Siber Güvenlik Bülteni - Temmuz 2023

 

Bültenimizin Temmuz Ayı konu başlıkları;  Oracle Kritik Güvenlik Zafiyetlerini Yamaladı Citrix NetScaler ADC ve Gateway'de 3 Yeni Zafiyet Zimbra Sıfırıncı Gün XSS Zafiyetini Yamaladı Bilgi Hırsızlığı İki Kat Arttı Ivanti'de Sıfırıncı Gün Açığı

Oracle Kritik Güvenlik Zafiyetlerini Yamaladı

Oracle, 32 ürününde 75 kritik öneme sahip güvenlik açığını dahil toplam 508 yeni güvenlik açığı için yama yayınladı. 350'den fazla güvenlik açığı, kimlik doğrulamasına ihtiyaç olmadan uzaktan kod çalıştırmaya imkan sağlamaktadır. Oracle başlıca etkilenen ürünler; BI Publisher JD Edwards EnterpriseOne MySQL Oracle Access Manager Oracle Agile Oracle AutoVue Oracle BAM Oracle Banking Uygulamaları Oracle Business Oracle Commerce Oracle Communications Oracle Database Server Oracle Enterprise Uygulamaları Oracle Financial Services Uygulamaları Oracle FLEXCUBE Oracle GoldenGate Oracle GraalVM Oracle Health Uygulamaları Oracle Hyperion Oracle HTTP Server Oracle NoSQL Database Oracle Retail Uygulamaları Oracle SD-WAN Edge Oracle Solaris Oracle Utilities Uygulamaları Oracle VM VirtualBox Oracle WebCenter Oracle WebLogic Server PeopleSoft Primavera Siebel Bu ürünler arasında ön plana çıkan ürünler; MySQL (CVE-2023-20862), WebLogic Server (CVE-2023-26119) ve VirtualBox VM (CVE-2023-22018). Bu ürünlerde kimlik doğrulamaya ihtiyaç olmadan uzaktan kod çalıştırmaya olanak sağlamaktadır. Üretici yamaların hızlıca geçilmesini önermekte, eğer yama yapılmayacaksa ağ üzerinden bu ürünlere olan erişimin kısıtlanmasını önermiştir. Eğer sistemlerinizde yamayı yapmadıysanız veya TINA ISOLATOR kullanmıyorsanız bu zafiyete karşı savunmasız olduğunuzu unutmayın.

Citrix NetScaler ADC ve Gateway'de 3 Yeni Zafiyet

Citrix, güvenli uygulama dağıtımı ve uzaktan erişim çözümlerinde kritik 3 yeni zafiyet tespit edildi. Zafiyetler ile alakalı yamalar yayınlanmadan önce underground forumlar üzerinde zafiyetler ile ilgili istismar kodlarının satıldığı da görüldü. Etkilenen ürünler; NetScaler ADC ve NetScaler Gateway 13.1, 13.1-49.13 öncesi  NetScaler ADC ve NetScaler Gateway 13.0, 13.0-91.13 öncesi  NetScaler ADC 13.1-FIPS, 13.1-37.159 öncesi  NetScaler ADC 12.1-FIPS, 12.1-65.36 öncesi  NetScaler ADC 12.1-NDcPP, 12.65.36 öncesi  CVE-2023-3466: Yansıyan (Reflected) XSS güvenlik açığının başarılı istismarı için, kurbanın NetScaler IP (NSIP) bağlantısı olan bir ağdayken tarayıcıda saldırgan tarafından kontrol edilen bir bağlantıya erişmesini gerektirir. CVE-2023-3467: Kök yöneticiye (nsroot) ayrıcalık yükseltmeye izin verir. CVE-2023-3519: Kimliği doğrulanmamış uzaktan kod yürütme; cihazın bir Ağ Geçidi (VPN sanal sunucu, ICA Proxy, CVPN, RDP Proxy) veya AAA sanal sunucu olarak yapılandırıldığında istismar edilebilir. Yapılan araştırmalarda hali hazırda zafiyetlerin sanal ortamda kullanıldığı ve binlerce sistemin aktif olarak etkilendiği açıklandı. Hızlıca yamaların yapılması önerilmektedir. Eğer sistemlerinizde yamayı yapmadıysanız veya TINA ISOLATOR kullanmıyorsanız bu zafiyete karşı savunmasız olduğunuzu unutmayın. Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bunlardan etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

Zimbra Sıfırıncı Gün XSS Zafiyetini Yamaladı

Zimbra, iki hafta önce Zimbra Collaboration Suite (ZCS) e-posta sunucularını hedef alan sıfırıncı gün zafiyeti için yama yayınladı. Google Tehdit Analizi Grubu tarafından tespit edilen XSS zafiyeti CVE-2023-38750 referans koduyla takip edilebilir. XSS saldırıları, tehdit aktörlerinin hassas bilgileri çalmasına veya savunmasız sistemlerde kötü amaçlı kod yürütmesine izin vererek önemli bir tehdit oluşturur. Zimbra ilk açıklamasında zafiyetin sanal ortamda henüz kullanılmadığını açıklarken, Google TAG ekibi, zafiyetin hedefli bir saldırıda tespit edildiğini açıkladı. Zimbra, dahili JSP ve XML dosyalarının açığa çıkmasına neden olabilecek CVE-2023-38750 zafiyetini gidermek için yeni bir sürüm yayınladı. Zimbra XSS zafiyeti, en az Şubat 2023'ten beri Winter Vivern Rus bilgisayar korsanlığı grubu tarafından NATO bağlantılı hükümetlerin e-posta portallarını ihlal etmek ve hükümet yetkililerinin, askeri personelin ve diplomatların e-postalarını çalmak için kullanıldı. ABD Siber Güvenlik ve Altyapı Güvenliği Dairesi (CISA), uyumluluk için üç haftalık bir son tarih belirleyerek, 17 Ağustos'a kadar yama uygulanmamış tüm cihazlardaki kusuru azaltmalarını emretti.

Bilgi Hırsızlığı İki Kat Arttı

Bilgi hırsızlarının karıştığı olaylar, 2023'ün ilk çeyreğinde geçen yılın aynı dönemine göre iki kattan fazla arttı ve üç ana platforma saldırıyorlar: Windows, Linux ve macOS. Yayınlanan bir çalışmada araştırmacılar, bu kötü amaçlı yazılım geliştiricilerinin çoğunun Telegram'ı komuta ve kontrol (C2) ve veri hırsızlığı için bir platform olarak kullandığını söyledi. Infostealer kötü amaçlı yazılımı, parolaları, oturum açma kimlik bilgilerini ve diğer kişisel verileri içeren hassas bilgileri çalarak kurbanları hedefler. Saldırgan, verileri topladıktan sonra tehdit aktörünün C2 sistemine gönderir. Infostealer yazılımları öncelikle siber suç forumlarında satılır. Telegram'da satılmasının yanı sıra Discord gibi diğer anlık mesajlaşma platformlarında da satılmaktadır. Stealer ve log fiyatları genellikle ayda 200 ila 300 $ arasında veya ömür boyu abonelik için yaklaşık 1.000 $ arasında değişir. RedLine'ın %56 pazar payıyla pazarda önde gelen infostealer haline geldiğini, ardından Raccoon (%15) ve RecordBreaker hırsızının geldiğini tespit etti. 2022'nin en belirgin saldırılarından biri Uber'in sistemlerini hedef aldı . Bir saldırgan, araç paylaşım şirketinin savunma sistemlerini aşmak için Racoon infostealer kullandı ve kurbanları bir talebi doğrulamak için bir bağlantıya tıklamaya teşvik eden sahte bir iki faktörlü kimlik doğrulama bildirimi gönderdi. Bir kullanıcının sisteminin güvenliği ihlal edildiğinde, saldırgan dahili ağ kaynaklarına erişmek için şirketin VPN'ini kullandı. Uber'in erişim yönetimi hizmetine erişim sağladıktan sonra, bunu hesap ayrıcalıklarını artırmak için kullandılar ve AWS, Duo, GSuite, OneLogin, Slack, VMware ve Windows dahil olmak üzere çeşitli Uber kaynaklarına erişim kazandılar. Bilgi hırsızlığı yazılımları, fidye yazılımı saldırılarından daha kazançlı hale gelmiş durumda, GDPR ve KVKK gibi otoritelerinde takip etmesinden dolayı kurumlar çalınan verilerin ifşası konusunda ciddi sonuçlarla karşılaşmaktadır. Bu durumun farkında olan saldırgan gruplar, şantaj amaçlı bu veri sızdırmaları kullanarak kurumlardan büyük ölçüde maddi çıkar sağlamaktadır.

Ivanti'de Sıfırıncı Gün Açığı

Ivanti, Norveç'teki bir düzine bakanlığın BT sistemlerini ihlal etmek için sıfır gün olarak istismar edilen Endpoint Manager Mobile yazılımındaki (eski adıyla MobileIron Core) bir güvenlik açığı için yama yayınladı. EPMM, BT ekiplerinin mobil cihazlar, uygulamalar ve içerik için politikalar belirlemesini sağlayan, yaygın olarak kullanılan bir mobil yönetim yazılımı motorudur. Ivanti tarafından CVE-2023-35078 için yayınladığı belgeye göre zafiyet, uzaktan tehdit aktörleri tarafından "kullanıcıların kişisel olarak tanımlanabilir bilgilerine potansiyel olarak erişmek ve sunucuda sınırlı değişiklikler yapmak için" yararlanılabilecek, kimliği doğrulanmamış bir API erişim sorunudur. Ivanti, CVE-2023-35081, kimliği doğrulanmış bir yöneticinin EPMM sunucusuna rastgele dosya yazma işlemleri gerçekleştirmesini sağlar. Bu zafiyet, yönetici kimlik doğrulamasını ve ACL kısıtlamalarını (varsa) atlayarak CVE-2023-35078 ile birlikte kullanılabilir. Zafiyet aktif olarak Norveç hükümetini hedef alan bir saldırıda kullanıldı. ABD'de ve Avrupa'da internete açık zafiyetli birçok sistem bulunmakta ve aktif olarak sömürülmeye çalışılmaktadır. Üretici acil olarak yamaların yapılmasını önerdi.  Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz; Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz

Siber Güvenlik Bülteni - Haziran 2023

 

Bültenimizin Haziran Ayı konu başlıkları;  Barracuda'da Sıfırıncı Gün Zafiyeti Fortinet'te Kritik Zafiyetler RDP'ye Saldırılar Durmuyor Chrome'da Kritik Zafiyetler Asus Wifi Router için Kritik 9 Zafiyet

Barracuda'da Sıfırıncı Gün Zafiyeti

Barracuda'da tespit edilen CVE-2023-2868 referans numaralı zafiyetin Ekim 2022'den beri zararlı yazılım yayma ve veri ihlallerinde kullanıldığı tespit edildi. CVE-2023-2868 referans numarası ile takip edilen sıfırıncı gün açığı uzaktan komut çalıştırmaya imkan sağlamakta ve Email Security Gateway (ESG) cihazlarını etkilemektedir. ESG cihazlarının 5.1.3.001 ile 9.2.0.006 sürümleri etkilenmektedir. Yapılan analizlerde Barracuda cihazlarında üç farklı zararlı yazılım tespit edildi. Saltwater; Barracuda SMTP üzerinde çalışan bir modül olarak tasarlanmış ve uzaktan dosya yükleme veya indirme, komut yürütme ve proxy veya tünel oluşturma amaçlı kullanılmaktadır. Seaspy; meşru bir Barracuda hizmeti olarak görünür, trafiği izler ve arka kapı işlevi sağlar. Seaside; Barracuda SMTP servisini hedefler, reverse oluşturarak C&C (komut ve kontrol) bağlantısı sağlar. Barracuda her ne kadar zafiyet ile ilgili bir yama yayınlasa da, cihazların güncel olduğundan emin olunmasını ve güvenliği ihmal edilmiş cihazları kullanmayı bırakmalarını tavsiye etti. Eğer sistemlerinizde yamayı yapmadıysanız veya TINA ISOLATOR kullanmıyorsanız bu zafiyete karşı savunmasız olduğunuzu unutmayın.

Fortinet'te Kritik Zafiyetler

Fortinet'in son yıllarda hızla artan zafiyetlerine yenileri eklenmeye devam ediyor. Yeni zafiyetlerde de kimliği doğrulanmamış kullanıcının uzaktan kod çalıştırmasına olanak sağladığı doğrulanmıştır.  FortiOS tarafında tespit edilen zafiyet,  CVE-2023-27997 referans numarası ile takip edilebilir, uzaktan kimliği doğrulanmamış bir saldırgan tarafından kod çalıştırmaya olanak sağlamaktadır. Zafiyet ile SSL-VPN ön kimlik doğrulamasında yığın bellek taşması yaratarak sisteme sızmaya imkan sağlamaktadır. Fortinet SSL VPN kullanan tüm müşterilerinin hızlıca yamaları yapmasını öneriyor, SSL VPN kullanmayan müşterilerinin ise riskinin azaldığını belirtmekte fakat onlarında yamalarını yapmalarını önermektedir. FortiNAC tarafında tespit edilen zafiyet,  CVE-2023-33299 referans numarası ile takip edilebilir, kimliği doğrulanmamış bir kullanıcının TCP 1050 hizmetine yönelik özel olarak tasarlanmış istekler ile yetkisiz kod çalıştırmasına imkan sağlamaktadır. 7.2.0'dan 9.4.2'ye kadar olanlar da dahil olmak üzere birçok FortiNAC sürümü, bu uzaktan kod yürütme güvenlik açığından etkilenmektedir. Fortinet hızlıca bu yamaların yapılmasını önermektedir. Eğer sistemlerinizde yamayı yapmadıysanız veya TINA ISOLATOR kullanmıyorsanız bu zafiyete karşı savunmasız olduğunuzu unutmayın. Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bunlardan etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

RDP'ye Saldırılar Durmuyor

Uzak masaüstü bağlantıları her ne kadar kurumlar için hızlı ve kolay çözüm olarak görülse de, saldırganları çekme konusunda da adeta bir mıknatıs görevi görmektedir. Dışarı açık olan bir RDP günde ortalama 37.000'den fazla bağlantı talebi almaktadır. Bunların çoğunluğu otomatik botlar tarafından gerçekleştirilmektedir fakat doğru bir bağlantı tespitinde de direkt saldırganın manuel uğraşları devreye girmektedir. Bir araştırma grubu tarafından kurulan RDP bal küpü (honeypot) ağında 3 aylık bir dönemde yaklaşık 3.5 milyon oturum açma talebi geldi, 1 yıl içerisinde ise 13 milyondan fazla oturum açma talebi geldi. Bu saldırılarda gelen talepler ağırlıklı olarak Rusya ve Çin IPlerinden oluşmaktadır.  Gerçekleştirilen oturum açma taleplerinde kullanılan Administrator, ADMIN, ADMINISTRATOR, Admin, administrator gibi standart kullanıcı adları dışında, RDP honeypotlara verilen isimlere özgü kullanıcı adlarının da oluşturulup denendiği ortaya çıktı.  Dışarı açık olan servislerin her zaman risk içerdiğini ve servisin dışarı açıldığı an itibariyle hedef haline geldiğini net olarak görebiliyoruz, bu yüzden dışarı açık olan servisleri korumak için yeni çözümümüz TINA ISOLATOR'ü öneriyoruz, detaylı bilgi için bize ulaşabilirsiniz

Chrome'da Kritik Zafiyetler

Google, meşhur web tarayıcısı Chrome için acil yama yayınladı. CVE-2023-3079 referans kodu ile takip edilen güvenlik açığı, V8 JavaScript motorunda bir tür karışıklık hatası olarak tanımlandı. NIST'in Ulusal Güvenlik Açığı Veritabanına göre; 114.0.5735.110'dan önceki Google Chrome'daki V8'deki tür karışıklığı, uzaktaki bir saldırganın hazırlanmış bir HTML sayfası aracılığıyla potansiyel olarak yığın bozulmasından yararlanmasına izin vermektedir. Google saldırının detaylarını açıklamadı fakat hali hazırda zafiyetin kullanıldığını belirtti.  Yılbaşından bu yana Chrome üzerinde 3 farklı sıfır gün zafiyeti tespit edildi; CVE-2023-2033 V8'de Tür Karışıklığı ve CVE-2023-2136 Skia'da tamsayı taşması. Kullanıcıların olası tehditleri azaltmak için, Windows için 114.0.5735.110 ve macOS ve Linux için 114.0.5735.106 sürümüne yükseltmeleri önerilir. Microsoft Edge, Brave, Opera ve Vivaldi gibi Chromium tabanlı tarayıcıların kullanıcılarına da düzeltmeleri kullanıma sunulduğunda, acilen yamaları uygulamaları önerilmektedir.

Asus Wifi Router için Kritik 9 Zafiyet

Tayvanlı bilgisayar donanımı üreticisi Asus, WiFi yönlendirici ürün serilerindeki güvenlik açıklarını gidermek için acil yazılım güncellemeleri gönderdi ve kullanıcıları uzaktan kod yürütme saldırıları riskine karşı uyardı. Asus; kod yürütme, hizmet reddi, bilgi ifşası ve kimlik doğrulama baypaslarına izin veren içerisinde 2018’den beri sömürüldüğü anlaşılan 9 güvenlik açığını yamaladı. Etkilenen ürünler;   GT6/GT-AXE16000/GT-AX11000 PRO/GT-AXE11000/GT-AX6000/GT-AX11000/GS-AX5400/GS-AX3000/XT9/XT8/XT8 V2/RT-AX86U PRO/RT-AX86U/RT-AX86S/RT-AX82U/RT-AX58U/RT-AX3000/TUF-AX6000/TUF-AX5400. Ayrıca güncelleme yapmayan müşterileri içinde "olası istenmeyen izinsiz girişleri önlemek için WAN tarafından erişilebilen hizmetleri devre dışı bırakmanızı kesinlikle öneririz." açıklamasında bulundu ek olarak "Yönlendiricinizi en son üretici yazılımına güncelleyin. Yeni üretici yazılımı çıkar çıkmaz bunu yapmanızı şiddetle tavsiye ediyoruz" diyen şirket, kullanıcıların kablosuz ağ ve yönlendirici yönetim sayfaları için ayrı parolalar ayarlaması gerektiğini de sözlerine ekledi.

Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz;

Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz

Siber Güvenlik Bülteni - Mayıs 2023

 

Bültenimizin Mayıs Ayı konu başlıkları;  VMware'de Kritik Zafiyetler Zyxel Firewall ve VPN Ürünleri için Yama Yayınladı 2023'ün İlk Çeyrek Fidye Yazılımı Trendleri! Cisco'da Kritik Zafiyetler Android Zararlı Yazılımı 9 Milyon Cihaza Bulaştı

VMware'de Kritik Zafiyetler

VMware, Workstation ve Fusion zafiyetleri için güvenlik yaması yayınladı. Tespit edilen zafiyetler Workstation ve Fusion için uzaktan kod yürütmeye ve yetki yükseltmeye olanak sağlamaktadır.   Zafiyetler;    CVE-2023-20869; Bluetooth cihaz paylaşım işlevindeki arabellek taşması ve sanal makinenin VMX istismar edilerek kod yürütülmesi zafiyetidir. CVE-2023-20870; Hipervisor belleğinde bulunan kritik verilerinin okunması zafiyetidir.   CVE-2023-20871; VMware Fusion Raw Disk, yerel ayrıcalık yükseltme zafiyetidir.   CVE-2023-20872; SCSI CD/DVD üzerinden veri okunması veya sistemde hipervisorde kod yürütme zafiyetidir.   Güvenlik açıkları, VMware Workstation Pro v17.x ve VMware Fusion v13.x'i etkilemektedir.   Güncelleme yapılan sürümler; VMware Workstation Pro 17.0.2 VMware Fusion 13.0.2 Öneriler; CVE-2023-20869 ve CVE-2023-20870 için sanal makinede Bluetooth desteğini kapatabilirsiniz. CVE-2023-20872 için CD/DVD cihazını sanal makineden çıkarabilir veya VM'i SCSI denetleyicisini kullanmayacak şekilde yapılandırabilirsiniz.

Zyxel Firewall ve VPN Ürünleri için Yama Yayınladı

Zyxel, belirli firewall ve VPN ürünlerini etkileyen uzaktan kod yürütmeye imkan sağlayan iki kritik güvenlik açığı için yama yayınladı. Zafiyetler CVE-2023-33009 ve CVE-2023-33010 referans numaraları ile takip edilebilir.      Etkilenen Cihazlar; ATP (ZLD V4.32'den V5.36 Yama 1'e kadar olan sürümler) USG FLEX (ZLD V4.50 - V5.36 Yama 1 sürümleri) USG FLEX50(W) / USG20(W)-VPN (ZLD V4.25 - V5.36 Yama 1 sürümleri) VPN (ZLD V4.30 ila V5.36 Yama 1 sürümleri) ZyWALL/USG (ZLD V4.25 - V4.73 Yama 1 sürümleri) Geçtiğimiz aylarda çıkan CVE-2023-28771 zafiyeti, aktif olarak Mirai Botnet tarafından sömürülmektedir. Eğer sistemlerinizde yamayı yapmadıysanız veya TINA ISOLATOR kullanmıyorsanız bu zafiyete karşı savunmasız olduğunuzu unutmayın. Bu ve benzeri zafiyetlere karşı korunmasız kalmamak ve bunlardan etkilenmemek için size en yeni çözümümüzü öneriyoruz; yeni ZTNA çözümümüz TINA ISOLATOR ile ilgili detaylı bilgi ve sunum için bizi arayın. Bizi arayın: 0216 450 25 94 [email protected]

2023'ün İlk Çeyrek Fidye Yazılımı Trendleri

Fidye Yazılımı (Ransomware) saldırıları ön plana çıkmaya devam ediyor. Saldırganlar, kar elde etmek için sağlık, eğitim kurumları, hizmet sağlayıcıları, endüstriyel işletmelere kadar her sektörde karşımıza çıkıyor. 2022 yılındaki saldırılarda 2021 yılına oranla %20 artış söz konusu, 2023 yılının ilk çeyreğinde önceki yılların ilk çeyreğine göre de bir artış görülmüştür, ayrıca bunlara ek olarak başarı oranları, saldırıların daha karmaşık hale gelmesi ve daha iyi hedeflenmiş olmasından dolayı oldukça artmıştır. Fidye yazılımlarını artık Windows dışında, Linux ve macOS işletim sistemlerinde de aktif olarak görmeye başladık. Yapılan araştırmalara göre saldırıların %42.9'u yamalanmamış sistemlere gerçekleşirken, geri kalanı ise dışarıya açık uygulama zafiyetleri, oltalama saldırıları, güvenliği ihlal edilmiş hesaplardan oluşmaktadır.    İlk çeyrekte öne çıkanlar; Fidye yazılımı grupları; LockBit3.0, Clop, ALPHV, Royal, Vice Society ve Black Basta'dır. Hedeflenen sektörler; Üretici İşletmeler, Perakende, İnşaat, Eğitim, Ulaşım, Yazılım, Finans ve Sağlıktır.  Hedeflenen ülkeler; Amerika, İngiltere, Kanada, Almanya, Fransa, Avustralya, Hindistan, İtalya, Brezilya ve İspanya'dır. İlk çeyrekte yeni 100'den fazla grup ortaya çıktı. Bu gruplar arasında hareketliliği dikkat çekenler; Medusa Ransomware ve Nevada/ESXi'dir.  Daha önce kapatılan gruplarında değişiklik yaparak geri döneceği konuşulmakta, bunlarda en bilineni ise Hive grubudur.

Cisco'da Kritik Zafiyetler

Cisco, Small Business serisi switchlerde 4 kritik zafiyet için yama yayınladı. Bu zafiyetler, yönetim web arayüzlerindeki açıklıktan dolayı uzaktan kod çalıştırmaya imkan sağlamaktadır.    Cisco zafiyetler için acil güncelleme çağrısı yaptı ve güncelleme yapmanın dışında herhangi bir çözüm önerisi sunmadı. 4 kritik güvenlik açığı  CVE-2023-20159, CVE-2023-20160, CVE-2023-20161, ve CVE-2023-20189 referans numaraları ile takip edilebilir. Web arayüzdeki zafiyeti istismar eden bir saldırganın cihazda root yetkileri ile kod çalıştırabileceği belirtildi.    Etkilenen sistemleri aşağıdaki gibidir; 250 Series Smart Switches 350 Series Managed Switches 350X Series Stackable Managed Switches 550X Series Stackable Managed Switches Business 250 Series Smart Switches Business 350 Series Managed Switches Small Business 200 Series Smart Switches Small Business 300 Series Managed Switches Small Business 500 Series Stackable Managed Switches

Android Zararlı Yazılımı 9 Milyon Cihaza Bulaştı

İllegal bir siber saldırı grubu olan Lemon Group, son 5 yılda yaklaşık 50 telefon firmasında 9 milyon Android cihaza Guerilla zararlı yazılımını yerleştirerek kötü amaçlı faaliyetler gerçekleştirdi.     Saldırgan grup genel olarak bu zararlıyı ek yazılım yüklemek, tek kullanımlık giriş/doğrulama SMS'lerini ele geçirmek, reverse proxy yapmak, WhatsApp oturumlarını ele geçirmek gibi kritik amaçlar için kullanıyor.     Guerilla zararlı yazılımı genel olarak aşağıdaki özellikleri içermektedir; SMS yoluyla alınan tek seferlik şifreleri ele geçirmek Kurban telefon trafiğini reverse proxy ile kullanmak Facebook gibi sosyal medya çerezlerini sızdırmak ve WhatsApp oturumlarını ele geçirmek Normal uygulamalar üzerinde reklam göstermek Uzak C2 sunucusu üzerinden ek APK yüklemek ve mevcut uygulamaları kaldırmak 180'den fazla ülkede 9 milyon cihaza bulaşmış olan zararlı yazılım ağırlıklı olarak Güneydoğu Asya ve Doğu Avrupa'da faaliyet göstermektedir.

Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz;

Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz.

Siber Güvenlik Bülteni - Nisan 2023

Bültenimizin Nisan Ayı konu başlıkları;  Microsoft Fidye Saldırılarına Karşı Güncelleme Cisco Kritik Zafiyetler İçin Yama Yayınladı SAP Zafiyetleri İçin Yama Yayınladı MSI Fidye Yazılımı Saldırısına Uğradı! Microsoft Fidye Saldırılarına Karşı Güncelleme Microsoft, 97 adet güvenlik açığı için yama yayınladı, bu zafiyetlerden bir tanesi ise aktif olarak fidye saldırılarında kullanıldı. 97 zafiyetin; 7'si kritik olarak belirlendi, 90'ı ise önemli olarak derecelendirildi. Bu zafiyetlerin 45'i uzaktan kod yürütme, 20'si de yetki yükseltme kusuru. Aktif olarak istismar edilen güvenlik açığı, Windows Ortak Günlük Dosya Sistemi (CLFS) yetki yükseltme hatası CVE-2023-28252 referans numarası ile takip edilebilir. 2018'den bu yana CLFS üzerinde en az 32 güvenlik açığı keşfedildi. Güvenlik araştırmacıları bu güvenlik zafiyetinin Orta Doğu, Kuzey Amerika ve Asya'daki küçük ve orta işletmelere Nokoyawa fidye yazılımını dağıtmak için kullanıldığını açıkladı. CISA (Siber Güvenlik ve Altyapı Güvenliği Ajansı) istismarı devam eden zafiyet için sorumlu olduğu kurumlara 2 Mayıs 2023 tarihine kadar sistemlerini güvence altına almaları uyarısını iletti. Microsoft'un Nisan ayında Office, Defender, SharePoint Server, Hyper-V, PostScript Yazıcı ve Microsoft Dynamics dahil olmak üzere Windows bileşenleri için yayınlanmış olduğu yamaların tamamına buradan ulaşabilirsiniz. Cisco Kritik Zafiyetler için Yama Yayınladı Cisco, endüstriyel ağ yönetimi çözümü Industrial Network Director (IND) ve ağ simülasyon platformu Modeling Labs çözümlerini etkileyen kritik güvenlik açıkları için yamalar yayınladı. Cisco Industrial Network Director'da bulunan zafiyet web ara yüzünde kimliği doğrulanmamış bir saldırgan NT AUTHORITY\SYSTEM ayrıcalıklarıyla kod yürütebilir. Bu zafiyet CVE-2023-20036 referans numarası ile takip edilebilir. (Cisco IND sürüm 1.11.3'de bu hatalar giderilmiştir.) Modeling Labs'da bulunan zafiyet, harici kimlik doğrulama mekanizmasındaki kusurdan kaynaklanmaktadır. Harici kimlik doğrulama sunucusunda depolanan geçerli kullanıcı kimlik bilgilerine eriştiği takdirde web ara yüzünde oturum açarak bu güvenlik açığından yararlanabilir ve yönetici olarak oturum açabilir. Bu zafiyet CVE-2023-20154 referans numarası ile takip edilebilir. (Modeling Labs sürüm 2.5.1'de bu hatalar giderilmiştir.) SAP Zafiyetleri için Yama Yayınladı SAP Diagnostics Agent ve SAP BusinessObjects Business Intelligence Platform'unu etkileyen kritik öneme sahip iki güvenlik açığı için düzeltmeler içeren Nisan 2023 güvenlik güncellemelerini yayınladı. Detaylarına "En Son Yayınlanan SAP Zafiyetleri ve SAP Güncellemeleri" yazımızda detaylı ulaşabilirsiniz. MSI Fidye Yazılımı Saldırısına Uğradı MSI fidye yazılımı saldırısında şirket ağının ihlal edildiğini doğruladı. Money Message fidye yazılım grubu MSI'ın bazı sistemlerine sızdığını ve şirketin 4 milyon dolar fidye ödemeyi kabul etmemesi halinde sızdırdığı bir takım dosyaları dağıtacağını açıkladı.   Fidye yazılım grubu yaklaşık 1.5 TB boyutuna varan belgeleri sızdırdığını ve bu belgeler arasında ERP veri tabanları, yazılım kaynak kodu, özel anahtarlar ve BIOS üretici yazılımı içeren dosyaların ekran görüntülerini de paylaştı.    Fidye yazılımı grubunun sahip olduğu dosyalar ile kötü amaçlı ürün yazılımı oluşturarak kullanıcıyı güven oluşturup yüklemelerini sağlayabilir. MSI, firmware/BIOS güncellemelerini yalnızca resmi web sitesinden alınması ve diğer kaynaklardan dosya kullanımından uzak durulması konusunda uyaran bir bildiri yayınladı.  Ve Tüm Bu Siber Saldırılara Karşı TINA Çözümlerimiz; Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı? Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz. Bizi arayın: 0216 450 25 94 [email protected] En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz.

En Son Yayınlanan SAP Zafiyetleri ve SAP Güncellemeleri

Yakın zamanda Hackerlar SAP'den Ne İstiyor? konu başlıklı bir yazı yayınlamıştık.
Bu yazımızda ise saldırıların oluşmasına yol açan açıklıklara dair detayları ve önlemleri işleyeceğiz.

11 Nisan tarihinde yayınlanan SAP güvenlik bülteninde, 24 ayrı konu belirtilmekte, bunların 5'i geçmiş güncellemeler ile çözülmüşken, bazılarınınsa çok yeni olduğu ve çok yüksek düzeyli risk içerdiğini görmekteyiz.

Liste başı risklerden bazıları;

CVE-2023-27267: SAP Diagnostics Agent, sürüm 720'nin OSCommand Bridge'i etkileyen yetersiz giriş doğrulaması ve eksik kimlik doğrulama sorunu, bir saldırganın bağlı agent'lar üzerinde komut dizileri yürütmesine ve sistemin tamamen tehlikeye atılmasına olanak tanıyor. (CVSS v3.1 puanı: 9.0)

CVE-2023-28765: SAP BusinessObjects Business Intelligence Platform (Promotion Management), sürüm 420 ve 430'u etkileyen, temel ayrıcalıklara sahip bir saldırganın lcmbiar dosyasına erişmesine ve şifresini çözmesine olanak tanıyan bilgilerin açığa çıkmasına dair güvenlik açığıdır. Bu açık, saldırganın platform kullanıcılarının parolalarına erişmesine ve ek kötü amaçlı eylemler gerçekleştirmek için hesaplarını ele geçirmesine olanak tanır. (CVSS v3.1 puanı: 9.8)

CVE-2023-29186: SAP NetWeaver sürüm 707, 737, 747 ve 757'yi etkileyen ve bir saldırganın güvenlik açığı bulunan SAP sunucusuna dosya yüklemesine ve dosyaların üzerine yazmasına olanak tanıyan dizin geçiş kusurudur. (CVSS v3.1 puanı: 8.7)

Açıkların tespit edildiği bu aşamada, SAP'nin çok kısa süredeki çalışmaları ile güncellemelerini hazır hale getirmesi ve yayınlaması dahi yeterli olmuyor.

(Geçmiş yazımızdan kısa bir hatırlatma; ortalama 72 saat içerisinde tespit edilebilmiş bir zafiyeti gideren güncelleme yayınlanabilse de, yayınlanan bu güncelleme haberinden sonra, ortalama 3 saat içerisinde saldırganlar bunu takip ediyor, erişiyor ve 1.5 saat içerisinde de tam başarılı bir saldırıyı tamamlayabiliyorlar.)

Saldırı hızlarının yüksek düzeyde olduğunu, savunma hızına kıyasla saldırganların çok avantajlı olduklarını söyleyebiliriz. Bu durumda ya zamanla yarışmak ya da en baştan planlı davranmak gerekiyor. (Bu konudaki çözümümüzü hatırlatmanın da tam yeri: TINA ISOLATOR detaylı bilgi)

Zaman Yarışı İle Savunma

SAP'nin 180 ülkede, 425.000 müşterisiyle küresel pazar payının %24'üne sahip olduğu, dünyanın en büyük ERP satıcısı olduğu bilinmekte, ayrıca Forbes Global 2000'in %90'ından fazlasının SAP'nin ERP, SCM, PLM ve CRM ürünlerini kullandığı belirtilmektedir.

Dolayısıyla saldırganlar çıkarları için her zaman büyük kurumsal ağlarda kullanılan SAP (veya benzeri yaygın ürünler) üzerinde kritik önemdeki kusurları arar haldeler.

Saldırganlar bir kaç ayrı çeşit kitleden oluşmakta; ileri düzey organize olmuş ve yüksek tekniğe sahip olanlar açıklığın yayınlanmasından önce onları kendi denemeleri ile bulup zafiyetten faydalanabilirken, kimi zaman da zafiyet ve/veya yama duyuruları yapıldıktan sonra zafiyetlerin kullanılması için hızlıca İnternet'i tarayan, bu taramalara yönelik kodlar yazan ve/veya dağıtan saldırgan kitleler de mevcut.

Özellikle yama yayınları duyurulduktan sonra, yamaların hızlı şekilde uygulanması riskin sona erdirilebilmesi için önemlidir, bu şekilde aksiyon alınması son dakika saldırı-savunma yarışında başarılı olunmasını sağlamaktadır.

Ancak, çalışılmakta olan yoğun tempoda fark edilmemesi, şartların uygun bulunmaması (donanım, insan kaynağı, bütçe vb.), servis veren sistemin müsait olmaması, ciro kaybı veya operasyonel durma riski gibi sebeplerden yamaların uygulanması genellikle gecikmekte.

Kimi zaman da yamaların yaratabildiği uyumsuzluk/verimsizlik/ani problemler gibi sebepler, güvensizlik doğurmakta, büyük (major) versiyon yükseltmeleri uygulanırken, tedirginlikten ötürü geçişlerin ertelenmesine yol açmakta.

Tam da bu nokta; geciken yamalar, riskin en yüksek düzeye ulaştığı anlar olarak en korkutucu dönemleri oluşturuyor.

Alternatif Çözüm: En Baştan Planlama, Yatırım ile Savunma

Güvenli erişim için ihtiyaç duyulan sebepleri burada kısaca hatırlatmak gerekirse:

(detayları içeren yazımız ise burada: En Güncel ve En Etkili Savunma Yaklaşımı: ZTNA)

• Kurum iç ağından doğrudan erişim
• VPN üzerinden İnternet'ten kuruma ağına dahil olarak erişim 
• İnternet üzerinden herhangi bir uç noktadan direkt erişim

Eğer bu tür veya benzer düzeyde erişim ihtiyaçları varsa ve SAP'nin servis vermeyi hedeflediği kitle sınırlı ise; örneğin iş ortakları, tedarikçiler, bayiler, personel vb. sayıca ve kullanıcılar belirli ise, bu durumda bu servisin İnternet üzerinden erişilebilmesi, aslında tüm İnternet kullanıcılarının bu servisi görmesi gerektiği anlamına da gelmemekte. ZTNA - Zero Trust Network Access çözümümüz tam da bu tür ağ alanları yaratırken işi rahatlatıyor.

Bu ağ alanlarını  - dağınık ağ, dağınık yapı üzerinde çalışan kullanıcı kitleleri olsa dahi - izole edebilmek, hem güvenlik hem de performans açısından yüksek düzeyde fayda sağladığından, erişim yönetim sistemlerinin bu çalışmaları sağladığını ve bunlara yapılan yatırımın kısa vadede kendini amorte ettiğini hatırlatmak isteriz.