısıtlı olmadığının altını çizdi: "Ajanlar insanları etkileyen faktörlerle kısıtlı değildir; günün her saati, hafta sonları ve tatil günlerinde çalışabilir ve aynı anda birden fazla ihlal yolunu deneyebilirler. Bu durum, hedef seçiminden amaca ulaşmaya kadar geçen süreyi önemli ölçüde kısaltarak tedarik zinciri ihlalleri gibi karmaşık saldırıların hızını ve etkisini artırıyor."
ConnectWise, saldırıların ardından hizmetlerini geçici olarak kapattı ve hizmetleri aşamalı olarak yeniden devreye almaya başladı; bu sürecin birkaç gün süreceği belirtildi. Şirket, olayın "herhangi bir şirketin çok ötesine geçen bir kampanyayı" tanımladığını, ulus-devlet aktörlerinin yazılım tedarik zincirini giderek daha fazla hedef aldığını ve yapay zekanın bu bağlantıları makine hızında test etmelerine imkân tanıdığını vurguladı. ConnectWise, yönetilen hizmet sağlayıcılarının hem doğrudan hedef hem de müşterilerine açılan bir geçit konumunda olduğunu ifade ederek her satıcının ve her MSP'nin bu iki riski göz önünde bulundurarak savunma yapması gerektiğini belirtti.

Sıkça Sorulan Sorular​

Storm-0940 kimdir ve ne zamandan bu yana aktiftir?​

Storm-0940, Çin devletiyle hizalı olduğu değerlendirilen bir tehdit aktörüdür. Microsoft tarafından ilk kez Kasım 2024'te kamuoyuyla paylaşılan bu grubun en az 2021'den bu yana aktif olduğu belirlenmektedir. Grup, daha önce Quad7 adlı botnet üzerinden parola püskürtme saldırıları gerçekleştirmesiyle dikkat çekmişti.

ARTEX nedir ve neden kapalı kaynak hale getirildi?​

ARTEX, Go programlama diliyle geliştirilmiş, ajanlı yapay zeka mimarisine dayanan bir sızma test çerçevesidir. Güney Koreli finans kuruluşlarına yönelik kötüye kullanımının ardından kapalı kaynak hale getirilmiştir. Microsoft, Storm-0940'ın yanı sıra birden fazla coğrafi bölgeden tehdit aktörünün bu aracı operasyonlarında kullandığını tespit etmiştir.

ConnectWise saldırısında hangi tarihler arasında ne yaşandı?​

10-14 Ekim 2026 tarihleri arasında Storm-0940 altyapısı, sekiz kuruluştaki 327 hesabı hedef alan otomatik parola püskürtme kampanyası yürüttü; bu süreçte 151.000'i aşkın başarısız oturum açma olayı kaydedildi. 15 Ekim 2026'da ise yapay zeka ajanları birden fazla ConnectWise bulut uygulamasının kimliklerini ele geçirerek müşteri ortamlarına erişmeye başladı.

Saldırıdan hangi sektörler etkilendi?​

Microsoft'un açıklamasına göre saldırılar; havacılık ve savunma, otomotiv, kimyasallar, enerji, finansal hizmetler, kamu, hukuk, imalat, medya, askeri, yarı iletken, yazılım, teknoloji ile düşünce kuruluşları ve kar amacı gütmeyen kuruluşları kapsayan geniş bir sektör yelpazesini hedef aldı.

ConnectWise olayın ardından ne gibi adımlar attı?​

ConnectWise, saldırıların ardından hizmetlerini geçici olarak kapattı ve hizmetleri aşamalı olarak yeniden devreye almaya başladı. Şirket, bu sürecin birkaç gün süreceğini belirterek olayın herhangi bir şirketin ötesine geçen, tedarik zincirini hedef alan geniş çaplı bir kampanyayı yansıttığını açıkladı.