Çalışan İzleme Yazılımları Kurumsal Ağlarda Yeni Nesil Saldırı Yöntemlerine Zemin Hazırlıyor
Siber güvenlik araştırmaları, çalışan izleme yazılımlarının artık yalnızca verimlilik amacıyla değil, aynı zamanda saldırganlar tarafından da kullanılan bir araç hâline geldiğini ortaya koyuyor. Uzmanlar, fidye yazılımı gruplarının meşru uygulamaları istismar ederek ağlara sızdığını ve bu yöntemle güvenlik sistemlerini aşabildiğini bildiriyor. Son olaylar, çalışan izleme yazılımları kaynaklı tehditlerin kurumlar için ciddi risk oluşturduğunu gösteriyor.
Güvenlik Araştırmaları Meşru Yazılımların Saldırı Aracına Dönüştüğünü Gösteriyor
Huntress tarafından paylaşılan teknik analizler, saldırganların çalışan izleme yazılımları üzerinden kalıcı erişim sağladığını ortaya koyuyor. Araştırmacılar, tehdit aktörlerinin personel takip amacıyla kullanılan Net Monitor for Employees Professional yazılımını uzaktan erişim kanalı olarak yapılandırdığını tespit ediyor. Yazılımın geliştiricisi olan NetworkLookout, ürünün ticari amaçla kullanıldığını belirtse de saldırganların özellikleri kötüye çevirdiği görülüyor.
Uzmanlar, çalışan izleme yazılımı istismarı sayesinde saldırganların ağ trafiği içinde gizlenebildiğini ve güvenlik ekiplerinin bu faaliyetleri normal kullanım sanabildiğini değerlendiriyor.
Araştırmacılar, saldırı zincirinde uzaktan destek platformu olan SimpleHelp yazılımının da yer aldığını bildiriyor. Tehdit aktörleri, Net Monitor üzerinden erişim sağladıktan sonra SimpleHelp’i ikinci bir kanal olarak kuruyor. Bu yaklaşım, uzaktan erişim araçları kötüye kullanımı konusunda yeni bir örnek oluşturuyor. Güvenlik ekipleri, bu yapı sayesinde saldırganların komut çalıştırabildiğini, dosya aktarımı yapabildiğini ve ek zararlı bileşenleri sisteme yerleştirebildiğini aktarıyor.
Analizler, saldırganların nihai amacının fidye yazılımı yayılım yöntemi kapsamında ağ genelinde şifreleme yapmak olduğunu gösteriyor. Olaylarda, Crazy adlı fidye yazılımının farklı sürümlerinin sisteme yüklenmeye çalışıldığı bildiriliyor. Crazy ransomware olarak bilinen zararlı yazılımın, güvenlik kontrolleri nedeniyle bu vakalarda çalıştırılamadığı ifade ediliyor. Araştırmacılar, saldırganların önce keşif faaliyetleri yürüttüğünü, ardından kullanıcı hesaplarını incelediğini ve yetki artırmaya yönelik girişimlerde bulunduğunu aktarıyor.
İkinci vakada, SimpleHelp zararlı kullanım örnekleri dikkat çekiyor. Yazılımın belirli anahtar kelimeleri izleyecek şekilde yapılandırıldığı ve kripto para cüzdanları, borsalar ve ödeme platformlarına yönelik terimlerin önceliklendirildiği görülüyor. Uzmanlar, bu durumun saldırıların doğrudan finansal kazanç hedeflediğini düşündürdüğünü belirtiyor.
Güvenlik uzmanları, uzaktan erişim servisleri ve yönetici hesapları için çok faktörlü kimlik doğrulamanın zorunlu hâle getirilmesini öneriyor. Ağ segmentasyonu, düzenli yama yönetimi ve üçüncü taraf yazılımların denetlenmesi kritik adımlar arasında yer alıyor. Uzmanlar, çalışan izleme yazılımları kullanan kurumların bu araçları yalnızca yetkili sistemlerde çalıştırması ve olağan dışı kullanım senaryolarını yakından izlemesi gerektiğini vurguluyor.
