Siber güvenlik araştırmacıları, Akira fidye yazılımı saldırılarının SonicWall SSL VPN cihazlarını hedef almaya devam ettiğini açıkladı. Saldırganların tek seferlik parola (OTP) ile korunan çok faktörlü kimlik doğrulama (MFA) etkin olsa bile oturum açmayı başardığı tespit edildi.
MFA Korumalı Hesaplar Ele Geçirildi
Arctic Wolf tarafından yayımlanan rapora göre saldırganlar, hesap girişlerinde birden fazla OTP isteğini aşarak başarıyla erişim sağladı. Araştırmacılar, saldırıların daha önce ele geçirilmiş OTP anahtarlarıyla yapılmış olabileceğini değerlendiriyor. Kesin yöntem henüz doğrulanmasa da saldırıların CVE-2024-40766 kodlu erişim kontrol zafiyetiyle ilişkili olduğu düşünülüyor.
SonicWall, söz konusu açığın 2024 ağustos ayında kapatıldığını belirtmişti. Ancak saldırganların, güncelleme yapılmadan önce ele geçirdiği kimlik bilgilerini hâlâ kullanabildiği ortaya çıktı. Bu nedenle cihaz yazılımı güncellenmiş olsa bile saldırganların çalınmış hesaplarla erişim sağladığı bildirildi.
Google Tehdit İstihbarat Grubu da temmuz ayında benzer bir saldırı raporu paylaşmıştı. O raporda saldırganların, SonicWall cihazlarından daha önce elde edilen OTP anahtarlarını kullanarak güvenlik güncellemelerinden sonra bile sisteme giriş yapabildiği belirtilmişti. Google, bu saldırıları finansal amaçlı UNC6148 grubuyla ilişkilendirmişti.
Arctic Wolf’un gözlemlerine göre saldırganlar, erişim sağladıktan sonra ilk beş dakika içinde iç ağda keşif faaliyetlerine başladı. Kullanılan yöntemler arasında SMB oturum açma denemeleri, RDP bağlantıları ve Active Directory üzerinde yetki toplama araçları yer aldı. Saldırganların ayrıca yedekleme sunucularını hedef alarak veritabanı kimlik bilgilerini ele geçirdiği ifade edildi.
Saldırılarda, Microsoft’un meşru consent.exe uygulaması kötüye kullanılarak zararlı sürücüler yüklendi. Bu yöntemle güvenlik yazılımları devre dışı bırakıldı ve fidye yazılımı dosyaları şifreleme işlemini engellenmeden gerçekleştirdi.
SonicWall, risk altındaki cihazların yöneticilerine tüm VPN kimlik bilgilerinin sıfırlanmasını tavsiye ediyor. Şirket, cihazların en güncel SonicOS yazılımını kullanmasının önemini vurguluyor. Araştırmacılar, daha önce savunmasız sürümler çalıştıran cihazların güncelleme yapılmış olsa bile saldırganlar tarafından hâlâ hedef alınabileceğini hatırlatıyor.
