Akira Fidye Yazılımı, SonicWall Güvenlik Duvarlarını Hedef Almaya Başladı
Siber güvenlik şirketi Arctic Wolf’un tespitlerine göre, Akira fidye yazılım grubu temmuz ayının ortasından bu yana SonicWall güvenlik duvarlarına yönelik saldırılarını artırdı. Saldırıların arkasında henüz bilinmeyen bir güvenlik açığı olabileceği değerlendiriliyor.
Saldırılar, SSL VPN Üzerinden Yetkisiz Erişimle Başladı
Arctic Wolf Labs araştırmacıları, saldırganların SonicWall cihazlarına yetkisiz erişim sağlamak için SSL VPN bağlantılarını kullandığını gözlemledi. İlk saldırılar 15 Temmuz’da başladı. Güvenlik açığının sıfır gün zafiyeti olabileceği düşünülse de parolaya dayalı saldırılar da olasılıklar arasında değerlendiriliyor.
Araştırma ekibi, “Saldırılarda kullanılan erişim yöntemleri henüz kesinleşmedi. Güçlü bir sıfır gün zafiyeti ihtimali var fakat kaba kuvvet, sözlük tabanlı denemeler ve parolaların yeniden kullanımı gibi yöntemler de henüz elenmiş değil” açıklamasında bulundu.
Akira fidye yazılımı Mart 2023’te ortaya çıktı. O tarihten bu yana dünya genelinde 300’den fazla kurumu hedef aldı. Aralarında Nissan (Okyanusya ve Avustralya), Hitachi ve Stanford Üniversitesi gibi yüksek profilli kuruluşların da yer aldığı bu saldırılar, Akira’nın ne kadar organize hareket ettiğini ortaya koydu. FBI tarafından yayımlanan verilere göre, Nisan 2024 itibarıyla Akira grubu 250’den fazla kurbandan toplam 42 milyon dolardan fazla fidye aldı.
Saldırganların, VPN kimlik doğrulaması için sanal sunucular kullandığı tespit edildi. Bu girişimler genellikle veri merkezlerinden yapıldı. Oysa yasal VPN bağlantıları çoğunlukla ev tipi internet servis sağlayıcıları üzerinden gerçekleşiyor. Bu detay, güvenlik duvarlarında VPN erişiminin hangi IP aralıklarına açık olması gerektiğine dair yöneticilere uyarı niteliği taşıyor. Arctic Wolf araştırmacıları, saldırı tekniklerinin hâlâ araştırıldığını ve gelişmelerin savunma ekipleriyle paylaşılacağını belirtti.
Arctic Wolf’un raporu, SonicWall’un SMA 100 serisi cihazları için geçtiğimiz hafta yayımladığı kritik güvenlik uyarısının hemen ardından geldi. CVE-2025-40599 kodlu açık, yama uygulanmamış cihazlarda uzaktan kod çalıştırılmasına yol açabiliyor.
Şirket, bu açığın henüz aktif olarak kullanılmadığını belirtti. Fakat yöneticilerin cihazlarına yama uygulaması ve şüpheli erişimleri dikkatle incelemesi gerektiği vurgulandı. Google Tehdit İstihbarat Grubu (GTIG) tarafından paylaşılan bilgilerde, saldırganların yetkisiz girişlerle yeni OVERSTEP rootkit zararlısını yaydığı kaydedildi. SonicWall, SMA 100 serisi fiziksel ve sanal cihazları kullanan tüm müşterilere, GTIG raporundaki saldırı göstergelerini incelemeleri ve şüpheli durumlarda hemen SonicWall Destek birimiyle iletişime geçmeleri çağrısında bulundu.
