Microsoft RDP Sunucularını Hedef Alan Tarama Faaliyetleri Artış Gösterdi
Siber güvenlik şirketi GreyNoise, Microsoft Remote Desktop Web Access ve RDP Web Client kimlik doğrulama portallarını hedef alan koordineli tarama faaliyetlerinde büyük bir artış tespit etti. Şirketin verilerine göre 1.971 farklı IP adresi aynı anda tarama yaptı. Normalde bu tür faaliyetlerde günlük yalnızca 3 ila 5 IP adresi gözlemleniyordu.
RDP Kullanıcı Adlarını Doğrulamaya Yönelik Açıklar Test Edildi
Araştırmacılar, saldırganların sistemlerin yanıt sürelerindeki küçük farkları kullanarak kullanıcı adlarını doğrulamaya çalıştığını belirtti. RDP’nin geçerli kullanıcı adıyla hatalı kullanıcı adı için farklı sürelerde yanıt vermesi, saldırganların doğru kullanıcı adlarını tahmin etmesine yol açabiliyor. Bu yöntem gelecekte parola deneme ya da parola sıfırlama saldırılarının önünü açabilir.
GreyNoise verilerine göre taramaya katılan 1.851 IP adresi aynı istemci imzasını paylaştı. Bunların yaklaşık yüzde 92’si daha önce kötü amaçlı olarak işaretlendi. IP adreslerinin büyük kısmı Brezilya kaynaklıydı. Hedef alınan sistemler ise çoğunlukla Amerika Birleşik Devletleri’nde yer aldı. Uzmanlar saldırıların tek bir botnet ya da ortak bir araç üzerinden yapılmış olabileceğini ifade etti.
GreyNoise araştırmacısı Noah Stone, saldırıların zamanlamasının tesadüf olmayabileceğini vurguladı. ABD’de okulların açıldığı dönemde üniversiteler ve K12 seviyesindeki kurumlar uzaktan erişim için RDP sistemlerini devreye alıyor. Bu kurumlar genellikle öngörülebilir kullanıcı adı formatları kullanıyor. Yeni hesapların yoğun şekilde açıldığı bu dönemde saldırganlar için daha verimli bir ortam oluşuyor.
Uzmanlar, saldırılardaki artışın yeni bir güvenlik açığının keşfiyle bağlantılı olabileceğine dikkat çekti. Daha önce de büyük trafik dalgalanmalarının yeni güvenlik açıklarının ortaya çıkmasından hemen önce yaşandığı görüldü. Güvenlik uzmanları, Windows yöneticilerinin RDP sistemlerini çok faktörlü kimlik doğrulamasıyla korumasını öneriyor. Ayrıca erişim noktalarının VPN arkasına alınması gerektiği belirtiliyor.
