CISA, FBI ve ortaklarının ortak uyarısına göre SafePay fidye yazılımı 600'den fazla kurbanı etkiledi ve giriş yolu genellikle acı verecek kadar sıradan. Uyarıya göre grup, SafePay fidye yazılımı çalınan VPN kimlik bilgilerini kullanarak basitçe oturum açıyor ve ayrıca Veeam ile SonicWall donanımlarındaki 2024 tarihli iki açığı istismar ediyor. Çıkarılacak ders basit: Bir VPN ağ geçidi yalnızca oturum açma bilgileri ve ürün yazılımı kadar güvenlidir.

SafePay uyarısı ne diyor

CISA, FBI ve ortak kurumlar tarafından yayımlanan uyarı, SafePay fidye yazılımının 600'den fazla kurbanı ele geçirdiğini bildiriyor. İki ilk erişim yolu öne çıkıyor: saldırganların başka yerlerden elde ettiği geçerli VPN kimlik bilgileri ve 2024'ten Veeam ile SonicWall ürünlerini etkileyen iki güvenlik açığı.

Kaynak materyal kısa olduğundan burada belirli CVE tanımlayıcıları veya etkilenen sektörlerin tam listesi gibi bazı ayrıntılara yer verilmemiştir. Yöneticiler teknik göstergeler ve hafifletme listesi için doğrudan orijinal uyarıyı okumalıdır. Özetin açıkça ortaya koyduğu şey ise kalıptır: Saldırganlar egzotik tekniklere güvenmiyor. Sızdırılmış veya yama uygulanmadan bırakılmış erişimi kullanıyorlar.

Çalınan VPN oturum açma bilgileri ve uç cihaz açıkları kapıyı nasıl açıyor

Bir VPN, özel bir ağa kontrollü bir giriş olarak tasarlanmıştır. Bir saldırgan geçerli bir kullanıcı adı ve parolaya sahipse, bu giriş bir çalışan için olduğu gibi onun için de açılır. VPN için çalınan bir oturum açma bilgisi meşru bir oturum gibi görünür; bu nedenle ek kontroller olmadan bu yolun tespit edilmesi zor olabilir.

Çalınan kimlik bilgileri genellikle önceki ihlallerden, kimlik avından veya hizmetler arasında parola yeniden kullanımından gelir. Bir çalışan iş VPN'i için aynı parolayı daha sonra sızdırılan kişisel bir hesapta kullanırsa, saldırganın hiçbir teknik istismara ihtiyacı kalmaz.

İkinci yol ise yaması uygulanmamış uç cihazlardır. Güvenlik duvarları, VPN cihazları ve yedekleme yazılımları bir ağın sınırında veya merkezinde yer alır; dolayısıyla bunlardaki bir açık saldırganlara güçlü bir dayanak noktası sağlayabilir. Uyarı, 2024'ten iki açığa işaret ediyor: biri Veeam'de, diğeri SonicWall donanımında. 2024 güvenlik açıklarının hâlâ kullanılıyor olması önemlidir: Bu, düzeltmelerin mevcut olduğunu ancak her zaman uygulanmadığını gösterir.

Bu yollar birlikte, çevre araçlarının neden diğer kritik sistemler kadar dikkat gerektirdiğini gösteriyor. Bir VPN trafiği yalnızca ona erişim korunuyorsa korur ve cihazın kendisi de güncel tutulmalıdır.

VPN erişimini ve uç cihazları güçlendirme adımları

Aşağıdakilerin hiçbiri egzotik değildir ve çoğu uyarının tanımladığı zayıflıklarla uyumludur.

  • Her VPN oturum açma işleminde çok faktörlü kimlik doğrulamayı zorunlu kılın. Tek başına çalınan bir parola giriş için yeterli olmamalıdır.
  • SonicWall ve Veeam ürünlerine derhal yama uygulayın. 2024 düzeltmelerinin yalnızca planlanmadığını değil, gerçekten yüklendiğini kontrol edin.
  • Kimlik bilgisi yeniden kullanımına dikkat edin. Çalışan kimlik bilgilerini bilinen ihlal verileriyle karşılaştırın ve maruz kalma tespit edilen yerlerde parola sıfırlamayı zorunlu kılın.
  • Olağandışı etkinlik için VPN günlüklerini inceleyin. Garip saatlerde, beklenmedik konumlardan veya normalde boşta olan hesaplardan yapılan oturum açma işlemleri daha yakından incelenmelidir.
  • Eski hesapları kaldırın. Eski çalışanlar ve kullanılmayan yüklenici oturum açma bilgileri kolay hedeflerdir.
  • Yedeklemeleri koruyun. Veeam bir yedekleme yazılımıdır; dolayısıyla buradaki bir ele geçirme kurtarmayı baltalayabilir. Kopyaları izole tutun ve geri yüklemeleri test edin.

600 kurban sayısı kuruluşlar ve kullanıcılar için ne anlama geliyor

Kuruluşlar için 600'den fazla kurban, fidye yazılımı gruplarının işe yarayanı tekrarlayarak ölçeklendiğinin bir hatırlatıcısıdır. Tek bir zayıf oturum açma bilgisi veya eski yaması uygulanmamış bir cihaz yeterliyse, temel hijyen mevcut en etkili ve en ucuz savunmalardan biridir.

İş VPN'ine bağlanan veya tüketici VPN hizmeti kullanan kişiler de dahil olmak üzere bireysel kullanıcılar için ders kimlik bilgileriyle ilgilidir. Her hesap için benzersiz bir parola kullanın, sunulduğu her yerde çok faktörlü kimlik doğrulamayı açın ve kullandığınız bir hizmet ihlal bildirirse parolaları derhal değiştirin. Çalışanlar savunmanın bir parçasıdır, çünkü saldırganların peşinde olduğu tam olarak onların oturum açma bilgileridir.

Bir ağ ihlal edildikten sonra ne olduğunu hatırlamak da faydalıdır. Fidye yazılımı operatörleri genellikle şantaj talepleri ve verileri ifşa etme tehditleriyle baskıyı artırır. Kendisini DataSuckers olarak adlandıran bir grubun 7,9 milyon kişinin etkilendiği söylenen 400 bin dolarlık taleple ortaya çıktığı ATB şantaj hikayesi, saldırganlar erişim sağladıktan sonra bu baskının nasıl işlediğini gösteriyor.

Bu Sizin İçin Ne Anlama Geliyor

BT sistemlerini yönetiyorsanız, VPN ağ geçidinizi ve yedekleme yazılımınızı yüksek öncelikli varlıklar olarak değerlendirin. Kimlerin oturum açabileceğini denetleyin, çok faktörlü kimlik doğrulamanın zorunlu kılındığını doğrulayın ve SonicWall ile Veeam güncellemelerinin yerinde olduğunu teyit edin. Günlük bir kullanıcıysanız kendi hesaplarınızı güvence altına alın: benzersiz parolalar, MFA ve herhangi bir ihlal bildiriminden sonra hızlı hareket.

Önemli çıkarımlar

SafePay fidye yazılımı çalınan VPN kimlik bilgileri uyarısı, temelleri düzeltmeye bir çağrıdır. Tüm VPN oturum açma işlemlerinde MFA'yı zorunlu kılın, SonicWall ve Veeam cihazlarına gecikmeden yama uygulayın ve yeniden kullanılan veya sızdırılan kimlik bilgilerini izleyin. Basitçe oturum açabilen saldırganların içeri sızmaya ihtiyacı yoktur; bu yüzden oturum açmayı onlar için çok daha zor hale getirin.