ABD ve sekiz müttefik ülkesi, Rus devlet destekli siber saldırganların kritik altyapı ağlarındaki yönlendiricileri hedef aldığı konusunda ortaklaşa uyardı.
Ne oldu?
Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Ulusal Güvenlik Ajansı (NSA), FBI ve aralarında İngiltere, Kanada, Avustralya ile Yeni Zelanda'nın da bulunduğu sekiz müttefik ülkenin siber güvenlik kuruluşları, ortak bir siber savunma uyarısı yayınladı. Yayınlanan bu ortak bildiride, Rusya Federal Güvenlik Servisi'ne (FSB) bağlı "Center 16" (diğer adlarıyla Berserk Bear, Energetic Bear veya Dragonfly) adlı devlet destekli siber casusluk grubunun küresel ölçekte faaliyet gösterdiği belirtildi. Saldırganların özellikle internete açık, zayıf yapılandırılmış ya da güncellenmemiş yönlendiricileri (router) hedef alarak kritik altyapı ağlarına sızmaya çalıştığı aktarıldı. Bu operasyonlarda, ağ yönetim protokolü olan SNMP taramalarından ve Cisco Smart Install (SMI) gibi bilinen yazılım açıklarından yararlanıldığı ifade edildi.
Neden önemli?
Bu gelişme, siber savaş ve devlet düzeyindeki casusluk faaliyetlerinin ulaştığı boyutu göstermesi açısından kritik bir öneme sahiptir. Yönlendiriciler, ağların giriş kapısı konumunda oldukları için siber saldırganlar tarafından ele geçirildiklerinde tüm ağ trafiğinin izlenmesine, veri sızıntılarına ve ağın tamamen kontrol altına alınmasına olanak tanımaktadır. Rus devlet destekli hackerlar, ele geçirdikleri cihazların yapılandırma dosyalarını Basit Dosya Aktarım Protokolü (TFTP) aracılığıyla kendi sunucularına aktararak ağ haritalarını ve yönetici kimlik bilgilerini ele geçirmektedir.
Bu durum sadece anlık bir bilgi hırsızlığıyla sınırlı kalmamakta, aynı zamanda gelecekte yapılabilecek olası yıkıcı ve kesintiye uğratıcı siber saldırılar için ağların derinliklerinde kalıcı mevziler elde edilmesine yol açmaktadır. Kritik altyapıların hedef alınması, ulusal güvenlik tehditlerinin fiziksel dünyadaki enerji kesintilerine veya iletişim hatlarının felç olmasına kadar uzanabilecek tehlikeli sonuçlar doğurabileceğini göstermektedir.
Kim veya ne etkileniyor?
Bu siber tehdit kampanyasından doğrudan etkilenenler arasında enerji, telekomünikasyon, savunma sanayii, sağlık, finans ve devlet hizmetleri gibi kritik sektörlerde faaliyet gösteren kamu ve özel sektör kuruluşları yer almaktadır. Saldırıların temel hedefi ise bu kuruluşların sınırlarında yer alan ve internete doğrudan açık olan yönlendiriciler, anahtarlar (switches) ve diğer ağ geçidi donanımlarıdır. Özellikle zayıf veya varsayılan SNMP parolaları kullanan, CVE-2018-0171 kodlu Cisco Smart Install açığı gibi kritik zafiyetleri barındıran ve üretici desteği sona ermiş (EOL) eski donanımlara sahip tüm organizasyonlar bu aktif tehdidin doğrudan hedefi konumundadır.
Ne yapılmalı?
Tehdide karşı korunmak için ağ yöneticilerinin acilen "yönlendirici hijyeni" önlemlerini alması gerekmektedir. Bu kapsamda, Cisco Smart Install gibi kullanılmayan eski servislerin tamamen devre dışı bırakılması ve güvensiz SNMPv1/v2c protokolleri yerine güçlü şifreleme ve kimlik doğrulama sunan SNMPv3 sürümüne geçilmesi hayati önem taşımaktadır. Ayrıca varsayılan şifrelerin derhal karmaşık parolalarla değiştirilmesi, TFTP ve SNMP trafiğinin ağ sınırındaki güvenlik duvarlarında engellenmesi, cihazların güncel yamalarının düzenli olarak yapılması ve ömrünü tamamlamış donanımların modern sistemlerle değiştirilmesi gerekmektedir.
Kaynaklar:
- BleepingComputer
- CISA