Siber Güvenlik Bülteni - Eylül 2021

 

Bültenimizin Eylül ayına ait başlıkları;  Sanayi Kuruluşlarının %91'i Sızılabilir Durumda Siber Saldırganlar Hızlandı Birleşmiş Milletlerde Veri Sızıntısı Fortinet VPN Bilgileri Sızdırıldı Üniversite WiFi Ağlarında Risk

Sanayi Kuruluşlarının %91'i Sızılabilir Durumda

Endüstriyel Kontrol Sistemleri her geçen gün hayatımızdaki kullanım alanını artırmaktadır. Günümüzde içtiğimiz sudan, kullandığımız elektriğe, doğal gaza, yola çıktığınızda kullandığınız trafik ışıklarına kadar, bu sistemler kullanılmakta; otomatize olarak süreçlerinin yönetildiği ve kararları alan bu sistemlere EKS (Endüstriyel Kontrol Sistemleri) diyoruz. Aynı zamanda EKS ülkeler için de büyük önem arz etmektedir ve bunun için düzenli olarak planlamalar ile simülasyonlar gerçekleştirir, ulusal güvenlik içerisinde EKS'de önemli yer almaktadır. EKS alanı oldukça geniştir; Gıda Tesisleri, Enerji Altyapıları, İletişim Altyapıları, Barajlar, Savunma Sanayii, Acil Servisler, Finansal Hizmetler, Sağlık Hizmetleri, Su ve Atık su Sistemleri, Ulaştırma Sistemleri gibi. Gündemimizde olan Covid-19 dolayısıyla, sağlık sisteminin otomatize ve düzgün çalışmasının ne kadar önemli olduğunu bir kez daha anlıyoruz. Aşı üretim tesislerinde de EKS kullanılmakta; oluşabilecek herhangi bir hatanın nelere mal olabileceğini düşünmek çok da zor olmasa gerek. EKS odaklı çalışmalar yürüten global bir güvenlik çözümleri üreticisince geçtiğimiz ay hazırlanan rapora göre 10 endüstriyel kuruluşun 9'dan fazlası siber saldırılara karşı savunmasız durumda. Bu şirketlere sızıldıktan sonra içeriden dışarıya erişim sağlanma oranı %100 ve özel verilerin çalınma oranı ise %69 olarak belirtildi. Ayrıca yapılan test çalışmalarında test edilen kurumların %75'inin ağına sızıldığı ve %56'sında ise EKS (Endüstriyel Kontrol Sistemleri)'ne erişim sağlandığı belirtildi. Türkiye'de yapılan çalışmalar ile oldukça büyük benzerlik gösterdiğini ekleyebiliriz. EKS üzerinde genel olarak eski yazılımlar kullanılmaktadır ve bu yazılımlarda eski işletim sistemleri ile uyumlu şekilde yazıldığından eski işletim sistemlerine bağlı büyük risk içermektedir. Bu yazılımları ve kullanılan işletim sistemlerini yenilemek sanıldığı kadar kolay değildir, üretimin veya çalışan yapının durması tekrardan planlanması anlamına gelmektedir. Bu da birçok kurum için önceden iyi planlanması gereken bir konudur ve geçişler genelde sancılı olmaktadır. Bunun yanı sıra bazı sistemler ise yazılım desteği sunmadığından tamamen yeni sistemlere geçmeyi, tamamen yeni bir altyapı değişimi satın alınmasını gerektirebilmektedir. Şunu unutmamak gerekir ki bu kadar kritik ve önemli sistemler de insanların kolaycılığına hedef olmaktan maalesef kurtulamıyor. EKS'de de fazlasıyla dışarıdan erişime izin verildiği, güncellemelerin yapılmadığı, erişim parolalarının kolaylığı gibi önlenebilir hatalar göze çarpıyor. Bu tespitleri yapabilmek, önlenebilir riskleri gözlemlemek için sistemlerinizi oluşabilecek risklere karşı düzenli olarak test ettirmeniz ve güvenlik politikalarınızı sürekli olarak güncellemeniz gerekmektedir.

Siber Saldırganlar Hızlandı

248.000 uç noktada yapılan analizler gösteriyor ki; saldırganların ilk erişimden sonra yanal hareketlere geçme süresi geçtiğimiz yıla oranla %67 kısaldı. Yani sisteme sızan bir saldırganın, ağdaki diğer sistemlere geçmesi normal sürenin de çok altına inmiş durumda, haliyle bu durum güvenlik ekiplerini tedirgin etmeye devam ediyor. Çünkü ağda bir saldırıyı tespit etmek için bir çok analiz yapılması ve çıktıların yorumlanmasını gerektiriyor, güvenlik ekibi saldırıyı tespit ettiğinde saldırgan çoktan sonuca ulaşmış oluyor. Geçtiğimiz yıl ağa sızan bir saldırganın, ağdaki diğer cihazlara geçme süresi ortalama 1 saat 32 dakika iken, bugün %36'sında 30 dakikanın altına düşmüş durumda. Yapılan analizler gösteriyor ki, saldırganlar ağda ilerlerken ağırlıklı olarak bilinenin aksine yeni zararlı yazılımlar değil, herkes tarafından kullanılan test yazılımları ile zafiyetleri tespit edip, istismar ediyor ve kullanıyor. Temmuz 2020 ve Haziran 2021 arasında pandemiden dolayı uzaktan çalışmaya geçilmesi ve VPN kullanımının artmasıyla sistemlere yapılan izinsiz giriş denemeleri %60 oranında artmış görünüyor. Bu tür saldırılara karşı etkili bir çözüm olan; ağda sızmaya karşı çeşitli saldırı aşamalarını tespit edip, saldırganı pek çok aşamada engelleyen, otomasyon güvenlik ürünümüz TINA'yi inceleyebilirsiniz.

Birleşmiş Milletlerde Veri Sızıntısı

Geçtiğimiz günlerde Birleşmiş Milletler sistemlerine sızıldığı ve buradan veri sızdırıldığı tespit edildi. Yapılan araştırmalarda bir BM çalışanının kimlik bilgilerine erişilmesi sonucu içeriye sızıldığı düşünülüyor. Sisteme, Umoja (BM'nin 2015 yılında devreye aldığı kurumsal kaynak planlama sistemi) hesap bilgilerinin ele geçirilmesiyle ulaşıldı. Saldırıda kullanılan hesap bilgilerinin muhtemelen darkweb üzerinden satın alındığı düşünülüyor. BM ağlarına sızıldıktan sonra ağda birçok sisteme erişildiği ve istihbarat verisi amaçlı hedeflendiği öngörülüyor. BM gibi kuruluşlar bu tür istihbarat amaçlı veri sızdırma saldırıları için olağan hedef olmaya devam ediyor. BM sistemlerine 5 Nisan 2021'de iç ağa erişim sağlandığı ve 7 Ağustos'a kadar devam ettiği tespit edilmiş durumda. Herhangi bir sisteme zarar verilmediği doğrulanmış, bu da sisteme zarar vermek için değil, istihbarat ve veri toplamak için sızıldığını göstermekte. Dünya üzerinde birçok kuruluşa benzer saldırı gerçekleşiyor ve maalesef birçok kuruluş sisteme zarar verilmediği müddetçe iç ağdaki sızmayı tespit edemiyor.

Fortinet VPN Bilgileri Sızdırıldı

Fortinet 8 Eylül 2021'de siber saldırganlar tarafından SSL VPN bilgilerinin sızdırıldığını açıkladı. Veriler 2019 yılındaki bir zafiyet aracılığı ile tespit edildi. O dönemde günümüzü konuyla alakalı olarak birçok bülten, açıklama yayınlanmasına rağmen müşterilerin iyileştirme yapmamasından kaynaklı olduğunu açıklandı. Bu zafiyet sonrası sistem üzerinde iyileştirmeler yapılsa bile, parolaların daha önceden alınmış olabileceği ve parolalarında değiştirilmesi önerilmektedir. Ayrıca bazı destekleyici önlemler aşağıda belirtilmiştir. Etkilenen cihazınızı en üst sürüme yükseltin. Üründeki tüm parolalar değiştirilerek daha önceden elde edilmiş parola riskine karşı emin olun. Zafiyetli ürününüzde kullanılan parolayı farklı bir sistemde de kullanıyorsanız, tüm sistemlerdeki parolayı değiştirin. Ürününüzde çok faktörlü kimlik doğrulamasını aktif hale getirin. Sistemlerinizi bu tür saldırılara karşı periyodik kontrolleri sağlamak amaçlı, 3. göz bakış açısıyla sızma testleri yaptırın.

Üniversite WiFi Ağlarında Risk

Üniversitelerin birçoğunda aktif olarak kullanılan Eduroam kullanıcı bilgilerinin açığa çıktığı tespit edildi. Eduroam'dan kısaca bahsetmek gerekirse, belirli güvenlik standartlarını kullanarak eduroam üyesi kurumların kullanıcılarının diğer eğitim kurumlarında da kendi kullanıcı adı ve parolasıyla internet kullanımı sağlamasına izin veren bir oluşumdur. Eduroam ülkemizde de anlık verilere göre 145 üniversite de aktif olarak kullanılmaktadır. Araştırmacılar Eduroam bağlı üniversiteler üzerinde yaptığını çalışmalarda EAP protokolünün yanlış yapılandırması sonucu binlerce üniversiteyi de etkileyen kullanıcı hesaplarının açığa çıktığını açıkladı. Şimdiye kadar incelenen 3.100 üzerinde sistemin yaklaşık yarısından fazlasının istismar edilebildiği tespit edildi. Unutulmamalıdır ki bu Eduroam'un servis ve hizmet zafiyetiyle alakalı bir durum değil, Eduroam üyelerinin bu konudaki yanlış yapılandırma hatalarından kaynaklı bir problemdir. Bu yüzden ülkemizdeki üniversiteler dahil, bu tür sorunları kendi bünyelerinde hızlıca çözmeleri gerekir, bu tür sorunlara karşı güvenlik politikaları devreye girmelidir.

Siber Güvenlik Bülteni - Ağustos 2021

Bültenimizin Ağustos ayına ait başlıkları;  GIGABYTE Fidye Saldırısına Uğradı T-Mobile'da Müşteri Veri İhlali ABD Terör Listesi Açığa Çıktı. F5 Cihazlarında Kritik Zafiyetler

GIGABYTE Fidye Saldırısına Uğradı

GIGABYTE'a ransomware saldırısı gerçekleştirildi. Bilgisayar donanım üretim (ana kart ve grafik kartı) liderlerinden olan GIGABYTE, geçtiğimiz günlerde çevrim içi servislerinin hizmet vermemesinin sebebinin fidye saldırılarından kaynaklı olduğunu açıkladı. Satış ve operasyon tarafında herhangi bir risk teşkil etmediğini açıklamalarına rağmen bazı sunucuları kapatmak zorunda kaldılar. GIGABYTE daha fazla detay vermedi fakat saldırgan grup, hacking forumlarında RansomEXX fidye zararlısına uğradıklarını belirtti. Ayrıca saldırgan grup kurumdan 112 GB veri çaldığını ve çalınan verilerin içerisinde Intel, AMD, American Megatrends ile yapılan NDA (Gizlilik Sözleşmesi) dosyalarının olduğunu ve gerekli ödemenin yapılmaması durumunda ifşa edeceğini açıkladı. Ne kadarlık bir fidye talebi olduğu henüz netleşmiş değil. RansomEXX fidye grubu daha öncede dünyaca ünlü Italya Lazio bölgesi sistemleri (Covid 19 aşı kampanyalarını etkiledi), Konico Minolta, Tyler Technologies, Brezilya Mahkeme Sistemleri ve CNT gibi kuruluşları da hedef almış ve başarılı olmuştu.

T-Mobile'da Müşteri Veri İhlali

T-Mobile'a siber saldırı sonucu 40 milyondan fazla müşteri kayıtlarına erişim sağlandı. T-Mobile'ın 40 milyondan fazla müşteri verisi açığa çıktı. Veri ihlali, bilgilerin bir hacking formu üzerinde satışa çıkarılmasıyla tespit edildi ve T-Mobile tarafından inceleme başlatıldı. Yapılan incelemelerde çalınan verilerin kullanıcı adları, sosyal güvenlik numaraları, doğum tarihleri ve ehliyet bilgilerinden oluştuğu tespit edildi. Tespitlerin ardından T-Mobile ekibi otomatik aramayla müşterilerinin PIN'lerini değiştirmesi talebinde bulundu. Saldırının çok karmaşık şekilde olduğu bilgisi paylaşıldı. Twitter üzerinden açıklama yapan bir şahsın, 100 milyondan fazla veriyi elinde tuttuğu ve bu verilerin 1990lı yılların ortalarından itibaren kayıtları içerdiğini ifade etti. T-Mobile ayrıca bu durumdan etkilenen tüm müşterilerine 2 yıllık kimlik hırsızlığı koruma hizmeti sunacağını açıkladı, bu hizmetlerin hali hazırda tüm müşterilere ücretsiz sunulmaması ise günümüzde siber saldırıların geldiği noktada, gerçekten anlaşılması çok güç bir durum.

ABD Terör Listesi Açığa Çıktı.

Sunucu yapılandırma hatası, FBI'ın gizli terörist izleme listesini açığa çıkardı Yapılandırma hataları, kuruluşları zora sokmaya devam ediyor. Verinin dijitalleşmeye doğru evrilmesi her geçen gün riskleri de beraberinde getiriyor. FBI'ın özel ve gizli olarak tuttuğu şüpheli terörist listesi, Elasticsearch sunucusunun yanlış yapılandırması sonucu ifşa oldu ve bu veriler ile alakalı gerekli düzeltmeler ancak ifşadan 3 hafta sonra yapıldı. Veriler bir güvenlik uzmanı tarafından 19 Temmuz'da tespit edilip, gerekli kurumlara bilgi verildi ve verinin güvenli bir alana tamamiyle alması ise 9 Ağustos'u buldu. Sızan veriler arasında yaklaşık 1.9 milyon veri bulunmaktadır, bunların arasında; ad soyad, doğum tarihi, uyruğu ve vatandaşlık bilgileri, cinsiyeti, doğum tarihi, pasaport numarası vb. bilgiler yer almaktadır. Bu sızan bilgiler ile, listede yer alan kişiler ve ailelerine karşı baskı oluşturulabilir ve insanlar dolandırılabilir. FBI, ABD üzerinde ilk veri ihlali yaşayan kurum değil, 2017 yılında ABD Savunma Bakanlığı'nın da AWS S3 servisini yanlış yapılandırmasından dolayı dosyaları ifşa olmuştu. Bulut sistem ile birlikte birçok kurum güvenlik dahil her türlü kontrol ve yürütmenin bulut sistemi şirketlerinde olduğu algısına kapılıyor, bu yüzden bulut sistemi kiralayan şirketler sizlere sadece bulut üzerindeki alanı verirler ve burada yapılacak konfigürasyonlar ve güvenlik denetimleri tamamen sizlere aittir. Bulut geçişleri sonrasında maalesef birçok şirketin verileri, yeterli kontrollü geçiş veya dış denetim ekibi olmamasından kaynaklı olarak açığa çıkıyor, bu yüzden bulut geçişleri sonrasında muhakkak güvenlik testlerinizi, dış denetimlerinizi yaptırın.

F5 Cihazlarında Kritik Zafiyetler

Kurumsal güvenlik ve ağ ürünleri şirketi F5 üzerinde kritik zafiyetler tespit edildi. F5 BIG-IP ve BIG-IQ cihazlarının birden fazla versiyonunda 29 zafiyet tespit edildi ve bu zafiyetlerin 13 tanesi yüksek seviye, 15 tanesi orta seviye ve 1 tane düşük seviyeden oluşmaktadır. Bu zafiyetleri kullanan kimliği doğrulanmış kullanıcı sistemde kod yürütme, dosya oluşturma ve silme, cihazları pasif hale getirme gibi imkanlara sahip olabiliyor ve bu zafiyetler sistemlerin güvenliklerinin tamamen aşılmasına sebep olabiliyor. Bu ürünleri kullanan kuruluşların güvenilir olmayan kullanıcı erişimlerini tamamen kaldırması gerekiyor. F5 ürünlerinde çıkan bu zafiyetler sonrasında, saldırganlar tarafından hedeflendiği görülmüştür, kullanan kuruluşların güncellemeleri hızlıca yapması ve güncellemesi olmayan sistemlerde ise kullanıcı yetkilerini kontrol etmesi gerekmektedir. F5 tarafından çözüm getirilmiş olan güvenlik açıklarının listesi aşağıdadır; CVE-2021-23025 (CVSS score: 7.2) CVE-2021-23026 (CVSS score: 7.5) CVE-2021-23027 ve CVE-2021-23037 CVE-2021-23028 (CVSS score: 7.5) CVE-2021-23029 (CVSS score: 7.5) CVE-2021-23030 ve CVE-2021-23033 CVE-2021-23032 (CVSS score: 7.5) CVE-2021-23034, CVE-2021-23035, ve CVE-2021-23036 (CVSS score: 7.5)

Siber Güvenlik Bülteni - Haziran/Temmuz 2021

 

Bültenimizin Haziran-Temmuz aylarına ait başlıkları;  Olimpiyatlar, Siber Saldırılar ile Start Aldı! Bu Zararlı Mobil Uygulamalar 6 Milyon Kez İndirilmiş! Volkswagen Müşterileri Veri İhlali Siemens PLC Kod Çalıştırma Zafiyeti Güncellenmemiş Sonicwall'lara Dikkat! Sağlık Sektöründe Hassas Bilgi Krizi 2012'den Süregelen APT Saldırısı Veri Hırsızlığı Büyümeye Devam Ediyor Kuzey Kore, Güney Kore'yi Hedef Aldı

Olimpiyatlar, Siber Saldırılar İle Start Aldı!

Japon araştırmacılar Olimpiyat temalı olan ve Japon kullanıcıları hedefleyen siber saldırıyı tespit etti Gündemi takip eden, gündem içerikleri ile son kullanıcıları kandırmaya çalışan saldırganların en son örneği 2021 Tokyo Olimpiyatları oldu. Henüz daha Olimpiyat açılış gösterileri öncesinde tespit edilen zararlı yazılımın, Japon işletim sistemlerini bulmaya yönelik tasarlandığı ve silme becerisi ile oluşturulduğu, Japon güvenlik firması araştırmacıları tarafından tespit edildi. Araştırma ekibince "Acil ve Önemli" benzeri başlıklar ile kullanıcılara gönderilen bir e-postaya konulan zararlı içerik ile saldırının yapıldığı belirtiliyor. Zararlı kod barındıran dosyanın Virustotal (zararlı yazılım analiz sitesi) üzerinden kontrol edilmek üzere daha önce de Fransa üzerinden yüklenerek analiz ettirildiği ve kontrol sırasında antivirüs yazılımları tarafından da tespit edildiği belirtildi. Yazılım belirli bir hedefe yönelik ve belirli dosya türleri için geliştirilmiş (DOTM, DOTX, PDF, CSV, XLS, XLSX, XLSM, PPT, PPTX, PPTM, JTDC, JTTC, JTD, JTT, TXT, EXE, LOG) ayrıca kullanıcının Windows kullanıcı klasörüne özgün saldırıda bulunuyor. Yazılımın kullanıcı dosyalarını silme zararının yanı sıra, erişkin içerikli sitelere de istem dışı erişim sağlayıp içerik indiriyor. Bu durum pek çok kurumsal kullanıcı için büyük problemler de yaratabilir, çünkü yazılım bu işlemleri gerçekleştirdikten sonra kendini de silerek tüm suçu kullanıcıya yüklüyor!   Kullanıcı Olarak Ne Yapabiliriz? Gündem ile ilişkili bu tür saldırılar; bizlerin hem merakını, hem de dikkatsizliğini hedefler. Saldırgan, hedeflediği kitlenin konuya duyarlı olduğunu bilir ve bir ileti beklenilmese dahi konuya ilgi duyulmasını sağlayabilir. Bu saldırıların bir çoğunu güvenlik sistemleri yakalıyor, "SPAM, ÖNEMSİZ E-POSTA, ŞÜPHELİ İÇERİK" gibi uyarılar ile etiketleniyor. Ancak bazen, özellikle de yeni üretildikleri anlarda, sistemleri başarı ile atlatabiliyorlar. İlginizi çeken başlık ve konu içerikleri yer alan bir e-posta, içerisinde bir PDF dosyası barındırıyor, sizi bu dosyayı okumaya teşvik eden, merak uyandıran veya baskı uygulayacak sözler ile kandırmaya çalışan saldırgan, bu dosya çalıştırıldığında PC üzerinde arka planda çalışmaya başlıyor, yalnızca sizin değil, sizin bağlı olduğunuz kablolu/kablosuz ağın da içerisindeki tüm sistemlere karşı tehdit oluşturuyor. E-postalar içerisinde karşılaştığınız, bu tip şüpheli dosya ve/veya bağlantılar (linkler) mutlaka açılmadan önce bilişim uzmanına bilgi verilmeli ve uzmanlar tarafından gözden geçirilmelidir. Nasıl bomba görünümlü şüpheli bir pakete yaklaşmıyor ve açmıyorsak, bu iş için de uzmanlarına bilgi vermeli, kontrollü şekilde incelenmesini sağlamalıyız. Zira zararlı erişim, ilk tıklamadan sonra saniyeler içerisinde otomatik olarak başlıyor ve zararlı yazılımlar çalışırken bir bilgi mesajı da sunmuyor.

Bu Zararlı Mobil Uygulamalar 6 Milyon Kez İndirilmiş!

10 zararlı uygulamanın 9'unun Google Play üzerinden indirildiği tespit edildi Mobil cihazlarımız için güvenli indirme alanlarını tercih etsek bile saldırganlar çoğu zaman bilgileri çaldıktan sonra açığa çıkıyor. Bu yazılımlar tamamen normal fonksiyonlarını yerine getirerek çalışmakta, kullanıcı tarafından şüphe duyulmamakta, ancak erişim bilgilerini dışarıya sızdırmakta. Olağan haliyle bir uygulama ve basit bir giriş bilgilerini talep etme durumu gibi görünmesine karşın, bu yazılımların Facebook kullanıcı bilgilerini ve oturum çerezlerini çalarak, bir sunucuya gönderdiği ve siber suçlular ile paylaştığı tespit edildi. Tespit Edilen Zararlı Yazılımlar PIP Photo (5,000,000+ yükleme) Processing Photo (500,000+  yükleme) Rubbish Cleaner (100,000+  yükleme) Horoscope Daily (100,000+  yükleme) Inwell Fitness (100,000+  yükleme) App Lock Keep (50,000+  yükleme) Lockit Master (5,000+  yükleme) Horoscope Pi (1,000+  yükleme) App Lock Manager (10+  yükleme) Google Play güvenlik ekibi, bu tip suistimalleri engellemeye karşı yeni politikaları devreye alıyor, genel iyileştirme çalışmaları doğrultusunda 2 basamaklı (2SV) doğrulama kullanımını da devreye almaya başladığı da bilinmekte. Kullanıcı Olarak Ne Yapabiliriz? Çözüm çoğu zaman kullanıcının bilinçli yaklaşımında yatıyor. Kullanıcıların app - uygulama yüklemeleri sırasında uygulamaya verdiği izinleri gözden geçirmesi gerekir. Dijital varlıklarımızın güvenliği için gerçekten gerekmeyen programları yüklememeli, fonksiyonu için ihtiyaç duymasa da her izni isteyen programları tercih etmemeliyiz. Biliyor muydunuz? Siber güvenlik uzmanları olarak bizler, cihaz güvenliğimizi sürdürmek amacıyla pek çok yazılımı gündelik hayatımızda kullanmıyoruz! Yalnızca gerçekten ihtiyaç duyduğumuz yazılımların, risk doğuran bir erişim izni talep edip etmediğini yükleme sırasında okuyarak gözden geçirip onaylıyoruz. Ne kadar popüler olursa olsun riskli gördüklerimizi telefonlarımıza yüklemiyor ve pek çok keyifli oyundan, renkli programlardan mahrum kalıyoruz :)

Volkswagen Müşterileri Veri İhlali

Volkswagen Amerika, ürünlerinin satış ve kiralamasını gerçekleştiren 3. taraf bir firmadan, müşteri verilerinin açığa çıktığını açıkladı 2014-2019 yıllarında otomobil satın almış 3.3 Milyon müşteri olduğu açıklandı. Sızan veriler ağırlıklı olarak ad, soyad, kişisel veya ticari e-posta, telefon numarası bilgilerinden oluşuyor. 90 Bin müşterinin ise araç tahsis numaraları, satın alınan veya kiralanan araçların renk, yıl, model gibi bilgileri ve ek olarak kredi kartı numarası, ehliyet numarası, sosyal güvenlik numaraları bulunmaktadır. İlk incelemelere göre veri sızıntısı sebebinin, firmanın verileri güvensiz olarak çevrimiçine taşıması olduğu düşünülüyor. Açığa çıkan veriler ile ilgili henüz bir ihlal gözlemlenmemiş; fakat, ilerleyen süreçlerde bu bilgiler ile oluşturulacak saldırı senaryolarıyla kurum müşterilerinin oltalama saldırılarına maruz kalacağını öngörmek çok zor değil.   Kullanıcı Olarak Ne Yapabiliriz? Sizden kaynaklı olmayan bu tür veri sızıntılarında, değiştirilmesi mümkün olan bilgileri değiştirmeniz gerekmekte, değiştirilemeyen bilgiler için ise gelebilecek saldırıları öngörüp, veri sızıntısı yaşanan konu ile ilgili gelebilecek yazışma ve taleplere karşı ek dikkat ile yaklaşmak gerekiyor. Sizi arayan veya e-posta gönderen kişinin hakkınızda bir çok bilgiye sahip olması, sizin bir talebiniz ve beklentiniz olmadığı müddetçe, karşı tarafa olan güveninizi kesinlikle artırmamalı; şüphe ile yaklaşılmalıdır. Maalesef veri sızıntısı sebebiyle, uzunca bir süre gelebilecek oltalama telefonları veya e-postalara karşı şüphe ile yaklaşmak gerekecektir.

Siemens PLC Kod Çalıştırma Zafiyeti

Siemens yakın zaman önce SIMATIC S7-1200 ve S7-1500 PLC ürünlerine yönelik uzaktan kod çalıştırmaya imkan sağlayan zafiyetler için yazılım güncellemesi yayınladı. Söz konusu zafiyet bellek koruma bypass zafiyeti CVE-2020-15782 olarak tanımlanmıştır. Siemens tarafından yayınlanan raporda TCP 102. portuna erişimi olan kimliği doğrulanmamış bir saldırganın, korumalı bellek alanlarına rastgele veri ve kod yazabileceği veya daha fazla saldırıları artırmak için hassas verileri okuyabileceği belirtildi. Bahsi geçen bu saldırı metotları ise Siemens PLC'ler için yeni bir zafiyet değil, daha önce de dünyada siber saldırı tarihinde önemli yeri olan Stuxnet, Siemens PLC üzerinde izinsiz kod çalıştırmaya imkan sağlıyordu. Bu zafiyet ile İran Nükleer Santralleri'nde felakete sebebiyet verecek bir saldırı düzenlenmişti, ancak her ne kadar etkili olsa da istenilen sonuca ulaşılamamıştı.   Ne Yapılmalı? Siemens üzerinde yayınlanan güncellemelerin düzenli olarak takip edilmesi, uygulanması ve bu tür sistemlerin bilişim ağında izole edilmiş kontrollü bir şekilde bulunması gerekmektedir. Bu konuda gereken teknik tespitleri, dönemsel sızma testleri ile de gerçekleştirebilirsiniz. Siemens'in yayınladığı rapora buradan ulaşabilirsiniz.

Güncellenmemiş Sonicwall'lara Dikkat!

Sonicwall ürünlerini hedef alan yeni Ransomware saldırısı Amerika devlet yetkilileri ülkede etkin şekilde ortaya çıkmasından sonra bazı modellerin "acilen fişlerinin çekilmesine" yönelik uyarıda bulundu(!). Bu elbette bizim tarafımızdan önerilen bir önlem metodu değil, ancak zamanında yenilenmeyen veya sistemlerini destekleyen ek güvenlik önlemi bulunmayan bir çok işletme için böyle acil durumlarda söylenebilecek başka bir uyarı da kalmıyor. Botlar ve otomasyon yazılımlar kullanarak yapılan saldırılar, eskiye kıyasla oldukça hızlı gelişiyor ve yayılıyor. Bu tip saldırılar maddi kayıplara dönüşüyor ve kayıplar büyüyor, çünkü başarılı olan saldırganın bir noktadan gelir elde etmesi durumunda, daha da fazla saldırı yapmak üzere motive olmasına vesile oluyor.   Etkilenen Sistemler SRA 4600/1600  (2019'da sonlandırıldı) Önerilen müdahale; devredışı bırakılması. Parolaların yenilenmesi. SRA 4200/1200  (2016'da sonlandırıldı) Önerilen müdahale; devredışı bırakılması. Parolaların yenilenmesi. SSL-VPN 200/2000/400 (2013, 2014'te sonlandırıldı) Önerilen müdahale; devredışı bırakılması. Parolaların yenilenmesi. SMA 400/200 (Sınırlı destek devam ediyor)  Önerilen müdahale; acilen 10.2.0.7-34 veya 9.0.0.10 versiyonuna güncellenmesi. Parolaların yenilenmesi. Multi-factor authentication (çok basamaklı doğrulama) devreye alınması. Sonicwall'un yayınladığı bildiriye buradan ulaşabilirsiniz.

Sağlık Sektöründe Hassas Bilgi Krizi

Ransomware (Fidye Zararlısı) saldırıları halen bitmedi! Her geçen gün artmaya ve saldırı hedeflerini genişletmeye devam ediyor. Alıştığımızın dışında son olarak bu saldırılar sağlık sektöründe iki alanı daha hedefledi ve fidye talep etti! Bunlardan biri doğum kliğini diğeri ise psikiyatri kliğini. Bu kliniklere sızan siber saldırganlar 40.000'den fazla kişinin, doğum süreç bilgilerini, ad, soyad, klinik test sonuçları, psikiyatri servisi süreçleri ve hasta seans notları gibi özel ve hassas verilerini çaldı ve fidye talep etti. Gerekli fidyelerin ödenip, ödenmediği henüz açıklanmadı fakat önceki benzer saldırılarda bu tür verileri ifşa olduğunu unutmamak lazım. Kişinin en özeli olan, dostlarımızla, ailemizle hatta eşimizle bile paylaşamadığımız veriler, dijital ortamda saldırganlar tarafından erişilebilir hale gelebiliyor. Bu tür saldırılar insanlarda geri dönülemez yıkımlara da sebep olabilir. Artan dijital dönüşümler dolayısıyla, siber saldırılar karşısında artık kurumların siber güvenlik yatırımlarını da sormamız gerektiği dijital çağa gelmiş bulunuyoruz.

2012'den Süregelen APT Saldırısı

APT Saldırganları  Suriye e-devlet portalı üzerinden Android trojan dağıttı APT zararlısı yazılım, 2021 Mayıs ayında Suriye e-devlet portalı görünümü ile web sitesi üzerinden dağıtılarak android uygulaması kullanıcıları hedeflendi. İlk kez açık olarak web sitesi üzerinden kullanıcılara gerçekleştirildiği gözlemlenen APT saldırısının, farklı metotlar ile aynı amaçlar doğrultusunda 2012'den bu yana sürdürüldüğü ve Suriye'nin yanı sıra Türkiye'yi de odağına alan saldırı amacı taşıdığı da bilinmekte idi. Bu saldırı ile yüklenmiş olan telefon üzerinde adres rehberi, hücresel ve kablosuz ağ bilgileri, konum bilgisi gibi önemli bilgilerin elde edilmesinin yanı sıra ayrıca çıkarılabilir hafıza alanına da yazma yaptığı görülmekte. APT zararlısı ile ayrıca mobil cihazın arka planda uzun süreli işlem yapması mümkün olurken, saldırı komuta merkezi (command-and-control server)'ne de şifreli olarak bağlantı kurduğu ve saldırı hareket türünü değiştirebilen ayarlar aldığı tespit edilmiş durumda. Bu erişimlerinin devamında ise tüm adres rehberi bilgileri, cihazda yer alan Word, Excel, PDF, resim belgeleri, güvenlik anahtarları ve kayıtlı dosyaları komuta merkezine ilettiği görülmekte. Bazı uzmanların görüşlerine göre, yazılımların web sitesi üzerinden indirilerek dağıtılmasının sağlanması, android store üzerinde yaratılan güvenlik çemberinin kırılmasına yol açmakta ve riski artırmakta. Bu görüşe katılmakla birlikte, güncel örneklerde de görüldüğü gibi gerçek anlamda bir güvenliği sağlamanın ilk şartının kullanıcının verdiği yetkileri gözden geçirmesi, e-devlet uygulaması dahi olsa, yetki aşımına karşı izin vermemesi, gerektiğinde yazılım sahibine geri bildirimde bulunması kesin çözüm olarak görünüyor. APT problemine yönelik sunduğumuz yerli çözümümüz TINA ve APT tespit hizmetimizi de konusu gelmişken tekrar hatırlatmak isteriz.

Veri Hırsızlığı Büyümeye Devam Ediyor

Hassas veri, kimlik bilgileri ve çerezler dahil toplam 1.2 TB veri elde edildi. Geçtiğimiz aylarda yeni keşfedilen zararlı yazılım; 2018-2020 tarihleri arasında yaklaşık 2 yıl içerisinde hassas veri, kimlik bilgileri ve çerezlerden oluşan toplam 1.2 TB veri topladı. 3.2 milyon sistemden 6.6 milyon dosya, 26 milyon kimlik bilgisi, 11 milyon tekil e-posta adresi ve 2 milyar web giriş çerezleri topladığı belirlendi. Habere konu bu tür zararlı yazılımlar en yaygın olarak; kullanılan kaçak - crackli yazılımlar, kaynağı belli olmayan 3. parti uygulamalar ve korsan araçlardan kaynaklı bulaşmaktadır. Her geçen gün kullanıcı dikkatinin azaldığı dijital dünyada, bu tür verileri toplayan zararlı yazılımlar 100$ gibi çok ucuz fiyatlara satılmaktadır. Çalınan dosyaların içerisinde %70'i metinlerden (parola, log, kişisel notlar, word, pdf) oluşurken geri kalan %30'u ise png ve jpeg gibi resim formatlarından oluşmaktadır.    Hedeflenen Top 10 Uygulamalar Google Chrome Mozilla FireFox  Opera Internet Explorer/Microsoft Edge Chromium CocCoc  Outlook Yandex Browser  Torch  Thunderbird Saldırganların hata yaparak kendi çevrimiçi alanlarını ifşa etmesiyle bu veriler keşfedildi, ne mutlu ki saldırganlar da son kullanıcılar gibi hata yapabiliyor.

Kuzey Kore, Güney Kore'yi Hedef Aldı

Güney Kore devleti tarafından işletilen Korea Atomic Energy Research Institute (KAERI) 'e geçtiğimiz hafta sızıldığı açıklandı. Henüz olumsuz bir sonuç tespit edilememiş durumda, fakat yapılan incelemelerde VPN üzerinden içeriye erişim olduğu düşünülüyor. Bilindiği üzere pandemiyle beraber birçok kurum uzaktan çalışmaya geçti ve bununla birlikte VPN kullanımı ciddi oranda arttı. Bu yüzden saldırganların VPN sistemlerini yoğun olarak hedefledikleri ve başarılı oldukları görülüyor. Saldırı, Kimsuky adlı siber saldırı grubu (Kuzey Kore destekli) tarafından gerçekleştirilmiş; bahsi geçen bu grup 2012 yılından beri aktif olarak Güney Kore'deki sosyal toplum kuruluşlarını ve nükleer güç operatörlerini hedef almaktadır. Grubun henüz hangi VPN sistemi üzerinden içeriye eriştiği tespit edilememiş, fakat geçtiğimiz bültenlerde de belirttiğimiz bir çok üretici, son aylarda da aktif olarak Pulse Secure, Sonicwall, Fortinet FortiOS ve Citrix ürünleri tarafında ciddi zafiyetler bulunmuş ve yama yapmayan bir çok kullanıcı kuruluş ise hedef olmuş ve halen de aktif olarak hedef olmaya devam etmektedir. Kurumsal işletmelerin dijital kaynaklarını ve bilgilerini korumaları, risklerini azaltmaları için önerimiz; periyodik olarak hem iç kontroller gerçekleştirmeleri, hem de siber güvenlik uzmanlarının gerçekleştireceği sızma testleri ile risklerini ve çözümlerini tespit ettirmeleridir.

PrintNightmare: Kritik Windows Zafiyeti

Windows üzerinde aktif olarak gelen Print Spooler servisinde kritik bir zafiyet keşfedildi.

Zafiyet, PrintNightmare (CVE-2021-1675) olarak adlandırıldı. Microsoft düşük öncelikli olarak belirttiği zafiyet için 8 Haziran'da yama yayınladı, fakat zafiyetin uzaktan kod çalıştırmaya (RCE) imkân sağladığı potansiyelinden dolayı, kritik olarak güncelledi.

Yayınlanan yamanın bazı Windows sistemlerinde (Windows Server 2019) etkisi olmadığı gözlemlendi.  PrintNightmare zafiyeti dışarıdan bir saldırganın SYSTEM üzerinde komut çalıştırabileceğini gösterdi. Ayrıca Domain Controller gibi kurumun önemli sistemlerini hedef alıyor, Domain Controller üzerinde yetkiyi ele geçiren saldırgan, domain üzerinde tam yetki ile birçok noktaya erişim sağlayıp, veri değiştirme, kod çalıştırma vs. imkânı sağlamaktadır.

PrintNightmare zafiyeti için yayımlanan istismar kodu neredeyse tüm Windows sistemlerini etkiliyor. Etkilenen sistemler;  Windows Server (2004, 2008, 2008 R2, 2012, 2012 R2, 2016, 2019, 20H2) ve Windows (7, 8.1, RT 8.1, 10).

Geçtiğimiz yıl da Microsoft'un Print Spooler servisinde, PrintDemon  (CVE-2020-1048)  isimli bir zafiyet tespit edilmiş, bu zafiyetin sistemde herhangi bir yere rastgele veri yazdırılmasına sebep oluyordu ve yaması yayınlanmıştı.

Çözüm;

Maalesef henüz tam anlamıyla zafiyeti engelleyebilecek bir yama yayınlanmamıştır. Bunun için Print Spooler servisinin kapatılması veya kaldırılması önerilmektedir.  

Komut satırından servisi durdurmak için;

• CMD servisini yönetici olarak çalıştırın.
• Komut satırında; net stop spooler yazarak, servisi durdurun.
• Tekrar başlatmak istediğinizde net start spooler komutu ile başlatabilirsiniz.