Devlet Destekli HAFNIUM Exchange Sunucularının Başına Dert Oldu
Microsoft, 2 Mart tarihinde Microsoft Exchange sunucularını etkileyen ve daha önce keşfedilmemiş bir dizi güvenlik açığına dair bulgularını kamuoyuyla paylaştı. Keşfedilen güvenlik açıklarının, arkasında devlet desteği olduğuna inanılan HAFNIUM tehdit grubu tarafından aktif olarak istismar edildiği ortaya çıktı.
Microsoft, Microsoft Exchange Server 2013, 2016 ve 2019 sürümlerini etkileyen güvenlik açıklarını kapatmak için hızla yama yayınlarken, Amerikan Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) kurumları şirket içi Exchange sunucularını bir an önce yamalamaya ve saldırıya dair izler için ağ taraması yapmaya çağıran bir acil durum yönergesi yayınladı.
Sophos konuyu yakından takip ediyor ve bu tehdidi ortadan kaldırmak için bulgularını düzenli olarak paylaşıyor.
Konuyla ilgili hazırladığınız haberlere destek olması açısından, Sophos Yönetilen Tehdit İstihbaratı Kıdemli Direktörü Mat Gangwer’in yorumlarını sizlerle paylaşıyoruz.
Söz konusu güvenlik açıkları, potansiyel saldırganların herhangi bir kimlik bilgisine ihtiyaç duymadan Exchange sunucularında uzaktan komut çalıştırabilmesine izin veriyor. Bu durum son derece önemli ve ciddiye alınması gereken bir konu. Microsoft Exchange’in yaygın kullanımı ve internete açık yapısı, şirket içi Exchange sunucusu çalıştıran birçok kuruluşun risk altında olabileceği anlamını taşıyor.
Saldırganlar, öncelikli teknik olarak web shell konuşlandırması yoluyla bu güvenlik açıklarını aktif olarak kullanıyor. Bu konuşlandırma keşfedilmediği sürece sunucular siber saldırganların her türden manipülasyonuna açık hale geliyor.
Şirket içi Exchange sunucusu çalıştıran kuruluşların, bu tehditten etkilendiklerini varsayarak tüm Exchange yamalarını ve güncellemelerini bir an önce yüklemesi gerekiyor. Ancak bu yamaları uygulamak, yama işlemi öncesi yapılan olası saldırıların neden olduğu potansiyel hasarı ortadan kaldırmak için yeterli değil. Bu nedenle saldırganların Exchange sunucularını istismar etmiş olabileceğine dair işaretleri yakın takibe almalısınız.
Şu anda bilinen güvenlik ihlal göstergelerinin çoğu web shell tabanlı olduğundan, Exchange sunucusunda dosya kalıntıları olacaktır. Halihazırda yüklü bir Uç Nokta Tehdit Algılama ve Yanıt (EDR) çözümünüz varsa, değiştirilen dosyalara ve yürütülen komutlara dair kayıtları inceleyebilirsiniz.
Sophos Yönetilen Tehdit Müdahalesi ekibi, keşfedilen bu yeni tehdide karşı tespit ve savunmayı iyileştirmek adına kullanılabilecek uzlaşma göstergelerini ortaya çıkarmak için müşteri ortamlarını aktif olarak araştırıyor. 7/24 olay müdahale ekibimiz, saldırıya uğradığına inanan kuruluşlara destek veriyor.
Tüm bu çabalar, bu önemli tehditlere karşı nasıl korunacağımıza dair daha fazla bilgi toplamamıza yardımcı olacak.”
Mat Gangwer, Sophos Yönetilen Tehdit İstihbaratı Kıdemli Direktörü
Sophos’un konuya dair yeni bulgularla sürekli güncellediği makalesine göz atmak için Sophos News adresini ziyaret edebilirsiniz.
