GlobalProtect Portallarına Yönelik Saldırı Trafiği Kritik Seviyeye Ulaştı
Palo Alto Networks GlobalProtect giriş portallarına yönelen yoğun tarama trafiği siber güvenlik gündemini yeniden gerdi. GreyNoise tarafından paylaşılan son veriler saldırganların GlobalProtect oturum açma sayfalarına günler içerisinde olağanüstü ölçekte yüklenmeye başladığını ortaya koydu. Kurumun raporuna göre saldırı trafiği 14 kasım sonrasında hız kazandı. Trafik kısa sürede son 90 günün en yüksek seviyesine tırmandı.
Malicious Trafik Artışı Kurumsal Sistemleri Zorluyor
GreyNoise ekibi saldırganların GlobalProtect portallarını hedef alan çalışmalarında belirgin bir hızlanma olduğunu doğruladı. İncelemelere göre tarama trafiği 24 saat içinde 40 kat arttı. Ekip trafik artışını arka arkaya yürütülen geçmiş kampanyalarla ilişkilendiriyor. Ortaya çıkan tablo saldırganların belirli zaman aralıklarında yoğun bir çalışma yürüttüğünü gösteriyor.
Siber güvenlik uzmanları ekim ayında da benzer bir eğilim tespit etti. O dönem GlobalProtect ile PAN-OS profillerini tarayan IP adreslerinin sayısı 500 oranında yükselmişti. Bu adreslerin büyük çoğunluğu şüpheli olarak sınıflandırıldı. Nisan ayında ise 24.000 adresin saldırı odaklı tarama faaliyetlerine katıldığı doğrulanmıştı.
GreyNoise ekibi son saldırı kampanyasında kullanılan TCP/JA4t parmak izleri ile otonom sistem numaralarının önceki kampanyalardaki izlerle örtüştüğünü belirledi. Bu bulgu saldırıların aynı kümeler tarafından yönetildiğini düşündürüyor.
Veriler saldırıların yoğun biçimde AS200373 (3xK Tech GmbH) üzerinden yürütüldüğünü gösteriyor. Bu noktadaki adreslerin büyük kısmı Almanya kaynaklı görünüyor. Kanada’dan yönlendirilen adresler ikinci sırada yer alıyor. Saldırı trafiğini sürdüren bir diğer ağ ise AS208885 olarak kayda geçti.
Saldırgan gruplar 14 ile 19 kasım arasında GlobalProtect giriş sayfasına yönlendirilmiş 2.3 milyon oturum açma isteği oluşturdu. GlobalProtect’in */global-protect/login.esp yapısı doğrudan kullanıcı doğrulama sayfasını işaret ettiği için saldırganların denediği her oturum açma isteği yüksek risk barındırıyor. Trafiğin büyük bölümü Amerika Birleşik Devletleri, Meksika ile Pakistan’a yöneldi.
GreyNoise uzmanları tarama trafiğinin önemsenmesi gerektiğini belirtiyor. Uzmanlar bu artışların çoğu zaman yeni güvenlik açıklarının açıklanmasından hemen önce yaşandığını vurguluyor. Kurumun geçmiş verileri saldırı dalgalarının Palo Alto Networks ürünleri için açıklanan zafiyetlerle yüksek oranda ilişkili olduğunu ortaya koymuştu.
Yıl boyunca GlobalProtect platformunu etkileyen çeşitli açıklar gündeme geldi. Şubat ayında CVE-2025-0108 zafiyetinin istismar edildiği doğrulanmıştı. Bu açık daha sonra CVE-2025-0111 ile CVE-2024-9474 kodlu açıklarla zincirlendi. Eylül ayında ise Palo Alto Networks sistemlerinde yaşanan veri ihlali sonucunda müşteri kayıtları ile destek taleplerinin sızdırıldığı ortaya çıkmıştı.
Saldırı trafiğinin düzenli aralıklarla tırmanması kurumların VPN erişimlerini koruma konusunda daha dikkatli hareket etmesini gerektiriyor. Uzmanlar GlobalProtect portallarına yönelen deneme girişimlerinin arka planda yürütülen çok daha karmaşık hazırlık çalışmalarının ön işareti olabileceğini düşünüyor.
