Yeni bildirilen bir kampanya, saldırganların ağları koruyan cihazlara sızmak için bir VMware ESX zero-day açığını diğer açıklarla nasıl birleştirdiğini gösteriyor. Help Net Security'ye göre saldırganlar, izlerini gizlemek için VMware ESX zero-day açığından yararlandı, ardından PHP2Shell açıklarını Fragnesia adlı bir hatayla zincirleyerek güvenlik duvarlarını ele geçirdi. Kaynak başlık, faaliyeti Çinli hacker'lara atfediyor.

Kamuya açık özet kısa olduğundan bu yazı yalnızca bildirilenlerle sınırlı kalıyor ve konunun büyük kuruluşların ötesinde neden önemli olduğunu açıklıyor.

VMware ESX zero-day hakkında neler bildirildi

Raporda öne çıkan üç unsur var:

  • Bir VMware ESX zero-day açığı. Zero-day, bir düzeltme mevcut olmadan önce kötüye kullanılan bir açıktır. ESX bir hipervizördür; yani fiziksel bir sunucuda sanal makineleri çalıştıran yazılımdır. Rapora göre saldırganlar bu açığı izlerini gizlemek için kullandı; yani tespit edilmekten kaçınmalarına yardımcı oldu.
  • PHP2Shell açıkları. Bunlar, güvenlik duvarları üzerinde daha derin kontrol elde etmek için başka bir hatayla zincirlendi.
  • Fragnesia. PHP2Shell ile birleştirilen bu hata, saldırganların güvenlik duvarlarını "root"lamasına olanak tanıdı; bu da cihaz üzerinde en üst düzeyde kontrol elde etmek anlamına gelir.

Kaynak özeti, etkilenen sürümler veya yama durumu gibi daha fazla teknik ayrıntı vermiyor; bu nedenle okuyucular varsayımda bulunmak yerine ayrıntılar için satıcı danışma belgelerini kontrol etmelidir.

Saldırganlar neden güvenlik duvarlarının ve sanallaştırma sunucularının peşine düşüyor

Güvenlik duvarları ve hipervizörler ayrıcalıklı konumlarda bulunur. Bir güvenlik duvarı, bir ağ ile internet arasındaki trafiği görür ve kontrol eder. Bir hipervizör aynı anda birçok sistemi barındırır. Herhangi birinin ele geçirilmesi, saldırgına sıradan uç nokta güvenlik araçlarının genellikle göremediği bir gözlem noktası sağlar; bu da bu kampanyanın gizlilik temasıyla örtüşür.

Zincirleme aynı zamanda tekrar eden bir örüntüdür. Saldırganlar tek bir hataya güvenmek yerine, ilk erişimden tam kontrole geçmek için birkaçını birbirine bağlar. Benzer davranışları başka haberlerde de gördük; bunlar arasında Chrome ve Windows zero-day açıklarını zincirleyen Çinli UTA0565 hacker'ları ve Çin bağlantılı grupların zero-day açıklarını istismar etmek için yarıştığına dair Proofpoint raporu yer alıyor. Ortak nokta hız ve sabırdır: hızla istismar et, sonra sessiz kal.

Bu Sizin İçin Ne Anlama Geliyor

Çoğu ev kullanıcısı VMware ESX çalıştırmaz. Ancak birçok kişi bir yönlendiriciye veya güvenlik duvarına güvenir ve küçük işletmeler genellikle ağın kenarında bulunan güvenlik duvarı cihazları çalıştırır. Ele geçirilmiş bir kenar cihazı, üzerinden geçen trafiği (tarama etkinliği ve şifrelenmemiş veriler dahil) açığa çıkarabilir ve saldırganlar bunu diğer cihazlara ulaşmak için bir dayanak noktası olarak kullanabilir.

Bu panik yapmak için bir neden değil. Rapor hedefli bir kampanyayı tanımlıyor ve özette sıradan hanelerin hedef alındığına dair hiçbir şey yok. Ancak bu, ağınızı koruyan cihazın kendisinin zayıf nokta olabileceğine dair faydalı bir hatırlatmadır. Daha geniş devlet bağlantılı faaliyetler bireyleri de etkiledi; gazeteciler ve aktivistlere yönelik Çin destekli casusluk kampanyası örneğinde olduğu gibi, bu nedenle daha yüksek risk profiline sahip kişiler için temel hijyen önemlidir.

Bir VPN, cihazınız ile VPN sunucusu arasındaki trafiği şifreleyerek bir katman ekleyebilir ve bu da ele geçirilmiş bir yerel yönlendiricinin görebileceklerini sınırlar. Rootlanmış bir güvenlik duvarını düzeltmez ve yama uygulamanın yerini tutmaz.

Kendi yönlendiricinizde veya güvenlik duvarınızda neleri kontrol edebilirsiniz

  1. Bellenimi güncelleyin. En son sürüm için yönetim sayfasını veya üreticinin sitesini kontrol edin ve yükleyin.
  2. Cihazınız destekliyorsa otomatik güncellemeleri açın.
  3. Gerçekten ihtiyacınız yoksa uzaktan yönetimi devre dışı bırakın ve yönetim sayfalarını internete açmaktan kaçının.
  4. Varsayılan kimlik bilgilerini değiştirin ve güçlü, benzersiz bir yönetici parolası kullanın.
  5. Desteklenmeyen donanımı değiştirin. Artık güvenlik güncellemesi almayan cihazlar, yeni açıklar ortaya çıktığında düzeltilemez.
  6. Günlükleri ve ayarları gözden geçirin: tanıdık olmayan hesaplar, değiştirilmiş DNS ayarları veya beklenmeyen port yönlendirmeleri olup olmadığına bakın.
  7. VMware ESX veya benzeri altyapı çalıştırıyorsanız satıcının güvenlik danışma belgelerini takip edin ve yamaları derhal uygulayın.

Saldırganlar ayrıca işlerini ölçeklendirmek için otomasyonu giderek daha fazla kullanıyor; Hunt.io'nun Asya çapındaki saldırıları güçlendiren yapay zeka ajanlarına ilişkin bulguları bunu gösteriyor ve bu da zamanında yama uygulamayı daha az değil, daha önemli kılıyor.

Temel çıkarımlar

VMware ESX zero-day kampanyası, gizlilik ve zincirlemenin artık yetenekli saldırganlar için standart olduğunu ve kenar cihazların değerli hedefler olduğunu hatırlatıyor. Bir zero-day açığının var olup olmadığını kontrol edemezsiniz, ancak maruziyetinizi kısaltabilirsiniz: bellenimi güncel tutun, otomatik güncellemeleri etkinleştirin, uzaktan erişimi kilitleyin ve desteklenmeyen ekipmanları kullanımdan kaldırın. VPN'i birçok katmandan biri olarak görün. Bugün yönlendiricinizdeki veya güvenlik duvarınızdaki bellenim sürümünü kontrol ederek başlayın.