Amazon Rus Bağlantılı Hackerların Yanlış Yapılandırılmış AWS Cihazlarını Yıllarca Hedef Aldığını Açıkladı
Amazon, Batılı ülkelerde Amazon Web Services üzerinde barındırılan bazı müşteri cihazlarına yönelik uzun soluklu bir siber saldırı kampanyasını ortaya çıkardı. Şirketin tehdit istihbaratı ekibi, bu faaliyetlerin Rusya askerî istihbaratı GRU ile ilişkilendirilen Sandworm adlı hacker grubuna uzandığını açıkladı.
Hatalı Yapılandırma Siber Saldırıların Anahtarını Açtı
Amazon’un paylaştığı bilgilere göre saldırılar, doğrudan AWS altyapısını değil, müşterilerin kendi yönettiği ve yanlış yapılandırdığı ağ uç cihazlarını hedef aldı. Kampanyanın en az 2021 yılından bu yana sürdüğü belirtildi.
Amazon Bilgi Güvenliği Direktörü CJ Moses, 15 aralık tarihli analizinde bu süreci “kritik altyapılara yönelik saldırılarda önemli bir yöntem değişimi” olarak tanımladı. Daha önce FBI Siber Birimi’nde görev yapan Moses, saldırganların yazılım açıkları yerine hatalı yapılandırılmış müşteri cihazlarını başlangıç noktası olarak kullandığını ifade etti.
Saldırganlar, bulut ortamına bağlı yönlendiriciler, ağ geçitleri ve benzeri ağ cihazlarını tespit etti. Bu cihazlar, kullanıcılar tarafından yanlış ayarlandığı için ek bir zararlı yazılım ya da sıfır gün açığı gerektirmeden erişim sağladı. Erişim sonrası aşamada ise kimlik bilgisi toplama ve ağ içinde yatay hareketler gerçekleştirildi.
Amazon’un analizine göre hedef alınan sistemlerin çoğu güncel ve yamalı durumdaydı. Sorun, güvenlik güncellemesi eksikliğinden değil, yapılandırma hatalarından kaynaklandı. Ağ uç cihazları, kurum içi sistemler ile bulut altyapısı arasında köprü görevi gördüğü için saldırganlar açısından kritik giriş noktaları oluşturdu.
Amazon, Sandworm ile ilişkilendirilen aktörlerin bu yöntemi yıllar boyunca tekrar tekrar kullandığını aktardı. Şirket, saldırıların özellikle Kuzey Amerika ile Avrupa’daki enerji sektörü başta olmak üzere kritik altyapıları hedef aldığını belirtti.
Güvenlik uzmanları, bu tür saldırıların tespit edilmesini zorlaştırdığı görüşünde birleşiyor. Saldırganlar, meşru bağlantılar ve geçerli kimlik bilgileri kullandığı için faaliyetler uzun süre fark edilmeyebiliyor. Amazon, yalnızca düzenli güncellemenin yeterli olmadığını, doğru yapılandırma standartlarının da zorunlu olduğunu vurguluyor. Amazon ayrıca ayrı bir açıklamada, Kuzey Kore bağlantılı bazı grupların da geniş çaplı siber operasyon girişimlerinin tespit edildiğini paylaştı.
