Siber Güvenlik Bülteni - Şubat 2025

 

Bültenimizin Şubat Ayı konu başlıkları;  2025’te Fidye Yazılım Grupları Büyümeye Devam Ediyor Palo Alto PAN-OS Kimlik Doğrulama Bypass Güvenlik Açığı Massive Brute Force Saldırısı, 2.8 milyon IP ile Saldırıyor VO1D Botnet 226 ülkede 1.59m enfekte Android TV Yönetiyor SonicWall Firewall Authentication Bypass Zafiyeti

2025’te Fidye Yazılım Grupları Büyümeye Devam Ediyor

2024 yılında küresel fidye yazılımı (ransomware) saldırıları 2023’e göre %11’lik bir artış gösterdi. Yılın başında düşük seyreden saldırılar, ikinci çeyrekte (Q2) artış gösterdi ve dördüncü çeyrekte (Q4) zirveye ulaştı. LockBit gibi büyük gruplara yönelik kolluk kuvvetlerinin müdahaleleri nedeniyle bu gruplar parçalandı ve daha küçük grupların rekabeti arttı. Sonuç olarak, aktif fidye yazılımı gruplarının sayısı %40 artarak 2023’teki 68’den 2024’te 95’e yükseldi. Yeni Fidye Yazılımı Grupları 2023 yılında 27 yeni fidye yazılımı grubu ortaya çıkmışken, 2024'te bu sayı büyük bir artış göstererek 46’ya ulaştı. Özellikle yılın ilerleyen dönemlerinde, Q4 2024 itibarıyla 48 aktif fidye yazılımı grubu tespit edildi. 2024 yılında ortaya çıkan 46 yeni grup içinde RansomHub, en baskın hale gelerek LockBit'in faaliyetlerini geride bıraktı. Bu yazıda, RansomHub, Fog ve Lynx adlı yeni oyuncuları ve 2024 üzerindeki etkilerini, kökenlerini ve saldırı taktiklerini inceleyeceğiz.   RansomHub RansomHub, 2024'ün en büyük fidye yazılımı grubu olarak öne çıktı ve Şubat 2024'teki başlangıcından itibaren 531 saldırı gerçekleştirdi. FBI’ın ALPHV'yi çökertmesinin ardından, RansomHub onun "manevi halefi" olarak görülüyor ve eski ALPHV ortaklarını içerdiği düşünülüyor. Bir Hizmet Olarak Fidye Yazılımı (RaaS) modeliyle çalışan RansomHub, sıkı ortaklık anlaşmaları uyguluyor. Kurallara uymayan ortaklar, işbirliklerinden men ediliyor. Fidye gelirleri %90 ortaklara, %10 RansomHub ekibine gidiyor. RansomHub, küresel bir hacker topluluğuna hitap ettiğini iddia etse de Rusya'ya bağlı ülkelere saldırmıyor (CIS ülkeleri, Küba, Kuzey Kore, Çin ve kâr amacı gütmeyen kuruluşlar). Bu, Rus fidye yazılım ekosistemiyle bağlantılı olabileceğini gösteriyor. Cyberint'in Ağustos 2024 bulgularına göre saldırılarının yalnızca %11.2'si ödeme ile sonuçlandı (190 saldırıdan 20’si). RansomHub, az ödeme almasına rağmen yüksek saldırı hacmiyle kârlılığı hedefliyor.   Fog Fidye Yazılımı Fog fidye yazılımı, Nisan 2024'te ortaya çıktı ve özellikle ABD'deki eğitim kurumlarını hedef aldı. Saldırı sayısı: 2024’te 87 kuruluş Saldırı yöntemi: Çalınmış VPN kimlik bilgileri Çift tehdit (double extortion): Ödeme yapılmazsa, veriler TOR tabanlı bir sızıntı sitesinde yayınlanıyor. Saldırı yöntemi: Arctic Wolf'un Kasım 2024 raporuna göre, Fog 30’dan fazla saldırı gerçekleştirdi ve bunların çoğu SonicWall VPN hesapları üzerinden yapıldı. %75'i Akira fidye yazılımıyla bağlantılı, geri kalanı Fog grubuna ait. Fog, eğitim sektörü dışında iş hizmetleri, seyahat ve üretim sektörlerini de hedef alıyor. Fog fidye yazılımı, erişim sağladıktan sonra 2 saat içinde şifreleme işlemini tamamlıyor.     Lynx Fidye Yazılımı Lynx, çift tehdit (double extortion) stratejisi kullanan aktif bir fidye yazılım grubu olarak dikkat çekiyor. 2024’te 70'ten fazla kurbanı oldu. Hedefler: Devlet kurumları, hastaneler, kâr amacı gütmeyen kuruluşlar ve kritik altyapılar dışında birçok sektörü hedef alıyor. Saldırı yöntemi: Sisteme girdikten sonra .LYNX uzantısı ile dosyaları şifreliyor ve farklı dizinlere README.txt adında fidye notu bırakıyor.     2025'te Fidye Yazılımı (Ransomware) Gruplarınde Neler Olacak   2025’te RansomHub gibi yeni liderlerin çıkması bekleniyor. Küçük ve orta ölçekli gruplar, daha büyük grupların boşluklarını doldurmak için hızla organize olabilir. Rusya, Çin ve Kuzey Kore gibi devlet destekli grupların daha sofistike saldırılar geliştirmesi bekleniyor. Saldırganlar, daha az tespit edilen sıfır gün açıklarını ve sosyal mühendislik taktiklerini daha sık kullanabilir. Sağlık sektörü, finans, üretim ve eğitim kurumları daha büyük risk altında olacak. Küçük ve orta ölçekli işletmeler (KOBİ'ler) daha fazla hedef alınabilir çünkü genellikle güçlü güvenlik önlemleri bulunmuyor. Çift tehdit (double extortion): Verileri şifrelemenin yanı sıra, çalınan bilgileri sızdırmakla tehdit eden gruplar yaygınlaşacak. Hizmet olarak fidye yazılımı (RaaS) büyümeye devam edecek, bu da fidye yazılımının daha erişilebilir olmasını sağlayacak. Daha fazla şirket APT (İleri Seviye Tehdit Algılama ve Engelleme) çözümlerine, sıfır güven mimarisine ve yapay zeka destekli güvenlik çözümlerine yatırım yapacak.   Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bu zafiyetlerden etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

Palo Alto PAN-OS Kimlik Doğrulama Bypass Güvenlik Açığı

Palo Alto Networks, PAN-OS yazılımında kimlik doğrulama atlamasına neden olabilecek yüksek öneme sahip bir güvenlik açığını giderdi. CVE-2025-0108 : Palo Alto Networks PAN-OS yazılımında bulunan bir kimlik doğrulama atlama açığı, yönetim web arayüzüne ağ erişimi olan kimliği doğrulanmamış bir saldırganın, normalde PAN-OS yönetim web arayüzü tarafından talep edilen kimlik doğrulamasını atlamasına ve belirli PHP komut dosyalarını çalıştırmasına olanak tanır. Etkilenen PAN-OS Sürümleri   PAN-OS Sürümü  Etkilenen Versiyonlar  Düzeltildiği Sürüm PAN-OS 11.2 < 11.2.4-h4 >= 11.2.4-h4 PAN-OS 11.1 < 11.1.6-h1 >= 11.1.6-h1 PAN-OS 11.0 EOL (Desteklenmiyor) Güncellenmeli PAN-OS 10.2 < 10.2.13-h3 >= 10.2.13-h3 PAN-OS 10.1 < 10.1.14-h9 >= 10.1.14-h9 Güvenlik araştırmacısı Adam Kues, bu açığın, arayüzdeki Nginx ve Apache bileşenlerinin gelen istekleri farklı şekilde ele alması nedeniyle oluşan bir dizin geçiş (directory traversal) saldırısı olduğunu belirtti. Diğer Güvenlik Açıkları Palo Alto Networks ayrıca şu iki güvenlik açığını da giderdi: CVE-2025-0109 (CVSS puanı: 5.5) PAN-OS yönetim web arayüzünde, ağ erişimi olan kimliği doğrulanmamış bir saldırganın "nobody" kullanıcısı olarak belirli dosyaları (bazı loglar ve yapılandırma dosyaları dahil) silmesine olanak tanıyan bir güvenlik açığı. Düzeltildiği sürümler: 11.2.4-h4, 11.1.6-h1, 10.2.13-h3, 10.1.14-h9 CVE-2025-0110 (CVSS puanı: 7.3) PAN-OS OpenConfig eklentisinde, kimliği doğrulanmış bir yöneticinin gNMI istekleri yaparak sistem kısıtlamalarını atlatmasına ve keyfi komutlar çalıştırmasına olanak tanıyan bir komut enjeksiyonu güvenlik açığı. Düzeltildiği sürüm: PAN-OS OpenConfig Plugin 2.1.2 Riskin Azaltılması İçin Alınabilecek Önlemler Bu güvenlik açıklarından kaynaklanan riski azaltmak için şu adımlar önerilmektedir: İnternete veya güvenilmeyen ağlara açık yönetim arayüzlerini devre dışı bırakmak. OpenConfig kullanmayan müşterilerin bu eklentiyi devre dışı bırakmaları veya kaldırmaları.   CVE-2025-0108 Aktif Olarak Sömürülüyor! Tehdit istihbarat firması GreyNoise, Palo Alto Networks PAN-OS’u etkileyen bu yeni kimlik doğrulama atlama açığının aktif olarak sömürüldüğünü bildiriyor. GreyNoise tarafından paylaşılan verilere göre, saldırılar ABD, Çin ve İsrail'deki beş benzersiz IP adresinden kaynaklanıyor. "Bu yüksek öneme sahip güvenlik açığı, kimliği doğrulanmamış saldırganların belirli PHP komut dosyalarını çalıştırmasına izin vererek, savunmasız sistemlere yetkisiz erişim sağlama potansiyeli taşır." — GreyNoise Araştırma Ekibi   Palo Alto Networks'ten Açıklama: Aktif Sömürü Teyit Edildi Palo Alto Networks, yaptığı bir açıklamada, CVE-2025-0108 güvenlik açığının aktif olarak sömürüldüğünü doğruladı ve müşterilere derhal güvenlik güncellemelerini uygulamaları çağrısında bulundu: "Müşterilerimizin güvenliği en büyük önceliğimizdir. Palo Alto Networks, PAN-OS web yönetim arayüzünde bulunan bir güvenlik açığı (CVE-2025-0108) üzerine aktif sömürü girişimlerinin olduğunu doğrulamıştır. Bu güvenlik açığı, CVE-2024-9474 gibi diğer güvenlik açıklarıyla zincirleme olarak kullanılırsa, yamalanmamış ve güvenli olmayan güvenlik duvarlarına yetkisiz erişim sağlanabilir."   Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bu zafiyetlerden etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

Massive Brute Force Saldırısı, 2.8 milyon IP ile Saldırıyor

Palo Alto Networks, Ivanti ve SonicWall gibi birçok ağ cihazının kimlik bilgilerini tahmin etmeye çalışan, 2,8 milyon IP adresi kullanılarak gerçekleştirilen büyük ölçekli bir brute force şifre saldırısı devam ediyor. Brute force saldırısı, tehdit aktörlerinin birçok kullanıcı adı ve parola kombinasyonunu tekrar tekrar deneyerek doğru olanı bulmaya çalıştıkları bir saldırı türüdür. Doğru kimlik bilgilerine eriştiklerinde, saldırganlar cihazları ele geçirebilir veya bir ağa erişim sağlayabilirler. Bu IP adreslerinin çoğu (1,1 milyonu) Brezilya'dan, ardından Türkiye, Rusya, Arjantin, Fas ve Meksika’dan geliyor. Ancak saldırılara çok sayıda farklı ülkeden katılım olduğu belirtiliyor. Hedeflenen Cihazlar ve Kullanılan Araçlar Bu saldırılar güvenlik duvarları (firewall), VPN’ler, ağ geçitleri (gateway) ve diğer güvenlik cihazları gibi internete açık kenar (edge) güvenlik cihazlarını hedef alıyor. Bu cihazlar genellikle uzaktan erişimi kolaylaştırmak amacıyla internete maruz bırakılıyor. Saldırıları gerçekleştiren cihazlar büyük ölçüde MikroTik, Huawei, Cisco, Boa ve ZTE yönlendiriciler (router) ve IoT cihazlarıdır. Bu tür cihazlar genellikle büyük kötü amaçlı yazılım botnetleri tarafından ele geçirilmiş oluyor.     Botnet ve Residential Proxy Kullanımı Shadowserver ayrıca saldırı gerçekleştiren IP adreslerinin birçok farklı ağ ve Otonom Sistem (AS) arasında dağıldığını ve büyük olasılıkla bir botnet veya residential proxy (ev tipi vekil sunucu) ağıyla ilişkili olduğunu belirtti. Residential proxy’ler, internet servis sağlayıcıları (ISP) tarafından tüketici müşterilerine atanan IP adresleridir ve bu nedenle siber suç, veri kazıma (scraping), coğrafi kısıtlamaları aşma, reklam doğrulama, sneaker/ticket botları gibi birçok yasa dışı faaliyet için oldukça rağbet görmektedir. Bu proxy’ler internet trafiğini ev ağları üzerinden yönlendirerek, kullanıcının bir bot, veri kazıyıcı veya hacker yerine sıradan bir ev kullanıcısı gibi görünmesini sağlar. Bu saldırılarda hedef alınan ağ geçidi cihazları (gateway), residential proxy operasyonlarında bir çıkış noktası olarak kullanılabilir ve bu da kötü amaçlı trafiğin bir kurumsal ağ üzerinden yönlendirilmesine yol açabilir. Bu tür düğümler (nodes) “yüksek kaliteli” olarak kabul edilir, çünkü organizasyonların genellikle iyi bir itibarı vardır ve saldırıları tespit etmek ve durdurmak daha zordur.     Geçmişteki Benzer Büyük Ölçekli Brute Force Saldırıları     📌 Geçen Nisan ayında, Cisco dünya çapında Cisco, CheckPoint, Fortinet, SonicWall ve Ubiquiti cihazlarını hedef alan büyük ölçekli bir kimlik bilgisi brute force saldırısı hakkında uyarıda bulunmuştu. 📌 Geçen Aralık ayında ise, Citrix dünya çapında Citrix Netscaler cihazlarını hedef alan parola püskürtme (password spray) saldırıları konusunda uyarılar yayınlamıştı.

VO1D Botnet 226 ülkede 1.59m enfekte Android TV Yönetiyor

Brezilya, Güney Afrika, Endonezya, Arjantin ve Tayland, Vo1d adlı bir botnet zararlısı tarafından enfekte edilen Android TV cihazlarını hedef alan bir kampanyanın odak noktası haline geldi. Vo1d'un geliştirilmiş varyantının, günlük 800.000 aktif IP adresini kapsadığı ve botnet'in 19 Ocak 2025'te 1.590.299 zirveye ulaştığı bildirildi. Bu saldırılar, 226 ülke ve bölgeye yayılmış durumda. 25 Şubat 2025 itibarıyla, Hindistan’da enfekte olan cihazların oranı %1’in altındayken (3.901 cihaz), %18,17’ye (217.771 cihaz) yükseldi. QiAnXin XLab; "Vo1d, gizlilik, dayanıklılık ve tespit edilmezlik yeteneklerini geliştirmek için evrim geçirdi, RSA şifreleme, ağ iletişimini güvence altına alarak komuta ve kontrol (C2) sunucusunun ele geçirilmesini önlüyor. Her yük, XXTEA şifreleme ve RSA korumalı anahtarlar içeren benzersiz bir indirici kullanıyor, bu da analiz edilmesini zorlaştırıyor." Bu zararlı yazılım ilk olarak Eylül 2024'te Doctor Web tarafından belgelendi ve Android tabanlı TV kutularına yönelik bir arka kapı olarak tanımlandı. C2 sunucusundan gelen talimatlara göre ek çalıştırılabilir dosyalar indirip çalıştırma yeteneğine sahip. Cihazların nasıl ele geçirildiği tam olarak belli değil, ancak tedarik zinciri saldırısı veya yerleşik root erişimi içeren resmi olmayan üretici yazılımı (firmware) kullanımı ihtimali üzerinde duruluyor. Google, The Hacker News’e yaptığı açıklamada, enfekte cihazların "markasız" TV modelleri olduğunu, Play Protect sertifikasına sahip Android cihazlar olmadığını ve büyük ihtimalle Android Açık Kaynak Projesi (AOSP) kod deposundan alınan kaynak kodu kullandıklarını belirtti. Bu zararlı yazılım kampanyasının büyük ölçekli bir operasyon olarak yürütüldüğü ve temel amacının bir vekil (proxy) ağı oluşturmak ve reklam tıklama dolandırıcılığı yapmak olduğu belirtiliyor. XLab, botnet’in bölgesel olarak suç örgütlerine kiralandığını, bu yüzden aktivitenin dalgalanma gösterdiğini öne sürüyor. Bu model, "kira-iade" döngüsü (rental-return cycle) olarak tanımlanıyor; yani botlar belli bir süre boyunca yasa dışı operasyonlara olanak sağlıyor, ardından daha büyük Vo1d ağına geri katılıyor. Bu yük, C2 sunucusuyla iletişim kurmak için tasarlanmıştır. Şifrelenmiş sıkıştırılmış paket (ts01) şu dört dosyayı içerir: install.sh cv vo1d x.apk Zararlı yazılım öncelikle bir kabuk betiği (shell script) çalıştırarak cv bileşenini başlatır. Bu bileşen daha sonra hem vo1d modülünü hem de Android uygulamasını kurup çalıştırır. Vo1d modülünün ana işlevi, gömülü bir yükü (payload) şifreyi çözüp yüklemek, bir arka kapı oluşturmak ve C2 sunucusuyla iletişim sağlayarak yeni zararlıları indirmek ve çalıştırmaktır.     Zararlı Android Uygulaması: Sahte Google Play Hizmetleri Zararlı Android uygulaması, "com.google.android.gms.stable" paket adını taşıyor, bu da gerçek Google Play Hizmetleri’ni ("com.google.android.gms") taklit etmek amacı taşıyor. Bu sayede tespit edilmekten kaçınarak sistemde kalıcı hale geliyor. Bunu yapmak için cihaz her yeniden başlatıldığında otomatik olarak çalışmasını sağlayan "BOOT_COMPLETED" olayını dinliyor. Ayrıca vo1d modülüne benzer işlevlere sahip iki ek bileşeni başlatıyor. Vo1d'un hizmetlerinin diğer tehdit aktörlerine kiralanıyor olabileceği düşünülüyor.

SonicWall Firewall Authentication Bypass Zafiyeti

Siber güvenlik firmaları, CVE-2024-53704 olarak izlenen SonicWall güvenlik duvarlarındaki kritik kimlik doğrulama atlatma açığının artık gerçek saldırılarda aktif olarak kullanıldığını bildirdi. Bu saldırılardaki artış, 10 Şubat 2025'te Bishop Fox araştırmacıları tarafından kamuya açık olarak yayınlanan kanıtlanmış kavram (PoC) sömürü kodunun ardından hız kazandı ve yamalanmamış cihazları olan kuruluşlar için riskleri artırdı. CVE-2024-53704, CVSS ölçeğinde 9,3 puanla derecelendirilen ve SonicOS işletim sisteminin SSL VPN kimlik doğrulama mekanizmasında bulunan bir güvenlik açığıdır. Bu işletim sistemi, SonicWall’ın Gen 6, Gen 7 ve TZ80 güvenlik duvarlarını çalıştırmaktadır. Bu açığın başarılı bir şekilde sömürülmesi, çok faktörlü kimlik doğrulamanın (MFA) atlatılmasına, özel ağ yollarının açığa çıkmasına ve yetkisiz kullanıcıların iç kaynaklara erişmesine olanak tanır. Ayrıca, ele geçirilen oturumlar sayesinde tehdit aktörleri meşru kullanıcı bağlantılarını sonlandırabilir. CVE-2024-53704’ün Gerçek Saldırılarda Kullanımı SonicWall, bu güvenlik açığını 7 Ocak 2025'te açıkladı ve derhal yamaların uygulanması gerektiğini duyurdu. O dönemde, şirket bu açığın aktif olarak sömürüldüğüne dair bir kanıt olmadığını belirtmişti. Ancak Bishop Fox’un PoC yayınlaması, saldırganlar için sömürme eşiğini önemli ölçüde düşürdü. 12 Şubat itibarıyla, Arctic Wolf güvenlik araştırmacıları, öncelikli olarak sanal özel sunucular (VPS) üzerinden gelen ondan az farklı IP adresinden saldırı girişimleri tespit etti. Güvenlik analistleri, SonicWall cihazlarının tarihsel olarak fidye yazılım grupları (Akira, Fog) tarafından hedef alınması nedeniyle güvenlik açığının hızla silahlandırıldığını belirtiyor. Etkilenen firmware sürümleri: SonicOS 7.1.x (7.1.1-7058’e kadar) SonicOS 7.1.2-7019 SonicOS 8.0.0-8035 Yamalanmış sürümler, Ocak 2025'te yayınlandı: SonicOS 8.0.0-8037 SonicOS 7.1.3-7015

Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz;

Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz.

Siber Güvenlik Bülteni - Ocak 2022

 

Bültenimizin Ocak ayına ait başlıkları;  2021'de Finansal Siber Saldırılar Fidye Yazılımı Hapishaneye Denk Geldi ! Sağlık Verileri İhlal Edildi Linux Zararlı Yazılımları Artmaya Devam Ediyor QR Kodlara Dikkat

2021'de Finansal Siber Saldırılar

Bankacılık, Finans, Sigorta ve Menkul Kıymetler gibi kritik sektörler yoğun olarak BT sistemlerine bağlı şekilde gelişmekte. Hal böyle olunca siber saldırganlar tarafından en büyük hedef haline gelmesi kaçınılmaz oluyor. Fortune 500'ün 20 şirketinden sızdırılan 3,3 milyondan fazla kayıtla 6.472 ihlal ve veri sızıntısı tespit edildi. Sızan veri miktarı son iki yılda 6 kat oranında artmış durumda. Finans sektörünün diğer tüm sektörlere göre yaptığı yatırımlar ise %40 daha fazla. 2021 yılındaki siber saldırıların ve özelliklerinin listesi aşağıdaki şekilde belirmiş durumda; Zararlı Yazılımlar; Yapılan araştırmalar gösteriyor ki zararlı yazılımların küresel çapta birden fazla sektörde mali kayıplar haftada yaklaşık 115,4 milyar dolara yükseldi. Tedarik zinciri saldırıları artmaya devam ediyor, zararlı yazılımlar ile ağa sızan saldırganlar kuruma özel gizli verileri sızdırıyor. Zararlı yazılımları yaymak için kullanılan en etkili yöntemlerden biri "Google Adsense"; kötü niyetli kampanyalar kullanılıyor. Kötü amaçlı yazılımlar, sosyal mühendislik yöntemleriyle iletilen sahte zararlı dosyaları hâlâ aktif olarak kullanıyor. Saldırganlar, kurumlar tarafından kontrolü zor olan mobil cihazları hedefliyor. APT Saldırıları APT; siber suçluların kurbanın ağında uzun süreli ve kalıcılığı artırmaya yönelik saldırıları ile gerçekleştirmektedir. Saldırı planı, hedeflenmiş kuruluşların zayıf noktalarını tespit edip, saldırılmasına yöneliktir. Saldırılar kurum ağına yerleşmek ile başlar ve yanal hareketler ile ağda yayılmaya, ilerlemeye başlar. Sonraki aşamada uzaktan erişim elde etmek ve sistemde komutları vermek için arka kapı oluşturulur. 2021 yılında en çok kullanılan yazılım "Cobalt Strike" olmuştur. Keşif aşamasında kurum ağının alışkanlıkları tespit edilir ve buna göre saldırı zamanı planlanır. Sonraki aşamalarda, kurumun içerisinde toplanan bilgiler dahilinde veri sızdırma, veri şifreleme, ATM ağlarını riske sokmak gibi tercihler de olabilmektedir. Sosyal Mühendislik Sosyal mühendislik uzun süredir hayatımızda olan ve halen en tehlikeli saldırılardan biridir. Yapılan araştırmalar çalışanların %43'ünün şirketlerini potansiyel olarak saldırıya maruz bırakmakta olduğunu göstermektedir. Epostalar yoğun olarak sosyal mühendislik saldırılarında kullanılan en etkili yöntemdir. Amaç kullanıcıyı dolandırıcılık için hazırlanan web sitesini ziyaret etmeye veya virüslü bir dosyayı indirmeye motive etmektedir. Sosyal mühendislik odaklı zararlı yazılımlar, kişileri dolandırıcılıkta kullanılan web sitesine ziyaret etmeye yönlendirmektedir. Kişilerin iyi niyetlerini suistimal ederek, yanlış yapmaya sevk etmektedir. Kimlik avı saldırıları, saldırganlar ağa girdikten sonra hızlıca giriş noktalarını aşmaya yardımcı olmaktadır. Üçüncü Parti Uygulamalar Üçüncü parti uygulamalara yapılan saldırılar büyük finans kurumlarını ciddi anlamda zora sokmaktadır. Geçtiğimiz yıllarda büyük kurumları hedefleyen saldırganlar, son dönemlerde daha kolay lokma olarak gördükleri üçüncü parti firmaları hedefleyerek başarıya ulaşmışlardır. Büyük finans kurumlarına saldırılar gerçekleşirken, çok karmaşık olmayan bir saldırı ön plana çıkıyor, bir tedarikçi gibi kurum ile iletişime geçen ve başarılı olan saldırgan grupları görülüyor. Finansal kurumların web sitelerini klonlayarak kullanıcıların ve çalışanların bilgilerini ele geçirmeye yönelik saldırılar da gerçekleşmektedir. Mobil cihazların erişilebilirlik hizmetlerinden faylanarak, uzaktan erişim imkânı sağlayan zararlı yazılımlar ile kişinin kimlik bilgileri ele geçirilerek kurumlara bir çalışan gibi sızılabilmekte. Kurumların destek ve hizmet aldığı daha ufak ölçekteki şirketlere sızılarak, büyük kurumlara olan direkt iletişim/erişim kanalları ile büyük kurumların ağlarına sızma gerçekleştirilebilmekte. Burada büyük finans kuruluşları ve birçok büyük kurum, bu tür saldırılara maruz kalmamak için, üçüncü parti firmaların kendilerini referans olarak kullanmasına izin vermemektedir. Finans sektörü için yukarıda bahsettiğimiz riskler ve saldırı metotları diğer sektörlerde de çok farklı olmamaktadır. Şirketler bu tür saldırı yüzeylerini iyi analiz etmeli ve bunlara karşı iyi bir siber güvenlik planlaması yapmalılar. Bu konuda tecrübeli, analiz yeteneği güçlü, saldırı metotlarını hem ofansif hem de defansif olarak irdeleyebilen bir destek ihtiyacınızda ISR Bilgi Güvenliği'ne danışabilirsiniz.

Fidye Yazılımı Hapishaneye Denk Geldi!

Geçtiğimiz hafta hapishane sistemlerine fidye yazılımı saldırısı gerçekleşti! Saldırı ile hapishane kameraları devre dışı bırakılarak, mahkûmlar ise hücrelerine hapsedildi. Hapishane personeli, hücrelerine hapsolan mahkûmları çıkarmak için manuel olarak müdahale etmek durumunda kaldı. Aynı saldırganlar ilçedeki nüfus işlerini; evlilik cüzdanı verilmesi, seçmen kayıtları ve emlak işlemlerini de engelleyerek bizlere fidye yazılımlarının sınırının ne kadar genişleyebildiğini hatırlatıyor. ABD'de yapılan araştırmada belirtildiği üzere, resmî makamlara ulaşan bilgilere göre 2021 yılında fidye yazılımlarına 500 milyon dolardan fazla ödeme yapıldı. Bu rakamların sadece resmî kurumlara gelen bilgiler olduğu düşünüldüğünde saldırıların geçmişe kıyasla ne kadar büyük bir pazara ulaştığını gözardı etmek mümkün değil. Bu haberden yola çıkarak 2022'deki fidye saldırılarına kısaca değinmek gerekirse; fidye yazılımları artık büyük saldırgan gruplar tarafından bayilik yoluyla birçok alt gruplara hizmet olarak verilerek, ölçeğini büyütmeye devam ediyor. Yedekleme sistemleriyle beraber şirketler fidye yazılımlarına karşı fidye ödemelerini azaltmaya başlamıştı fakat fidye yazılımları artık, verileri şifrelemeye ek olarak hassas verileri de dışarı çıkartıp şirketleri veri hırsızlığı ile vurmaktalar. 2022 yılı itibariyle ağırlıklı olarak fidye yazılımlarının veri şifrelemek yerine, sızdırma faaliyetlerine ağırlık vereceği öngörülüyor. Kripto paraların ise bu konuda saldırgan grupların işini fazlasıyla kolaylaştırdığını biliyoruz. Bu ödemeleri engellemeye yönelik çeşitli devletlerin getirdiği birçok yasak dahi mevcut, bu yasakların saldırıları azaltacağı inanılıyor fakat buna istinaden saldırgan grupların paralarını almak için gasp ettiği şirketlere NFT satışı yaparak, fidyeleri aklayacağı da öngörülmekte. Bu saldırıları azaltmanın en önemli etkenleri; dijital süreçlerin iyi planlaması ve sistemlerin saldırıya karşı korunaksız, rahat erişilebilir durumda olmaması.

Sağlık Verileri İhlal Edildi

Florida'da bulunan hastane sistemi Broward Health yaşanan bir veri ihlalinden 1,3 milyondan fazla kişi etkilendi. 30'dan fazla sağlık tesisi işleten Broward Health'in etkilenen kişileri bilgilendirmesiyle açığa çıktı. Açıklama 1 Ocak'ta gerçekleştirildi, 15 Ekim'de sisteme erişim sağlandığı ve 19 Ekim'de izinsiz girişin keşfedildiği belirtildi. İhlali gerçekleştirilen veriler içerisinde kişilere ait; ad, soyad, doğum tarihleri, iletişim bilgileri (adres ve telefon numaraları), ehliyet numaraları, sosyal güvenlik numaraları, finansal bilgileri, sigorta verileri ve tıbbı bilgiler (teşhisler, tıbbı geçmiş, tedavi vs.) yer almaktadır. Kurum, çalışanlarının şifrelerinin sıfırlandığını, tüm sistemlerde çok faktörlü kimlik doğrulama uyguladığını ve ağa erişimi olan 3. parti cihaz ve uygulamalar için minimum güvenlik gereksinimlerini uygulamaya başladığını açıklamıştır. Dijitalleşme ile beraber hastaneler kişisel ve özel bilgileri fazlasıyla dijital ortamda barındırmaktadır, bu bilgileri korumaya karşın alınan önlemler maalesef yetersiz kalmaktadır, ayrıca bu bilgilerin kritikliği hakkında da birçok kuruluş yeteri farkındalığa sahip değildir. Bu tür saldırılara karşı önceden hazırlıklı olmak üzere, bilgi güvenliği adımları atılmalı ve süreçler bu çerçevede güncellemelidir. Bu konuda yardım ihtiyacınız bulunuyorsa, ürünlerimiz ve hizmetlerimiz hakkında bilgi almak için bizlere ulaşabilirsiniz.

Linux Zararlı Yazılımları Artmaya Devam Ediyor

Linux cihazları hedefleyen zararlı yazılım bulaşmalarının sayısı 2021'de %35 arttı ve zararlı yazılımlar en yaygın olarak DDoS saldırıları için IoT cihazlarını kullandı. IoT cihazlar genellikle Linux dağıtımları kullanılan, belirli fonksiyon çerçevelerinde çalışan akıllı cihazlardır. Bu cihazlar tek başına saldırılar odağında yeterli etkiyi sağlayamasa dahi, birçok IoT cihazının birlikte saldırıya aracı (kurban olarak) kullanıldığında büyük DDoS saldırıları gerçekleştirdiğini geçtiğimiz dönemlerde dünyanın görülen en büyük saldırılarında görmüştük. 2021'de saldırı verileri incelendiğinde karşımıza çıkan bazı istatistikler; 2021'de Linux sistemlerini hedefleyen zararlı yazılımlar 2020'ye kıyasla %35 oranında arttı. XorDDoS, Mirai ve Mozi; 2021'de gözlemlenen tüm Linux hedefli zararlı yazılım saldırılarının %22'sini oluşturan en yaygın ailelerdi. Mozi ailesi, 2020'ye kıyasla yaklaşık 10 kat büyüme kaydetti. XorDDoS ise 2020'ye kıyasla %123'lük bir büyüme kaydetti.

QR Kodlara Dikkat

FBI, kimlik bilgileri ve finansal bilgileri hedefleyen kötü amaçlı QR kodlar ile yapılan saldırılar hakkında uyarıda bulundu. Bilindiği üzere QR kodlar uzun zamandır hayatımızda ve birçok kullanıcıyı kampanya odaklı sitelere veya uygulamalara yönlendirmek için fazlasıyla kullanılıyor, son yıllarda finansal teknolojilerde hızlı ödeme gibi gelişmiş alanlarda da karşımıza çıkıyor. Bu duruma göre saldırı senaryosu kuran saldırganlar potansiyel kurbanlarını kandırmak için orijinal QR kodları kendi hazırladıkları sahte sayfalara yönlendiren QR kodlar ile değiştirerek, kurbanların kişisel bilgilerini, finansal bilgilerini ele geçirmek veya cihazlarına zararlı yazılım yüklemek için kullanıyor. Bu yüzden herhangi bir QR kod okuturken yönlendirilen adresin gerçekten gitmek istediğimiz adres olduğundan emin olmalıyız, yoksa ele geçirilen bilgiler ile ciddi finansal kayıplar yaşayabiliriz. Artık birçok kurumun kampanyalarını bile QR kod üzerinden mağazalarında paylaştığına, restoranların menülerini QR kod üzerinden paylaştığına şahitlik ediyoruz. Bu yüzden mümkün olduğunca erişmek istediğimiz sayfalara klavye ile adres alanına yazarak girmemiz, daha güvenli ve kontrollü bir halde gezinmemize olanak sağlar. Bunun haricinde diğer bir risk alanı ise QR kod okuma uygulamaları, mobil uygulama marketlerinde binlerce QR kod uygulaması mevcut ve bunların da siz doğru adrese gitmek isteseniz ve doğru kodu okutsanız bile, sizleri istedikleri başka bir adrese yönlendirebileceğini unutmayın! Bu yüzden QR kod okuma uygulamaları için mümkünse telefonunuz ile birlikte sunulan varsayılan uygulamaları veya uygulama marketlerindeki güvenilir olduğundan emin olduğunuz uygulamaları tercih edin.

Siber Güvenlik Bülteni - Mart 2020

DİKKAT!

COVID19'A SİBER DÜNYADA DA YAKALANMAYIN

Dünya, Korona virüs pandemisiyle uğraşırken, siber saldırganlar kötü amaçlı yazılımlarla virüsü sanal ortamda da yaydılar. 

Dünya çapında ölüm sayıları artarken, bilgi ihtiyacını karşılamak isteyen insanların zaaflarından yararlanan siber saldırganlar sanal ortamda tehlike yaratıyor.

Güvenlik araştırmacıları Covid-19 ile ilgili son 2 hafta içinde 2200’den fazla internet sitesinin açıldığını ve bunların büyük çoğunluğunun siber saldırganlar tarafından yönetildiğini belirtti. 

Dünya üzerindeki tüm Korona virüs vakalarını listeyelen bir internet sitesinde, 2016 yılında keşfedilen ve tarayıcılardaki depolanan bilgileri, tarayıcı geçmişini, kullanıcı kimlikleri, şifreleri, kripto para anahtarlarını toplayan AZORult yazılımı keşfedildi. Saldırganların tarayıcılardan toplanan bu verilerle kredi kartı numaralarını, giriş bilgilerini ve diğer kişisel verileri de çalması mümkün.

Uzmanların dikkat çektiği bir diğer nokta ise, oltalama saldırıları ile oluşabilecek tehlikeler. Çeşitli sağlık kuruluşlarından gönderiliyormuş gibi gözüken dosyalara, zararlı yazılımlar yerleştiren saldırganların sistemlere erişerek hasar verebileceği yönünde. 

Mobil cihazları da hedef alan saldırganların, sahte Korona Virüs izleme uygulamaları ile telefonun kilit ekran şifresini değiştirdiği ve 100 Dolar değerinde Bitcoin’i fidye olarak istediği tespit edildi.

Fidye Saldırısı Üretimi Durdurdu

Ünlü Rus iş adamı Roman Abramovich’e ait dünyanın en büyük çelik üreticilerinden olan EVRAZ, Ryuk fidye yazılımı saldırısına uğradı. Saldırı sonrası bazı tesislede üretim durdurulmak zorunda kaldı.

Kuzey Amerika’daki tesisleri vuran fidye saldırısından Kanada’daki tesisler ve İtalya, Çekya, Ukrayna ve Kazakistan’daki ofisler de etkilendi. 

EVRAZ’ın şirket hisselerinde %7den fazla düşüşe sebep veren Ryuk fidye yazılımı kurbanlarının arasında Fortune 500 listesinde yer alan ABD demiryolu şirketi Railworks, Hırvat benzin istasyon zinciri INA Group, parça üretimi yapan Visser Precision, Fransız bulut şirketi Bretagne Telecom da yer alıyor.

APT Grupları Exchange Sunucularına Saldırıyor

ABD merkezli bir güvenlik şirketi, APT gruplarının Microsoft Exchange Server’lardaki CVE-2020-0688 olarak numaralandırılan güvenlik açığını kullanarak saldırılarda bulunduğunu belirtti.

Güvenlik açığı saldırganın Exchange Server üzerinde uzaktan kod yürütmesine izin veriyor. Keşfedilen güvenlik açığı Microsoft’a bildirilmiş ve Şubat ayında yayınlanan güvenlik güncellemesi ile giderilmişti.

Açığın giderilmesinin ardından, nasıl sömürüldüğünü anlatan bir blog yazısı yayınlanması, saldırganları da harekete geçirdi ve birçok şirkete APT gruplarının saldırısı gerçekleşti. 

Saldırılardan etkilenmemek için en kısa sürede güncellemelerin yapılmasını öneriyoruz.

PPP Servisinde Kritik Güvenlik Açığı

Amerika Siber Güvenlik Birimi US-CERT, Dial-up modemler, DSL bağlantıları, VPN bağlantılarında iletişim ve veri aktarımını sağlayan point to protocol (PPP) uygulamasında 17 yıllık bir güvenlik açığı keşfetti.

Hemen hemen tüm Linux tabanlı işletim sistemlerinde bulunan ve CVE-2020-8597 olarak numaralandırılan güvenlik açığı PPPd yazılımının paket ayrıştırıcısından kaynaklanıyor ve Stack Buffer Overflow zafiyetine sebep oluyor.

CVSS skoru 10 üzerinden 9.8 olarak belirtilen zafiyetin bu kadar kritik olmasının sebebi PPPd’nin kernel seviyesinde çalışması ve zafiyetin exploit edilmesi durumunda saldırganların sistem üzerinde yüksek haklara sahip olarak kötü amaçlı kod yürütmesine olanak sağlaması olduğu belirtildi.

Noktadan noktaya protokol Daemon (PPPd) 2.4.2-2.4.8 sürümleri ve son 17 yılda yayınlanan tüm sürümler bu güvenlik açığına karşı savunmasız durumda. Ayrıca; Ubuntu, Debian, Fedora, SUSE Linux, NetBSB, Cisco CallManager, OpenWRT gömülü işletim sistemi, TP-LINK ve Synology ürünleri de zafiyetten etkileniyor.

CIA, Çin Şirketlerini Hedef Alıyor

Çin merkezli siber güvenlik şirketi Qihoo 360, ABD istihbarat teşkilatı CIA’in Çin merkezli şirketlere 11 yıldır siber saldırı düzenlediğini belirtti.

Qihoo 360 tarafından yapılan araştırmaya göre, devlet kurumları, bilimsel araştırma kurumları, sivil havacılık sektörü, petrol endüstrisi ve internet şirketlerini hedef alan CIA, Eylül 2008 ile Haziran 2019 tarihleri arasında çoğunlukla Zhejiang, Pekin ve Guangdong’ta yer alan şirketleri hedef aldı.

Şirket tarafından tespit edilen bir diğer bulgu ise, APT-C-39 isimli grubun CIA tarafından oluşturulmuş bir grup olduğu yönünde. Sivil havacılık sektörünü hedef alan bu grup sadece Çin değil, başka ülkelere de saldırılar düzenleyerek yolcu bilgilerini ve kürsel uçuş verilerini ele geçirerek istihbarat amaçlı bilgi ediniyordu.

Necurs Botnet Ağı Çökertildi

2012 yılından beri dokuz milyondan fazla bilgisayara bulaşan, spam mesajlar göndererek insanları dolandırmaya ve verilerini ele geçirmeye çalışa Necurs botnet ağı Microsoft’un Dijital Suçlar Birimi tarafından çökertildi. 

2012 yılında tespit edildikten iki ay sonra 83.000’den fazla bilgisayarda görülen botnet, 2014 yılında yerini GameOver Zeus isimli zararlı yazılıma bırakmış ve devamında 100 gün içinde 30 milyon Dolar kar elde edecek olan bir fidye virüsüne dönüşmüştü. 

2016 yılında Necurs yeni operasyonlarda kullanılmaya başlandı ve 2019 yılına kadar e-posta ile yayılan kötü amaçlı yazılımların %90’ının dağıtılmasında rol aldı.

25 ay boyunca Necurs’un alanadı algoritmasını takip eden Microsoft, tersine mühendislik yöntemi kullanarak ve dünya çapında internet sağlayıcıları ile iş birliği yaparak Rusya bağlantılı olduğu düşünülen botnet ağının gelecekte gerçekleştirebileceği potansiyel saldırıların önüne geçti.

Virgin Media Verilerini Kendi Elleri ile Sızdırdı

İngiltere merkezli telekomünikasyon şirketi Virgin Media herhangi bir saldırıya uğramamasına rağmen 900.000 müşterisinin kişisel verilerinin sızdırıldığını açıkladı.

Yanlış konfigüre edilmiş bir veri tabanında bulunan bilgiler, herhangi bir kimlik doğrulaması gerekmeden herkese açık bir şekilde güvensiz bir ortamda barındırılıyordu.

Pazarlama veri tabanında gerçekleşen veri sızıntısında müşterilerin isim, adres, e-posta adresi, telefon numaraları, talep edilen ürün bilgileri ile doğum tarihi bilgileri yer alıyordu. Yetkililer, veri sızıntısından etkilenen müşteriler ile temasa geçerek ilerleyen zamanlarda olabilecek tehlikelere karşı da uyardı.

Marriott International’da Veri İhlali

Dünyanın en büyük otel zincirlerinden birisi olan ve otel markasına sahip Marriott International üç yıl içinde ikinci kez veri ihlali yaşadı ve 5.2 milyon konuğunun kişisel verilerinin siber saldırganlar tarafından ele geçirildiğini açıkladı.

Bir otelde çalışan iki kullanıcının, müşterilere hizmet verebilmek için kullandıkları uygulama bilgilerini ele geçiren saldırganlar Ocak 2020 ile Şubat 2020 arasında müşterilerin kişisel bilgileri ve iletişim bilgileri ile birlikte aldıkları ek hizmet bilgilerini çaldı. 

2018 yılında Marriott Otellerinin yan kuruluşu olan Starwood, rezervasyon sisteminin hacklendiğini ve 383 milyon konuğun kişisel verilerini, 5 milyon pasaport numarası ve 8 milyon kredi kartı bilgisini çaldırmıştı.

Android Kullananlar Dikkat

Cerberus Android bankacılık Trojan'ının yeni bir versiyonu, Google Authenticator'da yer alan 2 adımlı doğrulama kodlarını çaldığı belirlendi. Zararlı yazılım kodlar dışında ayrıca konum bilgisi, sms bilgileri, cihaza kayıtlı hesap bilgileri ile ekran görüntülerini de çalıyor.

Hollanda’lı mobil güvenlik firması tarafından tespit edilen hırsızlık, mobil cihazlarda erişilebilirlik ayrıcalıklarından faydalanıyor. Bu ayrıcalıklardan yararlanan zararlı yazılım, Authenticator uygulaması çalışırken arayüz içeriğine erişiyor ve uzaktan idare edildiği komut kontrol sunucusuna bilgileri gönderiyor.

Saldırganlar bu yöntem ile bankacılık uygulamaları, e-posta hesapları, dijital para cüzdanları, sosyal medya hesapları gibi hesapları ele geçirebiliyor.

T-Mobile’da Veri İhlali Yaşandı

Dünyanın en büyük GSM operatörlerinden birisi olan T-mobile, internet sitesi üzerinden yaptığı duyuruda veri ihlali yaşadığını ve müşteriler dışında çalışanlarının da bu ihlalden etkilendiğini belirtti. 

2019 Kasım ayında veri ihlali ile gündeme gelen T-mobile, gerçekleşen son saldırıda bazı müşteri ve çalışanlarına ait adres, telefon numaraları, hesap numaraları, ödeme planları ve fatura bilgilerini çaldırdı. 

E-posta tedarikçilerine yönelik yapılan saldırı sonucu ortaya çıkan olaydan kaç kişinin etkilendiği henüz belirtilmezken, yaşanan olaydan kısa bir süre önce T-mobile, müşterilerine kapattıkları bir güvenlik açığı ile ilgili bilgi vermişti.

Son 3 aydır Portekiz'de internet bankacılığı hesaplarını hedef alarak gönderilen Lampion zararlı yazılımının Türkiye'de Ubuntu kurulu Linux bir sunucudan dağıtıldığı tespit edildi.

İngiltere merkezli Doxzoo isimli baskı şirketi, yanlış yapılandırılmış sunucularından dolayı İngiltere ve ABD ordusuna ait 343 GB boyutundaki 270.000 kaydı sızdırdı.

Mirai botnetinin yeni bir versiyonu olan Mukashi, Zyxel’in NAS cihazlarını hedef alıyor.

FIN7 isimli APT grubu, şirketlere içinde zararlı yazılım bulunan USB'ler göndererek sistemlere sızıyor.

Siber saldırganların 18 Mart'tan itibaren Linksys marka modemleri hedefleyerek saldırılarda bulunduğu tespit edildi. Saldırganlar, modemin DNS'lerini kendi belirledikleri DNS adresleri ile değiştirerek zararlı yazılım bulunduran sitelere yönlendiriyor.

Hollanda'da 7 milyona yakın organ bağışçısının kişisel bilgilerinin yer aldığı iki hard disk çalındı.

B İ Z D E N   H A B E R L E R

Ülkemizde yaşanan Covid19 salgınından dolayı uzaktan bağlantılar ve dijital iletişim daha da önem kazanmıştır.

Ayrıca firmaların iş akışlarının sekteye uğraması, firmalarda kalıcı zararlara yol açmaktadır.

Bu sebeplerden ötürü ISR Bilgi Güvenliği olarak siber güvenlik ve sistem altyapısı sağlık tespiti ve çözüm çalışmalarında, tamamen uzaktan gerçekleştirilen servis seçenekleri sunuyoruz.

Uzaktan verdiğimiz hizmetlerimizle ilgili bilgi alabilir, online toplantılarımız için bizlerle  [email protected] adresi üzerinden iletişime geçebilirsiniz.