Bulut Dosya Paylaşım Sistemleri Şirket Verisi Hırsızlığı İçin Hedef Alınıyor
Zestix adlı bir siber tehdit aktörü, onlarca şirketten çaldığı kurumsal verileri satışa çıkardı. Siber suç zekâsı şirketi Hudson Rock, bu verilere erişimin muhtemelen ShareFile, Nextcloud ve OwnCloud örneklerinin ihlal edilmesiyle elde edildiğini bildirdi. Saldırganların ilk erişimi, çalışan cihazlarına bulaşan bilgi hırsızı zararlı yazılımlar aracılığıyla toplanan kimlik bilgileriyle sağladığı düşünülüyor.
Bilgi Hırsızı Zararlı Yazılımlar İlk Erişim Kapısını Açıyor
Hudson Rock’un analizine göre, ilk erişim RedLine, Lumma ve Vidar gibi bilgi hırsızı zararlı yazılımlarla sağlandı. Bu zararlı yazılımlar genellikle kötü amaçlı reklam kampanyaları veya ClickFix saldırılarıyla yayılıyor. Yazılımlar, web tarayıcılarında saklanan kimlik bilgilerini, kredi kartı bilgilerini, kişisel verileri, mesajlaşma uygulamalarını ve kripto para cüzdanlarını hedef alıyor.
Geçerli kimlik bilgilerine sahip bir tehdit aktörü, çok faktörlü kimlik doğrulamasının (MFA) etkin olmadığı durumlarda dosya paylaşım platformları gibi hizmetlere yetkisiz erişim sağlayabiliyor. Hudson Rock, analiz edilen çalıntı kimlik bilgilerinden bazılarının suç veri tabanlarında yıllardır bulunduğunu belirtiyor. Bu durum, şirketlerin kimlik bilgilerini düzenli olarak değiştirmediğini veya uzun süreler sonra bile aktif oturumları geçersiz kılmadığını gösteriyor.
Siber güvenlik şirketinin raporuna göre Zestix, yeraltı forumlarında ilk erişim aracısı (IAB) olarak faaliyet gösteriyor. Saldırgan, havacılık, savunma, sağlık, kamu hizmetleri, toplu taşıma, telekomünikasyon, hukuk, gayrimenkul ve devlet kurumları da dahil olmak üzere çoklu sektörlerdeki kuruluşların kullandığı ShareFile, Nextcloud ve OwnCloud ortamlarına sızdı.
Saldırgan, bilgi hırsızı günlüklerini özellikle kurumsal bulut URL’leri (ShareFile, Nextcloud) arayarak taradı. MFA’nın aktif olmadığı durumlarda, geçerli kullanıcı adı ve şifre ile bu dosya paylaşım hizmetlerine giriş yaptı. Hudson Rock, kendi platformundaki bilgi hırsızı verilerini herkese açık görseller, meta veriler ve açık kaynak bilgilerle ilişkilendirerek olası ihlal noktalarını tespit etti.
Analiz edilen vakaların en az 15’inde, bulut dosya paylaşım hizmetleri için çalışan kimlik bilgilerinin bilgi hırsızları tarafından toplandığı görüldü. Bu doğrulamanın tek taraflı olduğunu ve listelenen şirketlerden herhangi bir güvenlik ihlali teyidi alınmadığını belirtmek önem taşıyor. Iberia bu duruma bir istisna olabilir ancak şirketin son açıklaması Hudson Rock’un bulgularıyla doğrudan bağlantılı olmayabilir.
Zestix, onlarca gigabayttan birkaç terabayta kadar değişen hacimlerde çalıntı veri satışı teklif ediyor. Satıcı, uçak bakım kılavuzları ve filo verileri, savunma ve mühendislik dosyaları, müşteri veri tabanları, sağlık kayıtları, toplu taşıma şemaları, kamu hizmeti LiDAR haritaları, ISS ağ yapılandırmaları, uydu proje verileri, ERP kaynak kodu, devlet sözleşmeleri ve hukuki belgeler içerdiğini iddia ediyor.
Çalındığı öne sürülen dosyaların birçoğu, kuruluşları güvenlik, gizlilik ve endüstriyel casusluk risklerine maruz bırakabilir. Açığa çıkan devlet sözleşmeleri ise ulusal güvenlik endişelerini artırabilir. Hudson Rock, Zestix’in “Sentap” takma adı altında sattığı ek 30 kurban daha tespit etti. Araştırmacılar bu seti aynı şekilde doğrulamadı.
Araştırmacılar, listelenen kurbanlara ek olarak tehdit zekâsı verilerinin bulut maruziyetinin daha geniş ve sistematik bir sorun olduğunu gösterdiğini bildirdi. Kuruluşların iyi güvenlik uygulamalarını takip etmemesinin bu soruna yol açtığı belirtildi. Deloitte, KPMG, Samsung, Honeywell ve Walmart’taki bazı bilgisayarlar da dahil olmak üzere binlerce bulaşmış bilgisayar tespit edildi.
Hudson Rock yaptığı açıklamada ShareFile’ı bilgilendirdiğini ve doğrulanan maruziyetler konusunda Nextcloud ve OwnCloud’u da uyaracağını belirtti. Şirketlerin uygun önlemleri alabilmesi için bu bildirimler kritik önem taşıyor.
