Siber Güvenlik Bülteni - Şubat 2025

 

Bültenimizin Şubat Ayı konu başlıkları;  2025’te Fidye Yazılım Grupları Büyümeye Devam Ediyor Palo Alto PAN-OS Kimlik Doğrulama Bypass Güvenlik Açığı Massive Brute Force Saldırısı, 2.8 milyon IP ile Saldırıyor VO1D Botnet 226 ülkede 1.59m enfekte Android TV Yönetiyor SonicWall Firewall Authentication Bypass Zafiyeti

2025’te Fidye Yazılım Grupları Büyümeye Devam Ediyor

2024 yılında küresel fidye yazılımı (ransomware) saldırıları 2023’e göre %11’lik bir artış gösterdi. Yılın başında düşük seyreden saldırılar, ikinci çeyrekte (Q2) artış gösterdi ve dördüncü çeyrekte (Q4) zirveye ulaştı. LockBit gibi büyük gruplara yönelik kolluk kuvvetlerinin müdahaleleri nedeniyle bu gruplar parçalandı ve daha küçük grupların rekabeti arttı. Sonuç olarak, aktif fidye yazılımı gruplarının sayısı %40 artarak 2023’teki 68’den 2024’te 95’e yükseldi. Yeni Fidye Yazılımı Grupları 2023 yılında 27 yeni fidye yazılımı grubu ortaya çıkmışken, 2024'te bu sayı büyük bir artış göstererek 46’ya ulaştı. Özellikle yılın ilerleyen dönemlerinde, Q4 2024 itibarıyla 48 aktif fidye yazılımı grubu tespit edildi. 2024 yılında ortaya çıkan 46 yeni grup içinde RansomHub, en baskın hale gelerek LockBit'in faaliyetlerini geride bıraktı. Bu yazıda, RansomHub, Fog ve Lynx adlı yeni oyuncuları ve 2024 üzerindeki etkilerini, kökenlerini ve saldırı taktiklerini inceleyeceğiz.   RansomHub RansomHub, 2024'ün en büyük fidye yazılımı grubu olarak öne çıktı ve Şubat 2024'teki başlangıcından itibaren 531 saldırı gerçekleştirdi. FBI’ın ALPHV'yi çökertmesinin ardından, RansomHub onun "manevi halefi" olarak görülüyor ve eski ALPHV ortaklarını içerdiği düşünülüyor. Bir Hizmet Olarak Fidye Yazılımı (RaaS) modeliyle çalışan RansomHub, sıkı ortaklık anlaşmaları uyguluyor. Kurallara uymayan ortaklar, işbirliklerinden men ediliyor. Fidye gelirleri %90 ortaklara, %10 RansomHub ekibine gidiyor. RansomHub, küresel bir hacker topluluğuna hitap ettiğini iddia etse de Rusya'ya bağlı ülkelere saldırmıyor (CIS ülkeleri, Küba, Kuzey Kore, Çin ve kâr amacı gütmeyen kuruluşlar). Bu, Rus fidye yazılım ekosistemiyle bağlantılı olabileceğini gösteriyor. Cyberint'in Ağustos 2024 bulgularına göre saldırılarının yalnızca %11.2'si ödeme ile sonuçlandı (190 saldırıdan 20’si). RansomHub, az ödeme almasına rağmen yüksek saldırı hacmiyle kârlılığı hedefliyor.   Fog Fidye Yazılımı Fog fidye yazılımı, Nisan 2024'te ortaya çıktı ve özellikle ABD'deki eğitim kurumlarını hedef aldı. Saldırı sayısı: 2024’te 87 kuruluş Saldırı yöntemi: Çalınmış VPN kimlik bilgileri Çift tehdit (double extortion): Ödeme yapılmazsa, veriler TOR tabanlı bir sızıntı sitesinde yayınlanıyor. Saldırı yöntemi: Arctic Wolf'un Kasım 2024 raporuna göre, Fog 30’dan fazla saldırı gerçekleştirdi ve bunların çoğu SonicWall VPN hesapları üzerinden yapıldı. %75'i Akira fidye yazılımıyla bağlantılı, geri kalanı Fog grubuna ait. Fog, eğitim sektörü dışında iş hizmetleri, seyahat ve üretim sektörlerini de hedef alıyor. Fog fidye yazılımı, erişim sağladıktan sonra 2 saat içinde şifreleme işlemini tamamlıyor.     Lynx Fidye Yazılımı Lynx, çift tehdit (double extortion) stratejisi kullanan aktif bir fidye yazılım grubu olarak dikkat çekiyor. 2024’te 70'ten fazla kurbanı oldu. Hedefler: Devlet kurumları, hastaneler, kâr amacı gütmeyen kuruluşlar ve kritik altyapılar dışında birçok sektörü hedef alıyor. Saldırı yöntemi: Sisteme girdikten sonra .LYNX uzantısı ile dosyaları şifreliyor ve farklı dizinlere README.txt adında fidye notu bırakıyor.     2025'te Fidye Yazılımı (Ransomware) Gruplarınde Neler Olacak   2025’te RansomHub gibi yeni liderlerin çıkması bekleniyor. Küçük ve orta ölçekli gruplar, daha büyük grupların boşluklarını doldurmak için hızla organize olabilir. Rusya, Çin ve Kuzey Kore gibi devlet destekli grupların daha sofistike saldırılar geliştirmesi bekleniyor. Saldırganlar, daha az tespit edilen sıfır gün açıklarını ve sosyal mühendislik taktiklerini daha sık kullanabilir. Sağlık sektörü, finans, üretim ve eğitim kurumları daha büyük risk altında olacak. Küçük ve orta ölçekli işletmeler (KOBİ'ler) daha fazla hedef alınabilir çünkü genellikle güçlü güvenlik önlemleri bulunmuyor. Çift tehdit (double extortion): Verileri şifrelemenin yanı sıra, çalınan bilgileri sızdırmakla tehdit eden gruplar yaygınlaşacak. Hizmet olarak fidye yazılımı (RaaS) büyümeye devam edecek, bu da fidye yazılımının daha erişilebilir olmasını sağlayacak. Daha fazla şirket APT (İleri Seviye Tehdit Algılama ve Engelleme) çözümlerine, sıfır güven mimarisine ve yapay zeka destekli güvenlik çözümlerine yatırım yapacak.   Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bu zafiyetlerden etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

Palo Alto PAN-OS Kimlik Doğrulama Bypass Güvenlik Açığı

Palo Alto Networks, PAN-OS yazılımında kimlik doğrulama atlamasına neden olabilecek yüksek öneme sahip bir güvenlik açığını giderdi. CVE-2025-0108 : Palo Alto Networks PAN-OS yazılımında bulunan bir kimlik doğrulama atlama açığı, yönetim web arayüzüne ağ erişimi olan kimliği doğrulanmamış bir saldırganın, normalde PAN-OS yönetim web arayüzü tarafından talep edilen kimlik doğrulamasını atlamasına ve belirli PHP komut dosyalarını çalıştırmasına olanak tanır. Etkilenen PAN-OS Sürümleri   PAN-OS Sürümü  Etkilenen Versiyonlar  Düzeltildiği Sürüm PAN-OS 11.2 < 11.2.4-h4 >= 11.2.4-h4 PAN-OS 11.1 < 11.1.6-h1 >= 11.1.6-h1 PAN-OS 11.0 EOL (Desteklenmiyor) Güncellenmeli PAN-OS 10.2 < 10.2.13-h3 >= 10.2.13-h3 PAN-OS 10.1 < 10.1.14-h9 >= 10.1.14-h9 Güvenlik araştırmacısı Adam Kues, bu açığın, arayüzdeki Nginx ve Apache bileşenlerinin gelen istekleri farklı şekilde ele alması nedeniyle oluşan bir dizin geçiş (directory traversal) saldırısı olduğunu belirtti. Diğer Güvenlik Açıkları Palo Alto Networks ayrıca şu iki güvenlik açığını da giderdi: CVE-2025-0109 (CVSS puanı: 5.5) PAN-OS yönetim web arayüzünde, ağ erişimi olan kimliği doğrulanmamış bir saldırganın "nobody" kullanıcısı olarak belirli dosyaları (bazı loglar ve yapılandırma dosyaları dahil) silmesine olanak tanıyan bir güvenlik açığı. Düzeltildiği sürümler: 11.2.4-h4, 11.1.6-h1, 10.2.13-h3, 10.1.14-h9 CVE-2025-0110 (CVSS puanı: 7.3) PAN-OS OpenConfig eklentisinde, kimliği doğrulanmış bir yöneticinin gNMI istekleri yaparak sistem kısıtlamalarını atlatmasına ve keyfi komutlar çalıştırmasına olanak tanıyan bir komut enjeksiyonu güvenlik açığı. Düzeltildiği sürüm: PAN-OS OpenConfig Plugin 2.1.2 Riskin Azaltılması İçin Alınabilecek Önlemler Bu güvenlik açıklarından kaynaklanan riski azaltmak için şu adımlar önerilmektedir: İnternete veya güvenilmeyen ağlara açık yönetim arayüzlerini devre dışı bırakmak. OpenConfig kullanmayan müşterilerin bu eklentiyi devre dışı bırakmaları veya kaldırmaları.   CVE-2025-0108 Aktif Olarak Sömürülüyor! Tehdit istihbarat firması GreyNoise, Palo Alto Networks PAN-OS’u etkileyen bu yeni kimlik doğrulama atlama açığının aktif olarak sömürüldüğünü bildiriyor. GreyNoise tarafından paylaşılan verilere göre, saldırılar ABD, Çin ve İsrail'deki beş benzersiz IP adresinden kaynaklanıyor. "Bu yüksek öneme sahip güvenlik açığı, kimliği doğrulanmamış saldırganların belirli PHP komut dosyalarını çalıştırmasına izin vererek, savunmasız sistemlere yetkisiz erişim sağlama potansiyeli taşır." — GreyNoise Araştırma Ekibi   Palo Alto Networks'ten Açıklama: Aktif Sömürü Teyit Edildi Palo Alto Networks, yaptığı bir açıklamada, CVE-2025-0108 güvenlik açığının aktif olarak sömürüldüğünü doğruladı ve müşterilere derhal güvenlik güncellemelerini uygulamaları çağrısında bulundu: "Müşterilerimizin güvenliği en büyük önceliğimizdir. Palo Alto Networks, PAN-OS web yönetim arayüzünde bulunan bir güvenlik açığı (CVE-2025-0108) üzerine aktif sömürü girişimlerinin olduğunu doğrulamıştır. Bu güvenlik açığı, CVE-2024-9474 gibi diğer güvenlik açıklarıyla zincirleme olarak kullanılırsa, yamalanmamış ve güvenli olmayan güvenlik duvarlarına yetkisiz erişim sağlanabilir."   Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bu zafiyetlerden etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

Massive Brute Force Saldırısı, 2.8 milyon IP ile Saldırıyor

Palo Alto Networks, Ivanti ve SonicWall gibi birçok ağ cihazının kimlik bilgilerini tahmin etmeye çalışan, 2,8 milyon IP adresi kullanılarak gerçekleştirilen büyük ölçekli bir brute force şifre saldırısı devam ediyor. Brute force saldırısı, tehdit aktörlerinin birçok kullanıcı adı ve parola kombinasyonunu tekrar tekrar deneyerek doğru olanı bulmaya çalıştıkları bir saldırı türüdür. Doğru kimlik bilgilerine eriştiklerinde, saldırganlar cihazları ele geçirebilir veya bir ağa erişim sağlayabilirler. Bu IP adreslerinin çoğu (1,1 milyonu) Brezilya'dan, ardından Türkiye, Rusya, Arjantin, Fas ve Meksika’dan geliyor. Ancak saldırılara çok sayıda farklı ülkeden katılım olduğu belirtiliyor. Hedeflenen Cihazlar ve Kullanılan Araçlar Bu saldırılar güvenlik duvarları (firewall), VPN’ler, ağ geçitleri (gateway) ve diğer güvenlik cihazları gibi internete açık kenar (edge) güvenlik cihazlarını hedef alıyor. Bu cihazlar genellikle uzaktan erişimi kolaylaştırmak amacıyla internete maruz bırakılıyor. Saldırıları gerçekleştiren cihazlar büyük ölçüde MikroTik, Huawei, Cisco, Boa ve ZTE yönlendiriciler (router) ve IoT cihazlarıdır. Bu tür cihazlar genellikle büyük kötü amaçlı yazılım botnetleri tarafından ele geçirilmiş oluyor.     Botnet ve Residential Proxy Kullanımı Shadowserver ayrıca saldırı gerçekleştiren IP adreslerinin birçok farklı ağ ve Otonom Sistem (AS) arasında dağıldığını ve büyük olasılıkla bir botnet veya residential proxy (ev tipi vekil sunucu) ağıyla ilişkili olduğunu belirtti. Residential proxy’ler, internet servis sağlayıcıları (ISP) tarafından tüketici müşterilerine atanan IP adresleridir ve bu nedenle siber suç, veri kazıma (scraping), coğrafi kısıtlamaları aşma, reklam doğrulama, sneaker/ticket botları gibi birçok yasa dışı faaliyet için oldukça rağbet görmektedir. Bu proxy’ler internet trafiğini ev ağları üzerinden yönlendirerek, kullanıcının bir bot, veri kazıyıcı veya hacker yerine sıradan bir ev kullanıcısı gibi görünmesini sağlar. Bu saldırılarda hedef alınan ağ geçidi cihazları (gateway), residential proxy operasyonlarında bir çıkış noktası olarak kullanılabilir ve bu da kötü amaçlı trafiğin bir kurumsal ağ üzerinden yönlendirilmesine yol açabilir. Bu tür düğümler (nodes) “yüksek kaliteli” olarak kabul edilir, çünkü organizasyonların genellikle iyi bir itibarı vardır ve saldırıları tespit etmek ve durdurmak daha zordur.     Geçmişteki Benzer Büyük Ölçekli Brute Force Saldırıları     📌 Geçen Nisan ayında, Cisco dünya çapında Cisco, CheckPoint, Fortinet, SonicWall ve Ubiquiti cihazlarını hedef alan büyük ölçekli bir kimlik bilgisi brute force saldırısı hakkında uyarıda bulunmuştu. 📌 Geçen Aralık ayında ise, Citrix dünya çapında Citrix Netscaler cihazlarını hedef alan parola püskürtme (password spray) saldırıları konusunda uyarılar yayınlamıştı.

VO1D Botnet 226 ülkede 1.59m enfekte Android TV Yönetiyor

Brezilya, Güney Afrika, Endonezya, Arjantin ve Tayland, Vo1d adlı bir botnet zararlısı tarafından enfekte edilen Android TV cihazlarını hedef alan bir kampanyanın odak noktası haline geldi. Vo1d'un geliştirilmiş varyantının, günlük 800.000 aktif IP adresini kapsadığı ve botnet'in 19 Ocak 2025'te 1.590.299 zirveye ulaştığı bildirildi. Bu saldırılar, 226 ülke ve bölgeye yayılmış durumda. 25 Şubat 2025 itibarıyla, Hindistan’da enfekte olan cihazların oranı %1’in altındayken (3.901 cihaz), %18,17’ye (217.771 cihaz) yükseldi. QiAnXin XLab; "Vo1d, gizlilik, dayanıklılık ve tespit edilmezlik yeteneklerini geliştirmek için evrim geçirdi, RSA şifreleme, ağ iletişimini güvence altına alarak komuta ve kontrol (C2) sunucusunun ele geçirilmesini önlüyor. Her yük, XXTEA şifreleme ve RSA korumalı anahtarlar içeren benzersiz bir indirici kullanıyor, bu da analiz edilmesini zorlaştırıyor." Bu zararlı yazılım ilk olarak Eylül 2024'te Doctor Web tarafından belgelendi ve Android tabanlı TV kutularına yönelik bir arka kapı olarak tanımlandı. C2 sunucusundan gelen talimatlara göre ek çalıştırılabilir dosyalar indirip çalıştırma yeteneğine sahip. Cihazların nasıl ele geçirildiği tam olarak belli değil, ancak tedarik zinciri saldırısı veya yerleşik root erişimi içeren resmi olmayan üretici yazılımı (firmware) kullanımı ihtimali üzerinde duruluyor. Google, The Hacker News’e yaptığı açıklamada, enfekte cihazların "markasız" TV modelleri olduğunu, Play Protect sertifikasına sahip Android cihazlar olmadığını ve büyük ihtimalle Android Açık Kaynak Projesi (AOSP) kod deposundan alınan kaynak kodu kullandıklarını belirtti. Bu zararlı yazılım kampanyasının büyük ölçekli bir operasyon olarak yürütüldüğü ve temel amacının bir vekil (proxy) ağı oluşturmak ve reklam tıklama dolandırıcılığı yapmak olduğu belirtiliyor. XLab, botnet’in bölgesel olarak suç örgütlerine kiralandığını, bu yüzden aktivitenin dalgalanma gösterdiğini öne sürüyor. Bu model, "kira-iade" döngüsü (rental-return cycle) olarak tanımlanıyor; yani botlar belli bir süre boyunca yasa dışı operasyonlara olanak sağlıyor, ardından daha büyük Vo1d ağına geri katılıyor. Bu yük, C2 sunucusuyla iletişim kurmak için tasarlanmıştır. Şifrelenmiş sıkıştırılmış paket (ts01) şu dört dosyayı içerir: install.sh cv vo1d x.apk Zararlı yazılım öncelikle bir kabuk betiği (shell script) çalıştırarak cv bileşenini başlatır. Bu bileşen daha sonra hem vo1d modülünü hem de Android uygulamasını kurup çalıştırır. Vo1d modülünün ana işlevi, gömülü bir yükü (payload) şifreyi çözüp yüklemek, bir arka kapı oluşturmak ve C2 sunucusuyla iletişim sağlayarak yeni zararlıları indirmek ve çalıştırmaktır.     Zararlı Android Uygulaması: Sahte Google Play Hizmetleri Zararlı Android uygulaması, "com.google.android.gms.stable" paket adını taşıyor, bu da gerçek Google Play Hizmetleri’ni ("com.google.android.gms") taklit etmek amacı taşıyor. Bu sayede tespit edilmekten kaçınarak sistemde kalıcı hale geliyor. Bunu yapmak için cihaz her yeniden başlatıldığında otomatik olarak çalışmasını sağlayan "BOOT_COMPLETED" olayını dinliyor. Ayrıca vo1d modülüne benzer işlevlere sahip iki ek bileşeni başlatıyor. Vo1d'un hizmetlerinin diğer tehdit aktörlerine kiralanıyor olabileceği düşünülüyor.

SonicWall Firewall Authentication Bypass Zafiyeti

Siber güvenlik firmaları, CVE-2024-53704 olarak izlenen SonicWall güvenlik duvarlarındaki kritik kimlik doğrulama atlatma açığının artık gerçek saldırılarda aktif olarak kullanıldığını bildirdi. Bu saldırılardaki artış, 10 Şubat 2025'te Bishop Fox araştırmacıları tarafından kamuya açık olarak yayınlanan kanıtlanmış kavram (PoC) sömürü kodunun ardından hız kazandı ve yamalanmamış cihazları olan kuruluşlar için riskleri artırdı. CVE-2024-53704, CVSS ölçeğinde 9,3 puanla derecelendirilen ve SonicOS işletim sisteminin SSL VPN kimlik doğrulama mekanizmasında bulunan bir güvenlik açığıdır. Bu işletim sistemi, SonicWall’ın Gen 6, Gen 7 ve TZ80 güvenlik duvarlarını çalıştırmaktadır. Bu açığın başarılı bir şekilde sömürülmesi, çok faktörlü kimlik doğrulamanın (MFA) atlatılmasına, özel ağ yollarının açığa çıkmasına ve yetkisiz kullanıcıların iç kaynaklara erişmesine olanak tanır. Ayrıca, ele geçirilen oturumlar sayesinde tehdit aktörleri meşru kullanıcı bağlantılarını sonlandırabilir. CVE-2024-53704’ün Gerçek Saldırılarda Kullanımı SonicWall, bu güvenlik açığını 7 Ocak 2025'te açıkladı ve derhal yamaların uygulanması gerektiğini duyurdu. O dönemde, şirket bu açığın aktif olarak sömürüldüğüne dair bir kanıt olmadığını belirtmişti. Ancak Bishop Fox’un PoC yayınlaması, saldırganlar için sömürme eşiğini önemli ölçüde düşürdü. 12 Şubat itibarıyla, Arctic Wolf güvenlik araştırmacıları, öncelikli olarak sanal özel sunucular (VPS) üzerinden gelen ondan az farklı IP adresinden saldırı girişimleri tespit etti. Güvenlik analistleri, SonicWall cihazlarının tarihsel olarak fidye yazılım grupları (Akira, Fog) tarafından hedef alınması nedeniyle güvenlik açığının hızla silahlandırıldığını belirtiyor. Etkilenen firmware sürümleri: SonicOS 7.1.x (7.1.1-7058’e kadar) SonicOS 7.1.2-7019 SonicOS 8.0.0-8035 Yamalanmış sürümler, Ocak 2025'te yayınlandı: SonicOS 8.0.0-8037 SonicOS 7.1.3-7015

Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz;

Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz.

Siber Güvenlik Bülteni - Aralık 2024

Bültenimizin Aralık Ayı konu başlıkları;  Sophos, Güvenlik Duvarı Ürünlerinde Kritik Açık için Yama Yayınladı Palo Alto Networks, PAN-OS Yazılımında Güvenlik Açığı Dell SupportAssist Yazılımında Güvenlik Açığı Japan Airlines (JAL), Siber Saldırıya Uğradı Romanya Seçimlerine Siber Saldırı

Sophos, Güvenlik Duvarı Ürünlerinde Kritik Açık için Yama Yayınladı

Sophos, güvenlik duvarı ürünlerinde uzaktaki saldırganların kimlik doğrulama olmadan rastgele kod çalıştırmasına olanak tanıyabilecek kritik bir güvenlik açığı için yamalar yayınladı. CVE-2024-12727 olarak izlenen bu güvenlik açığı, e-posta koruma özelliğini etkileyen bir SQL enjeksiyonu hatası olarak tanımlanıyor. Bu açık, saldırganların güvenlik duvarlarının raporlama veritabanına erişmesini sağlıyor. Bu güvenlik açığı, Secure PDF eXchange (SPX) özelliğinin belirli bir yapılandırmasının etkinleştirilmesi ve güvenlik duvarının Yüksek Erişilebilirlik (HA) modunda çalıştırılması durumunda uzaktan kod yürütme (RCE) için kötüye kullanılabiliyor. Sophos’un güvenlik danışmanlığına göre, bu açık 21.0 MR1 (21.0.1) sürümünden önceki güvenlik duvarı ürünlerini etkiliyor ve cihazların yalnızca %0.05’ini kapsıyor. Geçen hafta şirket, güvenlik duvarı ürünlerinin 21 GA, 20 GA, 20 MR1, 20 MR2, 20 MR3, 19.5 MR3, 19.5 MR4 ve 19.0 MR2 sürümleri için hızlı yamalar yayınladı. Bu yamalar ayrıca Sophos Güvenlik Duvarı 21.0 MR1 sürümüne de dahil edildi. Güncellenen sürüm, aynı zamanda CVE-2024-12728 kodlu zayıf kimlik bilgileri hatasını da ele alıyor. Bu güvenlik açığını azaltmak için kullanıcıların SSH erişimini yalnızca fiziksel olarak ayrılmış özel HA bağlantısıyla sınırlamaları veya HA yapılandırmasını yeterince uzun ve rastgele bir özel parola kullanarak yeniden yapılandırmaları gerekiyor. Ayrıca WAN üzerinden SSH erişimi devre dışı bırakılmalıdır. Ek olarak, CVE-2024-12729 kodlu, kimliği doğrulanmış saldırganların uzaktan rastgele kod çalıştırmasına izin verebilecek Kullanıcı Portalı'nda bir kod enjeksiyonu açığı için de yamalar yayınlandı. Sophos, bu açığın kötüye kullanılmasını önlemek için kullanıcıların WAN üzerinden Kullanıcı Portalı ve Webadmin erişimini devre dışı bırakmalarını öneriyor.   Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bu zafiyetlerden etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

Palo Alto Networks, PAN-OS Yazılımında Güvenlik Açığı

Palo Alto Networks, yeni nesil güvenlik duvarlarını çalıştıran PAN-OS yazılımında CVE-2024-3393 kodlu yüksek öneme sahip bir güvenlik açığını açıkladı. Bu açık, kimliği doğrulanmamış saldırganların özel olarak hazırlanmış DNS paketleri göndererek DNS Güvenlik özelliğini istismar etmesine olanak tanır ve Hizmet Reddi (DoS) durumuna yol açar. Güvenlik açığı, etkilenen güvenlik duvarlarının yeniden başlatılmasına ve tekrar tekrar istismar edilmesi durumunda bakım moduna geçmesine neden olabilir. Sorun, PAN-OS DNS Güvenlik özelliğinin istisnai koşulları düzgün şekilde ele almamasından kaynaklanıyor. Saldırganlar, güvenlik duvarının veri düzleminden kötü amaçlı paketler göndererek çökmesine ve yeniden başlatılmasına yol açabilir. Bu güvenlik açığı, Yüksek olarak derecelendirilmiştir ve ciddi kesinti potansiyeline işaret eder. Saldırı karmaşıklığı düşüktür, kullanıcı etkileşimi veya özel ayrıcalıklar gerektirmez ve ağ üzerinden uzaktan gerçekleştirilebilir.   Etkilenen Sürümler Bu güvenlik açığı, birden fazla PAN-OS sürümünü etkilemektedir: PAN-OS 11.2: 11.2.3'ten önceki sürümler etkilenmiştir. PAN-OS 11.1: 11.1.5'ten önceki sürümler etkilenmiştir. PAN-OS 10.2: 10.2.8'den önceki sürümler etkilenmiştir (ek düzeltmeler bakım güncellemelerinde mevcuttur). PAN-OS 10.1: 10.1.14'ten önceki sürümler etkilenmiştir. Prisma Access müşterileri de savunmasız PAN-OS sürümlerini kullanmaları durumunda risk altındadır. Palo Alto Networks, saldırganların bu güvenlik açığını üretim ortamlarında başarıyla kullanarak Hizmet Reddi (DoS) koşulları oluşturduklarını doğrulamıştır. Bu güvenlik açığı, gizlilik veya bütünlüğü tehlikeye atmasa da, kullanılabilirliği önemli ölçüde etkiler ve ağ güvenliğine bağımlı kuruluşlar için kritik bir endişe kaynağıdır.   Yayınlanan Yamalar Palo Alto Networks, bu güvenlik açığını ele almak için aşağıdaki sürümlerde yamalar yayınlamıştır: PAN-OS 10.1.14-h8 PAN-OS 10.2.10-h12 PAN-OS 11.1.5 PAN-OS 11.2.3 Müşterilere riskleri azaltmak için bu sürümlere veya daha yeni sürümlere güncellemeleri şiddetle önerilmektedir.   Geçici Çözümler (Yama Uygulanamıyorsa) Düzeltmeleri hemen uygulayamayanlar için geçici çözümler şunları içerir: Objects → Security Profiles → Anti-spyware → DNS Policies yolunu izleyin. Tüm DNS Güvenlik kategorileri için “Log Severity” ayarını “none” olarak belirleyin. Değişiklikleri kaydedin ve yamalar uygulandıktan sonra ayarları geri alın.   Kuruluşların Atması Gereken Adımlar Sistemlerin güvenliğini sağlamak için yamaları hemen uygulayın. Yama uygulanamıyorsa önerilen geçici çözümleri hayata geçirin. Güvenlik duvarı davranışını, beklenmeyen yeniden başlatmalar veya bakım modu durumları için izleyin. Güvenlik danışmanlıklarını düzenli olarak gözden geçirin ve yazılım sürümlerini güncel tutun. Bu güvenlik açığı, ağ altyapısını gelişen tehditlere karşı korumak için zamanında yama yönetiminin ve güçlü izleme uygulamalarının kritik önemini bir kez daha vurgulamaktadır.

Dell SupportAssist Yazılımında Güvenlik Açığı

Dell'in yaygın olarak kullanılan SupportAssist yazılımında yeni ortaya çıkan yüksek etkili bir güvenlik açığı, saldırganların etkilenen sistemlerde ayrıcalıkları yükseltmesine olanak tanıyabilir. CVE-2024-52535 olarak tanımlanan bu güvenlik açığı, sistem bütünlüğünü tehlikeye atma ve operasyonları aksatma potansiyeli nedeniyle siber güvenlik uzmanları ve son kullanıcılar arasında ciddi endişelere yol açtı. Güvenlik Açığı Detayları CVE-2024-52535, şu sürümleri etkiliyor: Dell SupportAssist for Home PCs: 4.6.1 ve önceki sürümler Dell SupportAssist for Business PCs: 4.5.0 ve önceki sürümler Bu güvenlik açığı, yazılımın iyileştirme bileşenindeki sembolik bağlantı (symlink) saldırısından kaynaklanıyor. Saldırganlar, bu güvenlik açığını kullanarak düşük ayrıcalıklı kimlik doğrulanmış kullanıcı hesapları üzerinden yetkilerini yükseltebilir ve sistemde yetkisiz işlemler gerçekleştirebilir. Buna, dosya ve klasörlerin keyfi olarak silinmesi gibi kritik yetkilendirilmemiş işlemler de dahildir. Bu tür bir sömürü, saldırganların kritik dosyaları sabote ederek sistemleri kullanılamaz hale getirmesi gibi ciddi riskler yaratabilir. Bu güvenlik açığı, Yüksek olarak derecelendirilmiştir ve saldırının yerel erişim gerektirdiğini, ancak düşük karmaşıklıkta olduğunu ve saldırganların bunu nispeten kolayca istismar edebileceğini belirtir.   Etkilenen Ürünler ve Çözüm Yolları   Ürün Etkilenen Sürümler Düzeltme Yapılmış Sürümler SupportAssist for Home PCs 4.6.2'den önceki sürümler 4.6.2 veya daha yeni sürümler SupportAssist for Business PCs 4.5.1'den önceki sürümler 4.5.1 veya daha yeni sürümler Dell Technologies, bu güvenlik açığına yönelik riskleri azaltmak için kullanıcıların en kısa sürede düzeltme yapılmış sürümlere güncelleme yapmasını şiddetle önermektedir.   Riskleri Azaltmak İçin Atılması Gereken Adımlar SupportAssist'i Güncelleyin: Home PC kullanıcıları: 4.6.2 veya daha yeni sürümler Business PC kullanıcıları: 4.5.1 veya daha yeni sürümler Güncellemeler yalnızca Dell'in resmi bağlantıları üzerinden indirilmelidir. Güvenlik Önlemlerini Gözden Geçirin: Erişim kontrollerinin doğru yapılandırıldığından emin olun. Şüpheli etkinlikleri izleyin ve özellikle etkilenmiş sürümleri çalıştıran sistemleri kontrol edin. Düzenli Bakım Uygulayın: Yazılım güncellemeleri için düzenli kontroller yapın. Mevcut ve gelecekteki güvenlik açıklarının istismarını önlemek için tüm cihazların en son yamalarla güncel olduğundan emin olun.

Japan Airlines (JAL), Siber Saldırıya Uğradı

Şu ana kadar dokuz uçuş, sistem arızaları nedeniyle ertelendi ve daha fazla aksaklık bekleniyor. JAL sözcüsü, ek gecikmeler veya iptallerin yaşanabileceğini kabul etti, ancak etkinin boyutuna dair net detaylar vermedi. Bu olay, Japonya’nın havacılık sektöründe artan siber güvenlik tehditlerini bir kez daha gözler önüne seriyor. JAL, son dönemde siber saldırıya maruz kalan Japon şirketleri listesine katıldı. 2022 yılında, benzer bir saldırı, Toyota'nın bir tedarikçisinin operasyonlarını aksatmış ve Japonya’daki yerel fabrikalarda üretim bir günlüğüne durdurulmuştu. 2024 Haziran ayında, video paylaşım platformu Niconico, geniş çaplı bir siber saldırı nedeniyle hizmetlerini askıya almak zorunda kalmıştı. Havacılık Sektöründe Artan Tehditler JAL’a yapılan bu saldırı, küresel ölçekte kritik altyapı sektörlerindeki artan güvenlik açıklarını yansıtıyor. Havacılık sektörü, biletleme ve bagaj yönetimi gibi operasyonların dijital sistemlere bağımlılığı nedeniyle bu tür tehditlere karşı daha savunmasız durumda. Şirket, saldırının faili veya doğası hakkında detaylı bilgi paylaşmazken, siber güvenlik uzmanları ve yetkililerle iş birliği içinde çalıştıklarını belirtti. Uzmanlar, bu tür saldırıların hassas verileri tehlikeye atabileceği veya hayati hizmetleri aksatabileceği konusunda uyarıda bulunuyor. Bu siber saldırı, dijitalleşen dünyada kritik sektörlerin karşı karşıya kaldığı güvenlik açıklarının ciddiyetini bir kez daha hatırlatıyor.

Romanya Seçimlerine Siber Saldırı

Romanya Anayasa Mahkemesi, Rusya'nın seçimlere müdahale ettiği iddiaları üzerine tarihi bir karar alarak cumhurbaşkanlığı seçimlerinin ilk tur sonuçlarını iptal etti. Bu karar doğrultusunda, 8 Aralık 2024 tarihinde yapılması planlanan ikinci tur seçim gerçekleşmeyecek. İlk turu kazanan Călin Georgescu, kararı “resmileşmiş bir darbe” ve demokrasiye yapılan bir saldırı olarak nitelendirdi. Anayasa Mahkemesi tarafından yapılan açıklamada şu ifadelere yer verildi: "Romanya Cumhurbaşkanı'nın seçilmesine yönelik seçim süreci tamamen yeniden başlatılacak. Hükümet, cumhurbaşkanlığı seçiminin yeni tarihini ve gerekli eylemlerin uygulanması için yeni bir takvim programı belirleyecektir." Mahkeme, kararın Anayasa'nın 146(f) maddesine dayanarak alındığını ve seçim sürecinin adil ve yasal bir şekilde yürütülmesinin gerekliliğine vurgu yapıldığını belirtti. Kararın nihai ve bağlayıcı olduğu ifade edildi . Rus Müdahalesi İddiaları Bu karar, Romanya hükümetinin açıkladığı gizliliği kaldırılmış belgelerden günler sonra geldi. Belgelerde, TikTok’ta 25.000 hesaplı bir ağın Călin Georgescu’yu desteklemek için koordineli bir şekilde kullanıldığı ve bunun pro-Rusya etkisi taşıdığı iddia ediliyor. Bununla birlikte, Georgescu’nun bu kampanyadan haberdar olup olmadığı ya da destek verip vermediği belgelerden netleşmedi. Rusya ise seçim sürecine herhangi bir müdahalede bulunmadığını belirtti. Ayrıca, Romanya İstihbarat Servisi (SRI), seçimlerin ilk turu öncesinde ve sırasında 85.000'den fazla siber saldırı girişimi tespit edildiğini açıkladı. Bu girişimlerin amacı, seçim web siteleri ve BT sistemlerine erişim sağlamaktı. SRI, saldırıların ölçeği ve operasyon şeklinin, "devlet destekli bir saldırgana özgü geniş kaynakların kullanıldığını" gösterdiğini belirtti.   Uluslararası Tepkiler ABD Dışişleri Bakanlığı Sözcüsü Matthew Miller, şu açıklamada bulundu: "Rumen halkı, seçimlerinin demokratik iradelerini yansıttığından ve adil bir şekilde yabancı kötü niyetli etkilerden arındırıldığından emin olmalıdır." Avrupa Komisyonu ise TikTok’a yönelik gözetimlerini artırdığını ve platformdan "seçim süreçlerine ve toplumsal söyleme yönelik sistemik riskler taşıyabilecek verilerin dondurulması ve korunması" talebinde bulundu. Komisyon ayrıca TikTok’tan: Öneri sistemlerinin tasarımı ve işleyişine ilişkin iç belgeleri, Koordineli sahte davranışlar (CIB) yoluyla manipülasyon risklerine karşı aldıkları önlemleri açıklamalarını istedi.   TikTok’un Müdahalesi ve Araştırmalar TikTok, Kasım 2024’ün sonlarında iki küçük ağ tespit ettiğini duyurdu. Ağlardan biri 78 hesap, diğeri ise 12 hesaptan oluşuyordu ve bu hesaplar Georgescu ve bağımsız aday Mircea Geoană lehine kampanya yürütüyordu. Eylül ayında ise platform, Romanya’dan faaliyet gösteren ve hükümet karşıtı anlatıları yaymak için sahte hesaplar kullanan 22 hesabı kapattığını duyurdu. Bu ağın toplamda 300.000 takipçisi bulunuyordu. TikTok tarafından yapılan açıklamada şu ifadeler yer aldı: "Romanya seçimlerini hedefleyen ağlar, TikTok üzerinde küçük ölçekli, ülke içinde koordine edilmiş operasyonlar şeklinde tespit edilmiştir. Platform dışı faaliyetleri de yakından takip ederek gizli etki operasyonlarını ve yanıltıcı davranışları önlemeye çalışıyoruz." Avrupa Komisyonu, TikTok’u Resmen Soruşturuyor 17 Aralık 2024 tarihinde Avrupa Komisyonu, TikTok’un Dijital Hizmetler Yasası’nı (DSA) ihlal edip etmediğine dair resmi bir soruşturma başlattığını duyurdu. Avrupa Komisyonu Başkanı Ursula von der Leyen, şu açıklamada bulundu: "Romanya cumhurbaşkanlığı seçimlerine yabancı aktörlerin TikTok üzerinden müdahale ettiğine dair ciddi belirtiler sonrasında, TikTok’un Dijital Hizmetler Yasası’nı ihlal edip etmediğini detaylı bir şekilde araştırıyoruz." Bu olay, seçim güvenliğinin dijital dünyada ne kadar kritik olduğunu ve sosyal medya platformlarının siyasi manipülasyonlar için nasıl araçsallaştırılabileceğini bir kez daha gözler önüne seriyor. Romanya’nın seçim sürecinin yeniden başlatılması, ülke demokrasisi ve dijital güvenlik açısından önemli bir dönüm noktası olarak tarihe geçti.

Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz;

Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz.

Geçmiş Bültenlerimizi Blog Adresimizden Takip Edebilirsiniz

Siber Güvenlik Bülteni - Ekim 2024

 

Bültenimizin Ekim Ayı konu başlıkları;  Fortinet Sıfırıncı Gün Açığı: FortiManager Güvenlik Zafiyeti Cisco ASA ve Firepower Threat Defense (FTD) Yazılımlarında Hizmet Engelleme (DoS) Açığı Palo Alto Networks, PAN-OS Zafiyeti Oracle’ın Ekim 2024 Kritik Yama Güncellemesi  1 Yılda 31 Yeni Fidye Yazılımı Grubu Ekosisteme Katılıyor

Fortinet Sıfırıncı Gün Açığı: FortiManager Güvenlik Zafiyeti

Yakın zamanda Fortinet tarafından yamalanan bir sıfırıncı gün güvenlik açığının, Haziran 2024’ten beri tehdit aktörleri tarafından aktif olarak kullanıldığı ortaya çıktı. Google Cloud’un tehdit istihbarat birimi Mandiant, geçtiğimiz günlerde yaptığı açıklamada, bu güvenlik açığının Fortinet müşterilerini ciddi bir tehdit altına soktuğunu belirtti. FortiManager Güvenlik Zafiyeti Hakkında FortiManager, Fortinet’in FortiGate güvenlik duvarlarını merkezi olarak yönetme imkanı sunan bir üründür. Bu ürün, müşterilere ağlarındaki cihazları merkezi bir noktadan yönetme kolaylığı sağlamaktadır. Ancak, yeni keşfedilen bu güvenlik açığı, uzaktan kimlik doğrulama gerektirmeden saldırganların rastgele kod çalıştırabilmesine imkan tanımaktadır. Araştırmacı, bu güvenlik açığına dair ilk belirtilerin ortaya çıkmasından itibaren Fortinet’in müşteri bilgilendirmelerini ve güncellemelerini yakından takip etti. İlk başta Fortinet müşterilerine sadece geçici çözümler sunarken, kısa bir süre sonra yama yayınlamaya başladı. CVE-2024-47575 Açığı Fortinet, CVE-2024-47575 olarak tanımlanan bu güvenlik açığını geçtiğimiz Çarşamba günü kamuoyuna açıkladı ve her etkilenen FortiManager sürümü için gerekli yamaların yayımlandığını duyurdu. Şirket ayrıca, güvenlik açığı için alternatif çözümler ve kurtarma yöntemleri hakkında müşterilerini bilgilendirdi. Fortinet, bu güvenlik açığının hali hazırda herkese açık ortamda kötüye kullanıldığını doğrulasa da, şu ana kadar FortiManager sistemlerinde düşük seviyeli bir zararlı yazılım veya arka kapı kurulumu bildirilmediğini belirtti. Ayrıca, etkilenen sistemlerde veri tabanlarının değiştirilmediği ve yönetilen cihazlarla olan bağlantılar üzerinde bir değişiklik tespit edilmediği aktarıldı. Yeni Tehdit Kümesi UNC5820 Fortinet’in güvenlik açığını araştıran Mandiant, Çarşamba günü yayınladığı bir blog yazısında, bu sıfırıncı gün saldırılarının dünya çapında 50’den fazla kurbanı olduğunu açıkladı. Kurbanlar, çeşitli ülkelerden ve farklı sektörlerden gelmektedir. Ancak Mandiant, saldırganların konumu veya motivasyonu hakkında yeterli veri bulunmadığından dolayı, bu saldırıları “UNC5820” adı verilen yeni bir tehdit kümesi olarak takip etmektedir. Mandiant araştırmacıları, CVE-2024-47575 güvenlik açığının 27 Haziran 2024’ten bu yana aktif olarak kötüye kullanıldığını gösteren kanıtlar elde etti. Araştırmacılara göre, bu güvenlik açığı, saldırganların FortiManager üzerinden veri sızdırmasına, yönetilen Fortinet cihazlarına erişim sağlamasına ve nihayetinde tüm kurumsal ağı hedef almasına olanak tanımaktadır. FortiJump: Devlet Destekli Casusluk İddiaları Güvenlik araştırmacıları, bu güvenlik açığını “FortiJump” olarak adlandırdı ve bu açığın devlet destekli tehdit aktörleri tarafından yönetilen hizmet sağlayıcılar (MSP'ler) aracılığıyla casusluk amaçlı kullanıldığına inandığını belirtti. FortiManager üzerinden FortiGate güvenlik duvarlarına erişim sağlanabileceğini, yapılandırma dosyalarının görüntülenebileceğini, kimlik bilgileri alınabileceğini ve yapılandırmaların değiştirilebileceğini belirtti. Bu nedenle, özellikle MSP’lerin FortiManager kullanımı yaygın olduğundan, bu açıktan yararlanarak farklı ağlara erişim sağlanması oldukça mümkündür. FortiManager Güvenlik Açığının Yaygınlığı Araştırmacıların yönetimindeki FortiManager honeypot sistemi, saldırı girişimlerini gözlemlemek için kullanılıyor ve internet üzerinden erişilebilen on binlerce sistem bulunduğunu belirtiyor. Ancak bu sistemlerin sahiplerinin, herkese açık ortamda aktif olarak kullanılan güvenlik açıklarına karşı yamaları uygulamakta yavaş davrandıkları gözlemleniyor. İhlal Göstergeleri ve Güvenlik Önerileri CVE-2024-47575 güvenlik açığını istismar eden saldırılara ait ihlal göstergeleri (IoC), hem Fortinet hem de Mandiant tarafından kamuya sunulmuş durumda. Fortinet, müşterilerin sistemlerini koruma altına almak için yamaları hızla yüklemelerini öneriyor ve bunun yanı sıra veri güvenliği için alternatif çözümler sunuyor. Bu gelişmeler ışığında, güvenlik açığına karşı duyarlı sistem sahiplerinin sistemlerini acilen güncellemeleri, IoC’leri takip etmeleri ve gerekirse alternatif güvenlik önlemleri almaları oldukça önemlidir.   Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bu zafiyetlerden etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

Cisco ASA ve Firepower Threat Defense (FTD) Yazılımlarında Hizmet Engelleme (DoS) Açığı

Cisco, Nisan ayında Cisco VPN cihazlarına karşı gerçekleştirilen büyük çaplı kaba kuvvet saldırıları sırasında keşfedilen hizmet engelleme (DoS) açığını gidermek için bir güvenlik güncellemesi yayınladı. CVE-2024-20481 olarak izlenen bu açık, Cisco ASA ve Cisco FTD yazılımlarının en son sürümlerine kadar olan tüm versiyonlarını etkilemektedir. Güvenlik açığı hakkında: Cisco Adaptive Security Appliance (ASA) ve Cisco Firepower Threat Defense (FTD) yazılımlarının Uzaktan Erişim VPN (RAVPN) hizmetinde bulunan bu açık, kimliği doğrulanmamış uzak bir saldırganın RAVPN hizmetinde DoS saldırısı gerçekleştirmesine olanak tanır. Bu güvenlik açığı, kaynakların tükenmesinden kaynaklanmaktadır. Saldırgan, etkilenmiş bir cihaza çok sayıda VPN kimlik doğrulama isteği göndererek kaynakları tüketebilir ve bu da cihazda RAVPN hizmetinin DoS durumuna düşmesine neden olabilir. Cisco, bu DoS saldırısı bir cihazı etkilediğinde, RAVPN hizmetlerini geri yüklemek için cihazın yeniden başlatılmasının gerekebileceğini belirtmektedir. Cisco Ürün Güvenliği Olay Yanıt Ekibi (PSIRT), bu güvenlik açığının aktif olarak istismar edildiğini bildirse de, Cisco ASA cihazlarının DoS saldırılarında hedef alınmadığını vurgulamaktadır. Açık, büyük çaplı VPN hizmetlerine yönelik kaba kuvvet şifre saldırıları sırasında tespit edilmiştir. Bu saldırılar aşağıdaki VPN hizmetlerini hedef almaktaydı: Cisco Secure Firewall VPN Checkpoint VPN Fortinet VPN SonicWall VPN RD Web Services Miktrotik Draytek Ubiquiti Bu saldırılar, kurumsal ağlar için geçerli VPN kimlik bilgilerini toplamak amacıyla düzenlenmiştir. Toplanan kimlik bilgileri, karaborsada satılabilir, fidye yazılımı gruplarına ilk erişim sağlamak için kullanılabilir veya veri hırsızlığı saldırılarında ağlara sızmak için değerlendirilebilir. Güvenlik açığının tespiti ve giderilmesi: Bu hata, yazılımın VPN kimlik doğrulama girişimleri sırasında ayrılan kaynakları (örneğin, belleği) düzgün bir şekilde serbest bırakmaması anlamına gelen bir CWE-772 güvenlik açığı olarak sınıflandırılmıştır. Açığın yalnızca RAVPN hizmeti etkinleştirildiğinde sömürülebileceği belirtilmektedir. Yöneticiler, bir cihazda SSL VPN’in etkin olup olmadığını öğrenmek için şu komutu kullanabilir: firewall# show running-config webvpn | include ^ enable Bu komuttan çıktı alınamazsa, RAVPN hizmeti etkin değil demektir. Diğer Cisco Güvenlik Açıkları Cisco, çeşitli ürünlerinde bulunan 42 güvenlik açığı için 37 güvenlik danışmanlığı yayınlamıştır. Bu güvenlik açıkları arasında Firepower Threat Defense (FTD), Secure Firewall Management Center (FMC) ve Adaptive Security Appliance (ASA) ürünlerini etkileyen üç kritik güvenlik açığı bulunmaktadır. Bu açıkların herkese açık ortamda aktif olarak istismar edildiğine dair bir kanıt olmamakla birlikte, önem dereceleri göz önünde bulundurularak sistem yöneticilerinin bu açıkları hemen yamalamaları önerilmektedir. Özet: CVE-2024-20424: Cisco FMC yazılımının web tabanlı yönetim arayüzünde komut enjeksiyonu açığı. HTTP isteklerinin yetersiz doğrulamasından kaynaklanmaktadır. Bu açık, uzaktan kimliği doğrulanmış bir saldırganın root yetkileriyle OS komutları çalıştırmasına olanak tanır. (CVSS v3.1 puanı: 9.9) CVE-2024-20329: Cisco ASA yazılımında uzaktan komut enjeksiyonu açığı. SSH üzerinden uzaktan CLI komutlarının yetersiz kullanıcı girişi doğrulamasından kaynaklanır. Bu açık, kimliği doğrulanmış uzaktan bir saldırganın root seviyesinde OS komutları çalıştırmasına imkan tanır. (CVSS v3.1 puanı: 9.9) CVE-2024-20412: Firepower 1000, 2100, 3100 ve 4200 Serisi cihazlarda bulunan statik kimlik bilgileri, yerel saldırganların hassas verilere sınırsız erişim sağlamasına ve yapılandırma değiştirmelerine olanak tanır. (CVSS v3.1 puanı: 9.3) Ek Bilgiler ve Önerilen Çözümler: CVE-2024-20424 hatası, savunmasız bir FMC sürümü çalıştıran tüm Cisco ürünlerini etkiler ve bu açık için herhangi bir geçici çözüm sunulmamıştır. CVE-2024-20329 açığını önlemek için savunmasız CiscoSSH yığını devre dışı bırakılmalı ve native SSH yığını şu komutla etkinleştirilmelidir: no ssh stack ciscossh Bu işlem aktif SSH oturumlarını sonlandırır ve kalıcı olması için değişikliklerin kaydedilmesi gerekmektedir. CVE-2024-20412 açığının FTD Yazılım sürümleri 7.1 ile 7.4 arasında, VDB sürüm 387 veya daha eski versiyonlarda etkili olduğu belirtilmektedir. Bu sorun için Cisco’nun Teknik Destek Merkezi (TAC) aracılığıyla geçici çözümler sunulmaktadır. CVE-2024-20412 için, yazılım üreticisi, kötü amaçlı etkinlik tespiti için belirtiler sağlamıştır. Statik kimlik bilgilerinin kullanıldığını kontrol etmek için şu komut kullanılabilir: zgrep -E "Accepted password for (csm_processes|report|sftop10user|Sourcefire|SRU)"/ngfw/var/log/messages* Bu komutla başarılı giriş denemeleri listeleniyorsa, bu durum istismar belirtisi olabilir. Komuttan çıktı alınamazsa, log süresi boyunca varsayılan kimlik bilgileri kullanılmamıştır. CVE-2024-20424 ve CVE-2024-20329 için istismar tespiti önerisi bulunmasa da, olağandışı olaylar için günlük kayıtlarını gözden geçirmek şüpheli etkinlikleri bulmak için etkili bir yöntemdir. Üç açığa yönelik güncellemeler Cisco Software Checker aracı ile temin edilebilir.

Palo Alto Networks, PAN-OS Zafiyeti

Palo Alto Networks, PAN-OS güvenlik duvarlarının ele geçirilmesine yol açabilecek güvenlik açıklarını gidermek için müşterilerini acil olarak yamaları uygulamaları konusunda uyardı. Bu güvenlik açıkları, Palo Alto Networks'ün diğer Checkpoint, Cisco veya desteklenen satıcılardan gelen yapılandırmaları taşımasına yardımcı olan Expedition çözümünde tespit edildi. Bu güvenlik açıkları, güvenlik duvarı yönetici hesaplarının ele geçirilmesine yardımcı olabilecek kullanıcı kimlik bilgileri gibi hassas verilere erişim sağlamak için kötüye kullanılabilir. Palo Alto Networks, bu açığın kötüye kullanılması durumunda, Expedition veritabanı içeriğinin ve diğer hassas dosyaların okunmasının yanı sıra geçici depolama alanlarına rasgele dosyalar yazılmasına olanak tanıyan bir güvenlik riski oluşturduğunu belirtti. Bu güvenlik açıkları, komut enjeksiyonu, yansıtılmış çapraz site betiği (XSS), hassas bilgilerin açık metin olarak depolanması, eksik kimlik doğrulama ve SQL enjeksiyonu gibi çeşitli güvenlik zafiyetlerinin bir kombinasyonundan oluşmaktadır: CVE-2024-9463: Kimlik doğrulaması gerektirmeyen komut enjeksiyonu açığı CVE-2024-9464: Kimlik doğrulaması gerektiren komut enjeksiyonu açığı CVE-2024-9465: Kimlik doğrulaması gerektirmeyen SQL enjeksiyonu açığı CVE-2024-9466: Kayıt dosyalarında açık metin kimlik bilgileri CVE-2024-9467: Kimlik doğrulaması gerektirmeyen yansıtılmış XSS açığı PoC’de Açık İstismar Edildi Güvenlik araştırmacıları, Expedition çözümündeki güvenlik açıklarını inceleyerek, CVE-2024-5910 güvenlik açığı ile ilgili araştırmaları sırasında bu hatalardan üçünü tespit etti. CVE-2024-5910 güvenlik açığı, Expedition uygulamasında yönetici kimlik bilgilerinin sıfırlanmasına olanak tanıyor ve CVE-2024-9464 komut enjeksiyonu açığı ile birleştirerek “kimlik doğrulaması gerektirmeyen” rasgele komut yürütme işlemi gerçekleştirebilecek bir kanıt konsept (PoC) yayımladı. Güncellemeler ve Alınması Gereken Önlemler Palo Alto Networks, tüm listelenen güvenlik açıklarının Expedition 1.2.96 ve sonraki sürümlerde giderildiğini duyurdu. CVE-2024-9466 nedeniyle etkilenen açık metin dosyası, güncelleme sırasında otomatik olarak kaldırılacaktır. Şirket, güncellemeler sonrası tüm Expedition kullanıcı adlarının, şifrelerinin ve API anahtarlarının değiştirilmesini öneriyor. Ayrıca, Expedition tarafından işlenen tüm güvenlik duvarı kullanıcı adları, şifreleri ve API anahtarlarının güncellemeler sonrasında değiştirilmesi gerektiğini belirtiyor. Acil güvenlik güncellemelerini hemen uygulayamayacak olan yöneticiler, Expedition ağ erişimini yalnızca yetkili kullanıcılar, konaklar veya ağlarla sınırlamalıdır. Nisan ayında şirket, Mart ayından beri devlet destekli bir tehdit aktörü (UTA0218 olarak izlenen) tarafından PAN-OS güvenlik duvarlarına arka kapı yüklemek amacıyla aktif olarak istismar edilen yüksek dereceli sıfır gün açığı için sıcak düzeltmeler yayınlamaya başlamıştı. Bu olay, Palo Alto Networks güvenlik duvarlarını hedef alan saldırıların ciddiyetini bir kez daha gözler önüne seriyor.

Oracle’ın Ekim 2024 Kritik Yama Güncellemesi

Oracle, Ekim 2024 tarihli Kritik Yama Güncellemesi’ni (CPU) yayınlayarak, ürün portföyündeki 334 güvenlik açığını giderdi. Bu, 2024’ün dördüncü ve son güncellemesi olup, Oracle teknolojilerini kullanan işletmeler için siber güvenlik konusunda süreklilik ve dikkat gerekliliğini vurguluyor. Bu çeyreklik güncelleme, 28 farklı Oracle ürün ailesini etkiliyor ve farklı ciddiyet seviyelerinde yamalar içeriyor. Özellikle, en yüksek risk seviyesine sahip 16 güvenlik açığını kapsayan 35 kritik güncelleme dikkat çekiyor. Yeni güvenlik yamaları şu Oracle ürün aileleri için sunulmuştur:   MySQL Fusion Middleware Database Enterprise Manager Tedarik Zinciri Ürünleri Finansal Hizmet Uygulamaları İletişim Uygulamaları Perakende Uygulamaları Kamu Hizmetleri Uygulamaları PeopleSoft Siebel Öne Çıkan Güvenlik Açıkları ve Yama Ayrıntıları 334 güvenlik yamasından 61’i, kimlik doğrulama gerektirmeden uzaktan istismar edilebilecek güvenlik açıklarını gideriyor. Güncellemede bildirilen en yüksek CVSS puanı 9.8 olarak kaydedilmiş olup, özellikle aşağıdaki yamalar dikkat çekmektedir:   Oracle Database Server için 25 yeni güvenlik yaması (2'si kimlik doğrulama gerektirmeden uzaktan istismar edilebilir). Oracle Fusion Middleware için 7 yeni güvenlik yaması (4'ü kimlik doğrulama gerektirmeden uzaktan istismar edilebilir). Oracle İletişim Uygulamaları için 18 yeni güvenlik yaması (1'i kimlik doğrulama gerektirmeden uzaktan istismar edilebilir). Oracle MySQL için 16 yeni güvenlik yaması (9’u kimlik doğrulama gerektirmeden uzaktan istismar edilebilir). Oracle'ın amiral gemisi olan Oracle Database, 6 yeni güvenlik yaması aldı. Bu yamalardan ikisi, kimlik doğrulama gerektirmeden uzaktan istismar edilebilir olup, açıkta kalan sistemler için önemli bir risk oluşturmaktadır.   Oracle’dan Acil Güncelleme Tavsiyesi Oracle, müşterilerine bu kritik yamaları en kısa sürede uygulamalarını şiddetle tavsiye etmektedir. Şirket, daha önce yamalanmış güvenlik açıklarına yönelik aktif saldırı girişimleri hakkında raporlar almaya devam ettiğini belirterek, güncellemelerin zamanında yapılmasının önemini vurgulamaktadır.   Güncelleme Süreci İçin İpuçları Oracle ürünlerini kullanan kuruluşlar için bu CPU, acil bir dikkat gerektirmektedir: Etkilenen Oracle Dağıtımlarını Değerlendirin: Yamalanan güvenlik açıklarından etkilenen Oracle kurulumlarınızı belirleyin. Kritik Yamaların Önceliklendirilmesi: Özellikle uzaktan istismar edilebilecek açıkları gidermek için kritik yamaların öncelikli olarak uygulanmasını sağlayın. Yama Sürecinde Olası Kesintilere Hazırlıklı Olun: Yama işlemleri sırasında oluşabilecek potansiyel kesinti ve hizmet duraksamaları için plan yapın. Başarılı Yama Uygulamasını Doğrulayın ve Sistem Davranışını İzleyin: Yama işlemi sonrasında sistemlerin beklenmeyen davranışları olup olmadığını gözlemleyin ve başarılı bir şekilde yamanın uygulandığından emin olun. Siber tehditlerin giderek daha karmaşık hale gelmesiyle birlikte, güvenlik güncellemelerini zamanında yapmak, IT yönetiminin vazgeçilmez bir parçası haline gelmiştir. Oracle’ın geniş kapsamlı Ekim 2024 Kritik Yama Güncellemesi, karmaşık kurumsal yapılarda güçlü siber güvenlik duruşunu sürdürmenin gerektirdiği çabayı bir kez daha gözler önüne sermektedir.

1 Yılda 31 Yeni Fidye Yazılımı Grubu Ekosisteme Katılıyor

Son raporlara göre, fidye yazılımı gruplarında %30’luk bir artış görülürken, fidye saldırılarının boyutu ve karmaşıklığı giderek artıyor. Haziran 2023 ile Temmuz 2024 dönemini inceleyen rapor, fidye yazılımı ekosisteminde büyüyen ve değişen tehdit unsurlarını ele alıyor.   Yeni Fidye Yazılımı Gruplarındaki Artış Geçtiğimiz yıl boyunca 31 yeni fidye yazılımı grubu faaliyete geçti. Önceden büyük grupların hakim olduğu bu alan artık daha çeşitli aktörler barındırıyor. Listedeki en aktif üç fidye yazılımı grubu ise:   LockBit: %17 pay ile en üst sırada, fakat geçen yıla göre %8 düşüş gösterdi. Bu azalmada Operation Cronos gibi kolluk kuvvetlerinin çalışmaları etkili oldu. PLAY: İkinci sıradaki bu grup, geçen yıla göre iki kat daha fazla kurban sayısına ulaştı. RansomHub: Şubat 2024'teki LockBit operasyonunun hemen ardından ortaya çıkan bu yeni grup, kurbanların %7’sini oluşturarak hızla yükseldi. BlackCat/ALPHV, önceki yıllarda en aktif gruplardan biri iken bu yıl en üst üçe giremedi, zira kolluk kuvvetlerinin baskıları grubun operasyonlarını büyük ölçüde etkiledi.   Yapay Zeka ve AiTM Saldırıları: Yeni Tehditler Yapay zekanın (AI) artan kullanımı, hem meşru hem de yasa dışı faaliyetlerde yaygınlaştı. Araştırmacılar, ChatGPT gibi AI araçlarının yer altı forumlarında nasıl kötü amaçlarla kullanılabileceğine dair artan paylaşımlara dikkat çekiyor. Özellikle kimlik avı saldırılarında ve temel komut dosyası hazırlığında bu tür araçlardan faydalanılıyor. Bu süreçte Adversary-in-the-Middle (AiTM) saldırıları da yükselişte. AiTM saldırıları, kimlik bilgileri ve oturum tanımlama bilgilerini çalarak ağlara erişim sağlıyor ve bu, bazı çok faktörlü kimlik doğrulama (MFA) türlerinin etkisini azaltıyor. Kötü amaçlı kitler (örneğin, Evilginx2 ve EvilProxy) Telegram gibi yer altı pazarlarında kiralanabiliyor.   Devlet Destekli Siber Faaliyetlerin Analizi Rapora göre, Çin, Rusya, İran ve Kuzey Kore en dikkat çekici devlet destekli siber tehdit unsurları olmaya devam ediyor:   Rusya: Ukrayna ile ilgili siber casusluk faaliyetlerine ağırlık veriyor, ancak bu faaliyetler yalnızca Ukrayna ile sınırlı değil. Kritik altyapıyı hedefleyen sabotaj operasyonlarının ise öncelikle Ukrayna’ya odaklanacağı düşünülüyor. Çin: Bilgi çalmak ve casusluk yapmak amacıyla, yerel ve bulut altyapılarında karmaşık gizlenme teknikleri geliştiriyor. Çin’in siber faaliyetleri ekonomik, politik ve askeri avantaj sağlama hedeflerine odaklanmış durumda. İran: İki ana yapı olan İslam Devrim Muhafızları (IRGC) ve İstihbarat ve Güvenlik Bakanlığı (MOIS) ile İsrail, ABD ve Körfez bölgesindeki diğer ülkelere yönelik saldırılar gerçekleştiriyor. Kuzey Kore: Kripto para hırsızlığı ve sahte iş teklifleri ile gelir elde etmeye devam ediyor. IT sektöründeki ve tedarik zincirindeki zayıflıkları hedef alarak ABD, Güney Kore ve Japonya'daki varlıkları etkiliyor.   Bu rapor, bizlere karmaşık ve hızla gelişen siber tehdit ortamının detaylı bir analizini sunuyor ve kuruluşların güvenlik stratejilerini gözden geçirmeleri gerektiğini bir kez daha hatırlatıyor.

Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz;

Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz.