- Katılım
- 13 Ocak 2026
- Mesajlar
- 239
- Tepkime puanı
- 102
- Puan
- 43
Arkadaşlar, Microsoft’un yeni araştırması yapay zekâ destekli saldırılarda yalnızca kullanılan modelin değil, önceden verilmiş uygulama yetkilerinin de ne kadar önemli olduğunu gösteriyor. Şirket, Çin devletiyle bağlantılı olarak değerlendirdiği Storm-0940 grubunun ARTEX adlı ajan tabanlı aracı kullanarak dünya genelinde yüzlerce kuruluşu hedef aldığını bildiriyor. Çalışma, ConnectWise’ın çok müşterili bulut uygulamasındaki tedarik zinciri ihlaliyle bağlantılı faaliyetleri inceliyor. Bu ilişkilendirme Microsoft’un tehdit istihbaratı değerlendirmesi; haberin bütün ayrıntılarını kesinleşmiş adli hüküm gibi okumamak gerekiyor.
Uygulamaya verilen güven nasıl saldırı yoluna dönüşebiliyor?
Microsoft’a göre saldırganlar, ele geçirilen uygulama kimlik bilgileriyle daha önce erişim izni verilmiş müşteri ortamlarına bağlanmayı denedi. Böyle bir durumda her işlem için bir çalışanın yeniden oturum açması gerekmiyor. Kurumun önceden yetkilendirdiği uygulama kimliği üzerinden işlem yapılabilmesi, olayın tedarik zinciri boyutunu oluşturuyor. Kaynak, faaliyetin Microsoft’un kurumsal sistemlerindeki bir ihlalden veya ürünlerindeki bir açıktan kaynaklanmadığını da belirtiyor.
Gündelik bir benzetmeyle, bir hizmet sağlayıcıya belli işler için anahtar verdiğinizi düşünün. O sağlayıcının erişim mekanizması ele geçirilirse, sorun yalnızca sağlayıcının kendi kapısında kalmayabilir. Bu benim açıklayıcı benzetmem; teknik olayda fiziksel anahtar yerine uygulama kimlikleri ve bulut izinleri söz konusu. Hangi uygulamanın hangi verilere erişebildiğini bilmek bu nedenle önemli.
Görsel: Microsoft Security Blog. Microsoft’un “Storm” adıyla izlediği tehdit aktörleri için kullandığı temsili illüstrasyon.
ARTEX saldırıda neyi değiştirdi?
ARTEX, farklı yapay zekâ modelleriyle çalışabilen açık kaynaklı bir sızma testi çerçevesi olarak tanımlanıyor. Meşru güvenlik testlerinde kullanılabilecek otomasyonun, bu kampanyada yetkisiz faaliyetleri hızlandırmak için kullanıldığı bildiriliyor. Microsoft, keşif ve sonraki işlemlerde daha az elle müdahaleyle çok sayıda hedefe yönelebilme kapasitesine dikkat çekiyor. Aracın varlığı tek başına bütün kullanımının saldırı olduğu anlamına gelmiyor; amaç ve gerçek yetkilendirme belirleyici.
Bazı vakalarda ilk hedeflemeden yüksek ayrıcalıklı bulut erişimine kadar geçen sürenin üç saatten kısa olduğu aktarılıyor. Bu, savunma ekiplerinin uyarıları değerlendirip koordineli müdahale edebileceği zamanı daraltıyor. Yine de üç saat rakamı her hedefte aynı başarıyı gösteren evrensel bir süre değil; araştırmada gözlenen bazı örneklere ait.
Rakamları birbirinden ayırmak gerekiyor
Raporda 2.250’den fazla kiracı ortama oturum açma girişimi yapıldığı belirtiliyor. “Kiracı ortam”, bir kuruluşun bulut hizmetlerindeki kendi yönetim alanını ifade ediyor. Bu sayı başarılı veri hırsızlığı sayısı değil. Microsoft, hedeflemelerin çoğunun başarılı olmadığını, buna karşın bazı kuruluşlarda kalıcı ve yüksek yetkili erişim elde edildiğini söylüyor. Etkilenen sektörler enerji, savunma, finans, kamu, üretim ve teknoloji gibi geniş bir alana yayılıyor.
Araştırmada ayrı bir parola deneme faaliyeti de inceleniyor: sekiz kuruluştaki 327 hesaba yönelik 151 binin üzerinde başarısız girişim kaydedilmiş. Microsoft bu bölümde başarılı kimlik doğrulama veya sonraki veri işlemi gözlemediğini belirtiyor. Dolayısıyla çok büyük bir başarısız girişim sayısını, ele geçirilmiş hesap sayısına çevirmemek gerekiyor. Hatta bir uygulamanın başarıyla oturum açması bile tek başına verinin okunduğunu veya dışarı çıkarıldığını kanıtlamıyor.
İlk bağlantıyı kapatmak neden yeterli olmayabilir?
Kaynağa göre bazı ortamlarda uygulama kimlik bilgilerinin değiştirilmesi ve ayrıcalıklarla ilgili işlemler görüldü. Böyle değişiklikler, başlangıçta kullanılan uygulama kontrol altına alınsa bile başka erişim yolları bırakabilir. Bu yüzden incelemenin yalnızca ilk bağlantıya değil, sonrasındaki dizin ve kaynak işlemlerine de bakması gerekiyor.
Microsoft; oturum açma ve denetim kayıtlarının korunmasını, beklenmeyen yetki değişikliklerinin araştırılmasını ve müdahalenin yetkili ekiplerce yürütülmesini öneriyor. Bence haberin en önemli dersi, yapay zekâ hız kazandırırken uygulamaların eski izinlerinin de güncel riskin parçası olması. Sizce kurumlar bir entegrasyonu kurarken gösterdikleri dikkati, artık kullanmadıkları entegrasyonların erişimlerini gözden geçirirken de gösteriyor mu?
Kaynak: Microsoft Security Blog’un Storm-0940, ARTEX ve ConnectWise üzerinden gerçekleşen tedarik zinciri ihlaline ilişkin araştırması.
Uygulamaya verilen güven nasıl saldırı yoluna dönüşebiliyor?
Microsoft’a göre saldırganlar, ele geçirilen uygulama kimlik bilgileriyle daha önce erişim izni verilmiş müşteri ortamlarına bağlanmayı denedi. Böyle bir durumda her işlem için bir çalışanın yeniden oturum açması gerekmiyor. Kurumun önceden yetkilendirdiği uygulama kimliği üzerinden işlem yapılabilmesi, olayın tedarik zinciri boyutunu oluşturuyor. Kaynak, faaliyetin Microsoft’un kurumsal sistemlerindeki bir ihlalden veya ürünlerindeki bir açıktan kaynaklanmadığını da belirtiyor.
Gündelik bir benzetmeyle, bir hizmet sağlayıcıya belli işler için anahtar verdiğinizi düşünün. O sağlayıcının erişim mekanizması ele geçirilirse, sorun yalnızca sağlayıcının kendi kapısında kalmayabilir. Bu benim açıklayıcı benzetmem; teknik olayda fiziksel anahtar yerine uygulama kimlikleri ve bulut izinleri söz konusu. Hangi uygulamanın hangi verilere erişebildiğini bilmek bu nedenle önemli.
Görsel: Microsoft Security Blog. Microsoft’un “Storm” adıyla izlediği tehdit aktörleri için kullandığı temsili illüstrasyon.
ARTEX saldırıda neyi değiştirdi?
ARTEX, farklı yapay zekâ modelleriyle çalışabilen açık kaynaklı bir sızma testi çerçevesi olarak tanımlanıyor. Meşru güvenlik testlerinde kullanılabilecek otomasyonun, bu kampanyada yetkisiz faaliyetleri hızlandırmak için kullanıldığı bildiriliyor. Microsoft, keşif ve sonraki işlemlerde daha az elle müdahaleyle çok sayıda hedefe yönelebilme kapasitesine dikkat çekiyor. Aracın varlığı tek başına bütün kullanımının saldırı olduğu anlamına gelmiyor; amaç ve gerçek yetkilendirme belirleyici.
Bazı vakalarda ilk hedeflemeden yüksek ayrıcalıklı bulut erişimine kadar geçen sürenin üç saatten kısa olduğu aktarılıyor. Bu, savunma ekiplerinin uyarıları değerlendirip koordineli müdahale edebileceği zamanı daraltıyor. Yine de üç saat rakamı her hedefte aynı başarıyı gösteren evrensel bir süre değil; araştırmada gözlenen bazı örneklere ait.
Rakamları birbirinden ayırmak gerekiyor
Raporda 2.250’den fazla kiracı ortama oturum açma girişimi yapıldığı belirtiliyor. “Kiracı ortam”, bir kuruluşun bulut hizmetlerindeki kendi yönetim alanını ifade ediyor. Bu sayı başarılı veri hırsızlığı sayısı değil. Microsoft, hedeflemelerin çoğunun başarılı olmadığını, buna karşın bazı kuruluşlarda kalıcı ve yüksek yetkili erişim elde edildiğini söylüyor. Etkilenen sektörler enerji, savunma, finans, kamu, üretim ve teknoloji gibi geniş bir alana yayılıyor.
Araştırmada ayrı bir parola deneme faaliyeti de inceleniyor: sekiz kuruluştaki 327 hesaba yönelik 151 binin üzerinde başarısız girişim kaydedilmiş. Microsoft bu bölümde başarılı kimlik doğrulama veya sonraki veri işlemi gözlemediğini belirtiyor. Dolayısıyla çok büyük bir başarısız girişim sayısını, ele geçirilmiş hesap sayısına çevirmemek gerekiyor. Hatta bir uygulamanın başarıyla oturum açması bile tek başına verinin okunduğunu veya dışarı çıkarıldığını kanıtlamıyor.
İlk bağlantıyı kapatmak neden yeterli olmayabilir?
Kaynağa göre bazı ortamlarda uygulama kimlik bilgilerinin değiştirilmesi ve ayrıcalıklarla ilgili işlemler görüldü. Böyle değişiklikler, başlangıçta kullanılan uygulama kontrol altına alınsa bile başka erişim yolları bırakabilir. Bu yüzden incelemenin yalnızca ilk bağlantıya değil, sonrasındaki dizin ve kaynak işlemlerine de bakması gerekiyor.
Microsoft; oturum açma ve denetim kayıtlarının korunmasını, beklenmeyen yetki değişikliklerinin araştırılmasını ve müdahalenin yetkili ekiplerce yürütülmesini öneriyor. Bence haberin en önemli dersi, yapay zekâ hız kazandırırken uygulamaların eski izinlerinin de güncel riskin parçası olması. Sizce kurumlar bir entegrasyonu kurarken gösterdikleri dikkati, artık kullanmadıkları entegrasyonların erişimlerini gözden geçirirken de gösteriyor mu?
Kaynak: Microsoft Security Blog’un Storm-0940, ARTEX ve ConnectWise üzerinden gerçekleşen tedarik zinciri ihlaline ilişkin araştırması.