Microsoft, SharePoint Saldırısında Güvenlik Açıklarının Sızdırıldığından Şüpheleniyor
Microsoft, SharePoint yazılımındaki güvenlik açıklarının Çin bağlantılı siber saldırganlar tarafından kullanılmasının ardından, şirketin erken uyarı sisteminden kaynaklı bir sızıntı olup olmadığını araştırıyor. Soruşturma, güvenlik açığının kamuya açıklanmasından önce hack gruplarına bilgi sızdırılıp sızdırılmadığını anlamaya odaklanıyor.
Saldırılar Patch Yayınlanmadan Bir Gün Önce Gerçekleşti
Microsoft’un yıllardır uyguladığı Microsoft Active Protections Program (MAPP), güvenlik firmalarına yamalar yayınlanmadan kısa süre önce bilgi sağlıyor. Programın amacı, güvenlik açıklarının kamuoyuna duyurulmadan önce güvenlik yazılımlarının güncellenmesini sağlamak. Ancak son SharePoint saldırılarında yer alan açıkların, MAPP kapsamında önceden paylaşıldığı ortaya çıktı.
Trend Micro’nun bağlı olduğu Zero Day Initiative’in direktörü Dustin Childs, söz konusu güvenlik açıklarının MAPP üyeleriyle paylaşıldığını doğruladı. Microsoft’un, SharePoint saldırılarında sorumlu tuttuğu gruplar arasında Çin devleti destekli Linen Typhoon, Violet Typhoon ve Storm-2603 yer alıyor.
Vietnamlı güvenlik araştırmacısı Dinh Ho Anh Khoa, mayıs ayında Berlin’deki Pwn2Own etkinliğinde SharePoint’teki kritik açıkları keşfetti. Microsoft temsilcilerine teslim edilen detaylı rapor sonrasında şirket, yaklaşık 60 gün içinde bir yama geliştirdi. Yamaların 8 Temmuz’da yayımlanmasından yalnızca bir gün önce, hackerlar dünya genelindeki SharePoint sunucularına saldırı düzenledi.
Bu çakışma, bazı araştırmacılara göre oldukça şüpheli. Microsoft’un yamaları MAPP üyeleriyle 24 ila 120 saat önceden paylaştığı düşünüldüğünde, sızıntı ihtimali daha güçlü bir senaryo olarak değerlendiriliyor.
Microsoft’un MAPP programı daha önce de benzer iddialarla gündeme gelmişti. 2012 yılında Çin merkezli Hangzhou DPtech firmasının Windows’ta yer alan kritik bir açığı sızdırdığı öne sürülmüştü. Bu olay sonrası şirket programdan çıkarılmıştı. 2021’de Exchange sunucularını hedef alan saldırılarda da benzer bir senaryo yaşandı. Microsoft, iki Çinli MAPP ortağını sızıntıdan sorumlu tutmuş, ancak programda kapsamlı bir revizyona gidilip gidilmediğini açıklamamıştı.
Çin’deki yasalar, güvenlik açıklarını keşfeden şirketlerin 48 saat içinde bu bilgileri hükümete bildirmesini şart koşuyor. MAPP üyesi bazı Çinli firmalar aynı zamanda Çin Devleti’ne bağlı güvenlik veri tabanlarının da parçası. ETH Zürih Güvenlik Çalışmaları Merkezi’nden Eugenio Benincasa, Çinli firmaların Microsoft’a verdikleri sözlerle devletin talepleri arasında nasıl denge kurduğunun net olmadığını vurguluyor. Merkezi yapıdaki Çin güvenlik sistemi, bilgi paylaşımı konusunda şeffaflık sorunu yaratıyor.
Microsoft, yaşanan saldırıların ardından MAPP sistemini gözden geçireceğini belirtti. Şirketin açıklamasında, “Olayı standart prosedürlerimiz çerçevesinde inceleyeceğiz, iyileştirme alanlarını belirleyip gerekli adımları uygulayacağız” ifadelerine yer verildi.
Ancak siber güvenlik uzmanları, MAPP sisteminin sağladığı erken bilgilendirmenin, sızdırıldığında ciddi güvenlik açıklarına kapı aralayabileceği uyarısında bulunuyor. Programın geleceği, bu olayın ardından yeniden değerlendirme sürecine girmiş durumda.
