Yeni Siber Tehdit: OP-512
Son günlerde siber güvenlik araştırmacıları, Microsoft Internet Information Services (IIS) sunucularını hedef alan ve henüz rapor edilmemiş olan OP-512 adlı bir tehdit kümesini keşfetti. Bu saldırılar, yüksek güvenle Çin ile bağlantılı casusluk faaliyetleri olarak değerlendirilmektedir.
Saldırı Nasıl Çalışıyor?
OP-512, saldırganlara uzaktan erişim sağlamak için üç web shell içeren özel bir çerçeve kullanıyor. Bu çerçeve, saldırganların yapılandırılmış bir sistemi kullanarak tespit edilmesini önleyen ve adli analiz sürelerini karmaşıklaştıran teknikler uygulamaktadır. Bu teknikler arasında zaman damgası manipülasyonu (timestomping) yer almaktadır. Bu teknik, web shell’lerin oluşturulma veya değiştirilme zamanlarını kasıtlı olarak manipüle ederek, uzun süredir sistemde bulunduğuna dair bir izlenim yaratır.
- OP-512’nin sunduğu avantajlar:
- Her dağıtım benzersiz olarak oluşturulmuştur.
- Erişim, kriptografik kontrol ile sınırlıdır.
- Tehlikeye atılan sunucular, merkezi yönetim için otomatik olarak geri bildirim sağlar.
Etkilenen Sistemler
Söz konusu saldırılarda, Windows Server 2016 üzerinde çalışan eski bir IIS sunucusuna yönelik saldırılar gözlemlenmiştir. Bu sunucunun, sonlandırılmış .NET Framework 4.0 sürümüne sahip olduğu ve daha önce başka bir saldırgan kontrolündeki alan adı üzerinden DNS sorguları gerçekleştirdiği tespit edilmiştir.
Çözüm ve Korunma
Siber güvenlik uzmanları, OP-512’nin özelliklerinin diğer tanınmış gruplardan farklı olduğunu belirtmektedir. Bu nedenle, saldırganların geliştirdiği stratejilere karşı önceden hazırlık yapmış organizasyonların bu tehditten korunması zor olabilir.
- Alınması gereken önlemler:
- Sunucu güncellemeleri ve yamaları düzenli olarak uygulayın.
- Güvenlik duvarlarınızı sıkılaştırarak internetten gelen bağlantıları kontrol edin.
- Eski ve desteklenmeyen yazılımları sistemden kaldırın.
Sistemlerinizi ve verilerinizi korumak adına, bu tehditler hakkında bilgi sahibi olmak ve gerekli önlemleri almak hayati önem taşımaktadır. Teknolojinizin güvenliğini sağlamak için derhal güncellemeleri kontrol edin ve gereksiz portları kapatın.
