ABD’de perakende, havacılık, taşımacılık ve sigorta sektörlerindeki şirketler, Scattered Spider adlı siber saldırı grubunun hedefi hâline geldi. Saldırganlar, özellikle VMware ESXi sanallaştırma altyapısını ele geçirerek tüm sistemlerin kontrolünü sağlayabiliyor.
VMware Yöneticileri ve Yedekleme Sistemleri Hedef Alınıyor
Google Tehdit İstihbarat Grubu’nun (GTIG) yayınladığı teknik rapora göre, Scattered Spider üyeleri herhangi bir güvenlik açığı kullanmıyor. Grup, saldırılarına sosyal mühendislik yöntemleriyle başlıyor. İlk adımda şirketin yardım masasına çalışan gibi ulaşarak Active Directory (AD) şifresinin sıfırlanmasını talep ediyor. Bu yöntemle sisteme düşük seviyede erişim sağlıyorlar.
Sisteme ilk erişimden sonra saldırganlar ağ üzerindeki cihazları tarayarak VMware vSphere yöneticilerinin isimlerini, güvenlik gruplarını ve ayrıcalıklı hesaplara ait bilgileri topluyor. Ardından, aynı yöntemle yardım masasına ikinci kez ulaşıp yüksek yetkili bir kullanıcıyı taklit ederek bir başka şifre sıfırlama işlemi gerçekleştiriyorlar.
Grubun asıl hedefi, şirketin VMware vCenter Server Appliance (vCSA) sistemine ulaşmak. Bu sistem, sanallaştırma altyapısını yöneten merkezî bir kontrol noktası olarak kullanılıyor. Saldırganlar buraya eriştikten sonra ESXi sunucularında SSH bağlantısını aktif hâle getirip root şifresini değiştiriyor.
Saldırganlar, Windows Etki Alanı Denetleyicisi’nde yer alan NTDS.dit adlı veritabanını ele geçirmek için “disk-swap” adı verilen bir yöntem kullanıyor. Bu yöntemle hedefteki sanal makine kapatılıyor ve diski saldırganların kontrol ettiği farklı bir sanal makineye bağlanıyor. Hassas veriler kopyalandıktan sonra sistem eski hâline döndürülüyor.
Sistemin kontrolünü tamamen ele geçiren grup, vCenter sunucusu üzerinden yedekleme makinelerine ulaşıp tüm yedekleri, anlık görüntüleri ve veri depolarını siliyor. Son aşamada ise SSH erişimi aracılığıyla fidye yazılımlarını dağıtarak tüm sanal makineleri şifreliyor. Google’a göre, saldırı süreci toplamda sadece birkaç saat içinde tamamlanabiliyor. Grubun kullandığı yöntemler geleneksel güvenlik önlemlerini aşarak, sanallaştırılmış altyapının tamamının ele geçirilmesine olanak tanıyor.
Scattered Spider grubunun 2023’te MGM Resorts’a düzenlediği saldırıyla benzerlik gösteren bu yöntemler, artık daha fazla fidye yazılımı grubu tarafından kullanılmaya başladı. GTIG, şirketlerin VMware altyapısını yeterince iyi tanımadığını ve bu nedenle gerekli savunmaları kuramadığını belirtiyor.
💡Google uzmanları, şirketlerin benzer saldırılara karşı üç temel alanda önlem alması gerektiğini belirtiyor:
- Sanallaştırma ortamlarını sıkı şekilde sınırla: SSH erişimini devre dışı bırak, execInstalledOnly özelliğini kullan, doğrudan AD bağlantılarından kaçın, yetkisiz VM’leri sil.
- Kimlik doğrulama ve erişim kontrolünü güçlendir: Kimlik avı karşıtı çok faktörlü kimlik doğrulama (MFA) kullan, Etki Alanı Denetleyicisi gibi kritik varlıkları izole et, yedekleme sistemlerini ayrı bir altyapıda barındır.
- Gözlem ve geri dönüş planı oluştur: Kayıtları merkezi SIEM sistemine yönlendir, vCenter girişleri ve SSH etkinleştirme gibi davranışlara karşı uyarılar kur, geri dönüş senaryolarını test et.
Scattered Spider, UNC3944, Octo Tempest ve 0ktapus adlarıyla da biliniyor. Grup, çalışanları taklit etmekte son derece başarılı ve doğru aksanla konuşarak yardım masalarını kandırabiliyor. İngiltere Ulusal Suç Ajansı’nın dört kişiyi gözaltına almasına rağmen grubun farklı kolları faaliyetlerine devam ediyor.
