Giriş
Çin merkezli bir siber casusluk grubu, Linux sistemlerini hedef alarak BRICKSTORM adlı bilinen bir arka kapının BSD varyantını ve PLENET (GRIMBOLT olarak da bilinir) ve AGENTPSD adlı diğer iki kötü amaçlı yazılım ailesini kullanarak saldırılar gerçekleştirmektedir. Bu olay, dikkatli bir şekilde sızma testleri yapılmadığında potansiyel tehlikeleri ortaya koyan önemli bir durumdur.
Saldırı Nasıl Çalışıyor?
Volexity tarafından “VerdantBamboo” olarak izlenen tehdit grubunun, Eylül 2025’te bir olay müdahale sürecinde, bir mağdurun Egnyte Storage Sync sistemini yerel ayrıcalık yükseltme zafiyetini istismar ederek ele geçirdiği tespit edilmiştir. Bu zafiyet, Storage Sync version 13.13 ile Mart 2026’da giderilmiştir.
Araştırmalar, tehdit aktörlerinin Egnyte Storage Sync cihazına, kurban organizasyonun web SSL VPN üzerinden atanmış IP adresleri aracılığıyla erişim sağladığını göstermiştir. Kötü amaçlı yazılım, kurbanın Microsoft 365 (M365) ortamına erişmek için proxy özelliklerini ve ele geçirilmiş kimlik bilgilerini kullanarak sızma yapmıştır.
Etkilenen Sistemler
Saldırı sırasında etkilenen sistemler şunlardır:
- BRICKSTORM: BSD varyantı.
- PLENET (GRIMBOLT): Çapraz platform arka kapı, .NET Core ile geliştirilmiştir.
- AGENTPSD: Muhtemel bir yedek olarak işlev görebilen Python tabanlı ters shell.
İlerleyen süreçte, tehdit aktörünün, kurban organizasyonun Yönetilen Hizmet Sağlayıcısı (MSP) olan pfSense firewall’unu ele geçirdiği ve saldırının bu yollarla gerçekleştirildiği anlaşılmıştır.
Çözüm ve Korunma
Bu tür siber saldırılara karşı alınabilecek önlemler ve önerilen adımlar şunlardır:
- Güncelleme : Tüm yazılımların güncel versiyonlarını kullanarak zafiyetleri kapatın.
- Güvenlik İhlalleri : Yönetilen Hizmet Sağlayıcı’nızın güvenliğini gözden geçirin.
- Port Kapatma : Gereksiz portları kapatın ve VPN erişim politikalarını güçlendirin.
- İzleme : Ağ trafiğini izlemek için gelişmiş güvenlik yazılımları ve EDR çözümleri uygulayın.
Sonuç olarak, kurban olmamak için organizasyonlar, baskınlara karşı kendilerini korumak adına gerekli güncellemeleri hemen gerçekleştirmelidir. Ayrıca, dış kaynaklı sistemlerin güvenliğini sağlamak kritik bir öneme sahiptir.
