Auroralar binlerce yıldır mitlere ve alametlere ilham kaynağı olmuştur—ama ancak şimdi, modern teknolojinin elektriğe bağımlı olmasıyla, onların gerçek gücünü takdir ediyoruz. Auroralara neden olan aynı kuvvetler, boru hatları gibi elektriği ileten altyapıya zarar verebilecek akımlara da neden olur.

Şimdi bilim insanları yazıyor Astronomi ve Uzay Bilimlerinde Sınırlar Gezegenler arası şokların çarpma açısının akımların gücü açısından çok önemli olduğunu, tehlikeli şokları tahmin etme ve kritik altyapıları koruma fırsatı sunduğunu gösterdiler.

“Auroralar ve jeomanyetik olarak indüklenen akımlar benzer uzay hava durumu sürücülerinden kaynaklanır,” diye açıklıyor NASA’nın Goddard Uzay Uçuş Merkezi’nden Dr. Denny Oliveira, makalenin baş yazarı. “Aurora, uzaydaki elektrik akımlarının yerde bu jeomanyetik olarak indüklenen akımları üretebileceğini gösteren görsel bir uyarıdır.”

“Aurora bölgesi şiddetli jeomanyetik fırtınalar sırasında büyük ölçüde genişleyebilir,” diye ekledi. “Genellikle en güney sınırı 70 derece civarındadır, ancak aşırı olaylar sırasında 40 dereceye veya daha da düşebilir, ki bu kesinlikle Mayıs 2024 fırtınası sırasında meydana geldi – son yirmi yılın en şiddetli fırtınası.”

Işıklar, renk, aksiyon

Auroralar iki süreç sonucunda oluşur: Güneş’ten fırlatılan parçacıklar Dünya’nın manyetik alanına ulaşarak jeomanyetik fırtınaya neden olur veya gezegenler arası şoklar Dünya’nın manyetik alanını sıkıştırır.

Bu şoklar ayrıca jeomanyetik olarak indüklenen akımlar üretir ve bu da elektrik ileten altyapıya zarar verebilir. Daha güçlü gezegenler arası şoklar daha güçlü akımlar ve auroralar anlamına gelir; ancak sık, daha az güçlü şoklar da hasara yol açabilir.

Oliveira, “Muhtemelen, elektrik altyapısı üzerindeki en yoğun zararlı etkiler, Mart 1989’da şiddetli bir jeomanyetik fırtınanın ardından meydana geldi. Kanada’daki Hydro-Quebec sistemi yaklaşık dokuz saat boyunca kapatıldı ve milyonlarca insan elektriksiz kaldı,” dedi.

“Ancak gezegenler arası şoklar gibi daha zayıf, daha sık görülen olaylar zamanla toprak iletkenleri için tehdit oluşturabilir. Çalışmamız, şoklardan sonra önemli jeoelektrik akımların oldukça sık meydana geldiğini ve bunlara dikkat edilmesi gerektiğini gösteriyor.”

Dünya’ya açılı olarak değil de doğrudan çarpan şokların, manyetik alanı daha fazla sıkıştırdıkları için jeomanyetik olarak indüklenen daha güçlü akımlar indüklediği düşünülüyor. Bilim insanları, jeomanyetik olarak indüklenen akımların farklı açılarda ve günün farklı saatlerindeki şoklardan nasıl etkilendiğini araştırdı.

Bunu yapmak için gezegenler arası şokların bir veri tabanını aldılar ve bunu, aktif zamanlarda genellikle aurora bölgesinde olan Finlandiya’nın Mäntsälä kentindeki bir doğal gaz boru hattından gelen jeomanyetik olarak indüklenen akımların okumalarıyla çapraz referansladılar.

Bu şokların açı ve hız gibi özelliklerini hesaplamak için gezegenler arası manyetik alan ve güneş rüzgarı verilerini kullandılar. Şoklar üç gruba ayrıldı: yüksek eğimli şoklar, orta eğimli şoklar ve neredeyse cepheden şoklar.

Hücum açısı

Daha fazla cephe şokunun, hem şoktan hemen sonra hem de onu izleyen alt fırtına sırasında jeomanyetik olarak indüklenen akımlarda daha yüksek tepelere neden olduğunu buldular. Özellikle yoğun tepeler, kuzey kutbunun güneş ile Mäntsälä arasında olacağı manyetik gece yarısı civarında gerçekleşti. Bu zamandaki yerel alt fırtınalar da çarpıcı aurora parlaklığına neden olur.

Oliveira, “Orta şiddette akıntılar, Mäntsälä’nın yerel saatle alacakaranlıkta olduğu sırada, bozucu etkiden kısa bir süre sonra ortaya çıkarken, daha yoğun akıntılar yerel saatle gece yarısı civarında ortaya çıkıyor” dedi.

Bu şokların açıları çarpmadan iki saat öncesine kadar tahmin edilebildiğinden, bu bilgi bize en güçlü ve en doğrudan şoklar gelmeden önce elektrik şebekeleri ve diğer savunmasız altyapılar için koruma önlemleri alma olanağı sağlayabilir.

“Güç altyapısı operatörlerinin ekipmanlarını korumak için yapabilecekleri bir şey, şok uyarısı verildiğinde birkaç belirli elektrik devresini yönetmektir,” diye önerdi Oliveira. “Bu, jeomanyetik olarak indüklenen akımların ekipmanın ömrünü azaltmasını önleyecektir.”

Ancak bilim insanları bir şokun açısı ile çarpması ve ardından bir akım oluşturması için gereken zaman arasında güçlü bir korelasyon bulamadılar. Bunun nedeni, bu yönü araştırmak için farklı enlemlerdeki akımların daha fazla kaydına ihtiyaç duyulması olabilir.

Oliveira, “Mevcut veriler yalnızca belirli bir lokasyonda, yani Mäntsälä doğal gaz boru hattı sisteminde toplandı” uyarısında bulundu.

“Mäntsälä kritik bir konumda olmasına rağmen, dünya çapında bir resim sunmuyor. Ayrıca, Mäntsälä verileri araştırılan dönemde birkaç gün eksik, bu da şok veritabanımızdaki birçok olayı atmamıza neden oldu. Dünya çapındaki enerji şirketlerinin verilerini bilim insanlarının çalışmaları için erişilebilir hale getirmeleri güzel olurdu.”

Çin destekli siber casusluk grubu Volt Typhoon, saldırı altyapısını büyütmek için karmaşık ve gizli bir kampanyayla eski Cisco cihazlarını sistematik olarak hedef alıyor.

Çoğu durumda, kritik altyapıyı hedeflemesiyle bilinen tehdit aktörü, hedef cihazlara sızmak ve bunların kontrolünü ele geçirmek için yönlendiricilerdeki 2019’daki birkaç güvenlik açığından yararlanıyor.

ABD Kritik Altyapı Sektörlerini Hedefleme

SecurityScorecard’ın tehdit istihbarat ekibinden araştırmacılar, son satıcı ve ürünler üzerinde bazı takip araştırmaları yaparken bu etkinliği fark etti. medya raporları Volt Typhoon’un ABD’deki kritik altyapı kuruluşlarına sızması ve gelecekteki potansiyel kesintilere zemin hazırlaması hakkında. Saldırılar su hizmetlerini, enerji tedarikçilerini, ulaşımı ve iletişim sistemlerini hedef aldı. Grubun kurbanları arasında ABD, İngiltere ve Avustralya’daki kuruluşlar da yer alıyor.

Satıcı raporlarından biri, Lümenaşağıdakilerden oluşan bir botnet tanımladı: küçük ofis/ev ofisi (SOHO) yönlendiricileri Volt Typhoon’un ve diğer Çinli tehdit gruplarının yüksek değerli ağlara yönelik saldırılarda komuta ve kontrol (C2) ağı olarak kullandığı. Lumen’in raporda tanımladığı ağ esas olarak Cisco, DrayTek ve daha küçük bir ölçüde Netgear’ın kullanım ömrü sonu yönlendiricilerinden oluşuyor.

SecurityScorecard araştırmacıları, Volt Typhoon’un kampanyasıyla ilişkili yeni altyapıyı tespit edip edemeyeceklerini görmek için Lumen’in raporuyla birlikte yayınladığı güvenlik ihlali göstergelerini (IoC’ler) kullandı. soruşturma SecurityScorecard personel tehdit araştırmacısı Rob Ames, bu durumun tehdit grubunun faaliyetinin önceden düşünülenden daha kapsamlı olabileceğini gösterdiğini söylüyor.

Örneğin Volt Typhoon’un, SecurityScorecard’ın 37 günlük bir süre boyunca C2 botnet’inde gözlemlediği kullanım ömrü sonu Cisco RV320/325 yönlendiricilerin %30’unu (veya 1.116 adetten 325’ini) tehlikeye atmasından sorumlu olduğu görülüyor. Güvenlik sağlayıcısının araştırmacıları, 1 Aralık 2023 ile 7 Ocak 2024 tarihleri ​​arasında ele geçirilen Cisco cihazları ile bilinen Volt Typhoon altyapısı arasında düzenli bağlantılar gözlemledi ve bu da çok aktif bir operasyona işaret etti.

SecurityScorecard’ın araştırması ayrıca Volt Typhoon’un, grubun şu anda hedeflediği Cisco yönlendiricileri ve diğer ağ uç cihazları üzerinde şimdiye kadar bilinmeyen bir Web kabuğu olan “fy.sh”yi dağıttığını da gösterdi. Ayrıca SecurityScorecard, Volt Typhoon etkinliğiyle bağlantılı görünen birden fazla yeni IP adresini tespit edebildi.

Ames, “SecurityScorecard, gözlemlediğimiz yeni tehlikeye atılmış cihazları, daha önce belirtilmemiş web kabuğunu (fy.sh) ve yeni IoC’leri temsil edebilecek diğer IP adreslerini tanımlamak için Volt Typhoon’a bağlı önceden dolaşan IoC’leri kullandı” diyor.

Karada Yaşayan Siber Saldırılar

Volt Tayfunu bir tehdit grubudur ABD Siber Güvenlik ve Altyapı Ajansı (CISA) kendisini ABD’nin kritik altyapı sektörlerini hedef alan, devlet destekli bir Çin tehdit aktörü olarak tanımlıyor. MicrosoftGrup hakkında Mayıs 2023’te ilk rapor veren kişi, grubun en az Mayıs 2021’den beri aktif olduğunu, Çin merkezli olduğunu ve bir dizi arazide yaşama tekniği kullanarak büyük ölçekli siber casusluk yürüttüğünü açıkladı. Şirket, grubun gelecekteki potansiyel çatışmalar sırasında ABD ile Asya arasındaki kritik iletişim yeteneklerini bozacak yetenekler geliştirdiğini değerlendirdi.

Ames, Volt Typhoon’un veri aktarımı için güvenliği ihlal edilmiş yönlendiriciler kullanmasının, grubun gizliliğe olan bağlılığının bir göstergesi olduğunu söylüyor.

“Grup, ele geçirilen yönlendiricilerle aynı bölgedeki kuruluşları hedeflerken coğrafi temelli tespitten kaçınmak için trafiğini sıklıkla bu cihazlar üzerinden yönlendiriyor” diyor. “İlgili trafiğin kuruluşun bulunduğu bölgeden kaynaklandığı görülüyorsa, bu kuruluşların kötü niyetli faaliyetleri fark etme olasılıkları daha düşük olabilir.”

Savunmasız Kullanım Ömrü Sonu Ekipmanların Siber Hedeflenmesi

Ames, Volt Typhoon’un ömrünü tamamlamış cihazları hedeflemesinin de saldırganın bakış açısına göre oldukça anlamlı olduğunu söylüyor. Volt Typhoon’un hedeflediği Cisco RV320 yönlendiricileriyle ilişkili, CVSS ölçeğinde ciddiyet derecesi en az 10 üzerinden 9 olan (CISA’nın Bilinen İstismara Uğrayan Güvenlik Açıkları kataloğunda yer alan ikisi dahil) yaklaşık 35 bilinen kritik güvenlik açığı bulunmaktadır. Cisco, üç yıl önce Ocak 2021’de teknoloji için herhangi bir hata düzeltmesi, bakım sürümü ve onarım yayınlamayı durdurdu. Volt Typhoon bağlantılı botnet, Cisco cihazlarına ek olarak güvenliği ihlal edilmiş eski DrayTek Vigor ve Netgear ProSafe yönlendiricilerini de içeriyor.

Ames, “Cihazların kendileri açısından bakıldığında, bunlar alçakta asılı kalan meyvelerdir” diyor. “‘Kullanım ömrü sonu’, cihaz üreticilerinin artık onlar için güncelleme yayınlamayacağı anlamına geldiğinden, onları etkileyen güvenlik açıklarının giderilmemesi muhtemeldir ve bu da cihazları tehlikeye açık hale getirir.”

Critical Start’ta siber tehdit araştırmasından sorumlu kıdemli yönetici Callie Guenther, Volt Typhoon’un ömrünü tamamlamış Cisco yönlendiricilerini stratejik hedeflemesinin, fy.sh gibi özel araçlar geliştirmesinin ve coğrafi ve sektörel hedeflemesinin son derece karmaşık bir operasyona işaret ettiğini söylüyor.

Günther, “Eski sistemlere odaklanmak, tehdit aktörleri arasında yaygın bir taktik değil; çünkü eski sistemler ve bunların güvenlik açıkları hakkında geniş çapta bilinmeyen veya belgelenmeyen özel bilgiler gerektiriyor” diyor. “Ancak bu, özellikle kapsamlı keşif yapmak ve özel istismarlar geliştirmek için gerekli kaynaklara ve motivasyona sahip devlet destekli aktörler arasında büyüyen bir trend.”

Örnek olarak, sözde tehditleri hedef alan birden fazla tehdit aktörüne işaret ediyor. Ripple20 güvenlik açıkları Milyonlarca eski IoT cihazını etkileyen bir TCP/IP yığınının yanı sıra eski VPN ürünlerindeki kusurları hedef alan Çinli ve İranlı tehdit gruplarında.