Yaygın olarak kullanılan web betik dili PHP'de tespit edilen iki kritik güvenlik açığı, 21 Ekim çarşamba günü yayımlanan yamalarla birlikte internet genelinde yoğun bir güvenlik çalışmasını başlattı. Sistem yöneticileri ve güvenlik ekipleri savunmasız web sitelerini ve uygulamaları belirleyerek güncellemeye çalışırken, saldırganlar da açıkların nasıl istismar edilebileceğini anlamak için yamaları tersine mühendislik yöntemleriyle incelemeye başladı.
Bazı hükümetler ve diğer kuruluşlar, yamaları uygulayana kadar hedef alınmamak için güncellemelerin yayımlanmasından önce önemli web sitelerini önlem olarak erişime kapattı. Ancak AWS'nin yeni araştırması, en az bir saldırganın açıkları bundan günler önce istismar etmeye çalıştığına işaret ediyor.
AWS'nin çarşamba akşamı yayımladığı araştırmaya göre, en az bir saldırgan PHP2Shell olarak adlandırılan güvenlik açıklarını 17 Ekim'de, kamuoyuna açıklanmalarından dört gün önce istismar etmeye çalıştı.
AWS analistleri, söz konusu girişimi çarşamba günü geçmiş kayıtları incelerken tespit etti. Saldırı girişimi, AWS'ye ait bir honeypot (araştırmacıların saldırı yöntemlerini ve eğilimlerini incelemesine yardımcı olan, kasıtlı olarak savunmasız bırakılmış bir web sunucusu veya başka bir dijital tuzak) üzerinde kaydedildi.
AWS'ye göre girişimin kaynağı, ticari bir anonimleştirme ağıyla bağlantılı bir IP adresiydi. Başka bir deyişle bu, bir proxy ağı ya da VPN anlamına geliyor.
AWS'nin Baş Bilgi Güvenliği Sorumlusu (CISO) CJ Moses, araştırma yazısında güvenlik açığına ilişkin bilgilerin henüz kamuoyuna açıklanmadığı dönemde anonimleştirilmiş bir IP adresinden honeypot sisteminin hedef alınmasının, faaliyetin bir tehdit aktörü tarafından yürütüldüğüne işaret ettiğini belirtti.
Moses, saldırganın güvenlik açığından yararlanmak için gerekli bilgileri kamuoyuna açıklanmadan önce nasıl elde ettiğinin ise belirsizliğini koruduğunu ekledi.
PHP Foundation İcra Direktörü Elizabeth Barron, WIRED'a yaptığı açıklamada, kuruluşun AWS araştırmasından yayımlanmadan önce haberdar olmadığını ve bulgular hakkında o aşamada paylaşabileceği bir yorum bulunmadığını söyledi.
Barron, sistemlerin güncellenmesinin kesinlikle zorunlu olduğu konusunda hemfikir olduklarını belirtirken, bildikleri kadarıyla başarılı bir uzaktan kod çalıştırma girişimi gerçekleşmediğini ifade etti.
PHP2Shell için kavram kanıtlama (PoC) niteliğindeki istismar kodları çarşamba günü kamuya açık şekilde ortaya çıkmaya başladı. Bunlardan bazıları, açıkların ABD Doğu Saati ile 10.00'da kamuoyuna açıklanmasından saatler önce ortaya çıkmış görünüyor.
AWS araştırmacılarına göre açıklamadan önceki saatlerde honeypot sistemleri, farklı hizmet sağlayıcılar üzerinden anonimleştirilmiş ve farklı amaçlara yönelmiş gibi görünen birden fazla saldırı girişiminin hedefi oldu. Araştırmacılar bunun muhtemelen birden fazla saldırganın faaliyette bulunduğuna işaret ettiğini belirtiyor.
CJ Moses, teknik incelemelerin sürdüğünü ve bu girişimlerden herhangi birinin gerçek sistemlerde başarılı olup olmayacağının henüz bilinmediğini belirtti. Bununla birlikte PHP2Shell açıklarının artık gerçek ortamlarda yaygın biçimde istismar edildiğini bildirdi.
17 Ekim'deki saldırı girişiminin nasıl gerçekleştiği ve nereden geldiği hâlâ belirsiz. Ancak AWS, bulguların güvenlik açıklarının koordineli biçimde kamuoyuna açıklanmasına yönelik süreçlerin daha hızlı ve gelişmiş hâle getirilmesi gerektiğini gösterdiğini vurguluyor.
Bu değerlendirmede, güvenlik açıklarının analizini hızlandırabilen ve teknik bilgisi daha sınırlı kişilerin hızla yeni istismar kodları geliştirmesine olanak tanıyan yapay zekâ araçlarının dünya genelinde erişilebilir olması önemli bir etken olarak gösteriliyor.
Moses'a göre güvenlik yamasının yayımlanmasıyla çalışır durumda bir istismar kodunun ortaya çıkması arasındaki süre, yapısal nedenlerle giderek kısalıyor.
Moses, geçmişte AWS'nin gözlemlediği istismarların büyük bölümünün, kamuya açık bir kavram kanıtlama kodunun yayımlanmasının ardından gerçekleştiğini aktarıyor. Az sayıdaki yetenekli saldırgan istismar kodlarını geliştirirken diğerleri bu kodların ortaya çıkmasını bekliyordu.
Moses, bu bağımlılığın zayıfladığını belirtiyor. Ona göre yapay zekâ destekli analiz, bir güvenlik yamasındaki değişikliklerin veya güvenlik duyurusunun çalışır bir istismar koduna dönüştürülmesini daha düşük maliyetli hâle getiriyor.
Moses, bunun sonucunda daha fazla saldırganın, güvenlik açığına ilişkin teknik ayrıntılar açıklandıktan sonraki saatler, hatta dakikalar içinde harekete geçebildiğine dikkat çekiyor.
Kaynak: WIRED
markasıdır.
Haber Gönder
Okuyucu Yorumları 0 yorum