Son yıllarda, Docker gibi konteyner teknolojilerinin kullanımı hızla artmıştır. Ancak, bu artış beraberinde siber güvenlik tehditlerini de getirmiştir. Özellikle, yanlış yapılandırılmış Docker API’leri ve konteyner kurulumları, siber saldırganların hedefi haline gelmiştir. Bu noktada, konteyner teknolojilerinin güvenliğini sağlamak için yapılması gerekenler büyük önem taşımaktadır.

Cryptojacking: Yeni Bir Tehdit

Cryptojacking, siber suçluların başkalarının bilgisayar kaynaklarını izinsiz kullanarak kripto para madenciliği yapmasını ifade eden bir terimdir. Bu tür saldırılar, genellikle yanlış yapılandırılmış sistemler üzerinden gerçekleştirilir. Saldırganlar, Tor anonimlik ağı aracılığıyla bu faaliyetlerini gizleyerek, madencilik yazılımlarını kurarlar. Bu teknik, onları tespit edilmekten korumak amacıyla kullanılmaktadır.

Bir araştırma, saldırganların genellikle IP adresi üzerinden konteyner listesi talep ettikten sonra eğer sistemde bir konteyner yoksa, yeni bir Docker konteyneri oluşturduğunu ortaya koymaktadır. Bu yeni konteyner, ana makinenin kök dizinini volum olarak bağlayarak, sistem üzerinde tehlikeli değişiklikler yapılmasına olanak tanır. Böyle bir durum, konteynerden ana sisteme sızma riski taşımaktadır.

Saldırı Yöntemleri ve Araçlar

Saldırganlar, sürekli olarak Docker konteynerlerinin içinden çeşitli yetkisiz işlemler gerçekleştirmektedir. İlk olarak, Base64 ile kodlanmış bir kabuk betiği çalıştırarak Tor kurulumunu tamamlarlar. Bu noktada dikkat çeken bir diğer konu ise, saldırının gerçekleştirilmesi sırasında .onion alanından uzaktan bir betik indirip çalıştırma işleminin yapılmasıdır. Böylece, saldırganların komut ve kontrol (C&C) altyapısını gizleme kabiliyeti artmaktadır.

Ek olarak, saldırganlar SSH yapılandırmasını değiştirmekte ve uzaktan erişim sağlamak amacıyla, sistemin authorized_keys dosyasına kendi SSH anahtarlarını eklemektedir. Bu tür eylemler, kurban sistem üzerinde tam yetkilere sahip olmalarına olanak tanır.

Kritik Araçlar ve Etkileri

Cryptojacking saldırıları sırasında sıklıkla kullanılan bazı araçlar arasında masscan, libpcap, zstd ve torsocks bulunmaktadır. Bu araçlar, saldırganlara bilgi toplama ve kontrol sağlama noktasında yardımcı olmaktadır. Özellikle, bu tür bir saldırının sonucunda XMRig kripto para madencilik yazılımı, sistemde kurularak gizlice madencilik yapılmasına imkan tanır.

Trend Micro’nun araştırmaları, bu tür saldırıların özellikle teknoloji şirketleri, finans hizmetleri ve sağlık kuruluşlarına yönelik olduğunu göstermektedir. Bu durum, bulut hizmetlerinin yanlış yapılandırılmış olmasının siber güvenlik açısından ne kadar önemli bir risk oluşturduğunu ortaya koymaktadır.

Tehditlerin Artışı ve Önlemler

Saldırganlar, bulut altyapılarındaki zayıflıkları değerlendirerek çeşitli saldırılar gerçekleştirmekte ve bu durum, genel güvenlik algısını olumsuz etkilemektedir. Bu bağlamda, bulut güvenliği firmaları sık sık yapılan incelemelerde, mcp.json, .env ve diğer yapılandırma dosyalarında geçerli gizli anahtarlar bulmaktadır. Bu durum, siber suçlular için altın yumurta niteliğinde bir kaynak oluşturmaktadır.

Araştırmacıların belirttiğine göre, bu tür bilgilerin, bir geliştiricinin kuruluşu ile ilişkilendirildiğinde saldırganlar için önemli keşif bilgileri sağlayabilir. Dolayısıyla, bu dosyaların güvenliği sağlanmadığı takdirde büyük kayıplar yaşanabilir.

Sonuç ve Yapılması Gerekenler

Gelişen siber tehditler, her geçen gün daha ciddi bir hal almaktadır. Docker gibi bulut teknolojilerinde yapılan eksiklikler, saldırganların işine yaramaktadır. Bu bağlamda, tüm kullanıcıların ve şirketlerin, bulut güvenlik önlemlerini artırmaları, düzenli olarak sistemlerini denetlemeleri ve gerekli güvenlik güncellemelerini yapmaları gerekmektedir.

Sonuç olarak, teknolojinin gelişimi ile birlikte tetiklenen bu yeni tehditler, dikkatli bir gözlem ve sağlam bir güvenlik stratejisi gerektirmektedir. Bu tür önlemler, organizasyonların siber güvenlik açıklarını kapatmalarına yardımcı olabilir. Unutulmamalıdır ki, siber güvenlik sadece bir teknik sorun değil, aynı zamanda bir stratejidir.

Güncel Siber Güvenlik Haberleri – 1

Son günlerde, siber güvenlik araştırmacıları, halka açık erişime sahip DevOps web sunucularını hedef alan yeni bir kripto hırsızlığı kampanyası keşfetmiş bulunmaktadır. Özellikle Docker, Gitea ve HashiCorp Nomad ile ilişkili sunucuların tehdit altında olduğunu belirtelim. Cloud güvenlik firması Wiz, bu etkinliği JINX-0132 adı altında takip etmektedir. Araştırmacılar, kötü niyetli aktörlerin, bilinen konfigürasyon hataları ve zafiyetleri kullandığını ifade etmektedir.

Nomad Yanlış Konfigürasyonları ve Tehditler

Wiz’in raporuna göre, JINX-0132 kampanyası, Nomad konfigürasyonlarını kötüye kullanarak madencilik yazılımını yaymayı başarmaktadır. Araştırmacılar Gili Tikochinski, Danielle Aminov ve Merav Bar, Nomad’ın kötü konfigürasyonlarının ilk kez bu kadar açık bir şekilde saldırı vektörü olarak kullanıldığını belirtmişlerdir.

Bu saldırılarda dikkat çeken bir diğer husus, kötü niyetli aktörlerin gerekli araçları doğrudan GitHub havuzlarından indirerek, kendi altyapılarını kullanmaktan kaçınmalarıdır. Bu, sorumluluk bulmayı zorlaştırıcı bir taktik olarak değerlendirilmektedir. Nomad, yüzlerce istemciyi yöneten sistemlerin CPU ve RAM kaynaklarını kullanarak on binlerce dolara mal olabilecek bir güç kaynağına dönüşmektedir.

Docker API Kullanımının Tehlikeleri

Docker API’sinin kötüye kullanımı, bu tür saldırılar için yaygın bir başlangıç noktasıdır. Kaspersky, geçtiğimiz hafta, yanlış yapılandırılmış Docker API örneği hedef alan tehdit aktörlerinin bulunmuş olduğunu bildirmiştir. Açık Docker API örnekleri, tehdit aktörlerinin kötü niyetli kod çalıştırmasına olanak tanır. SATA kodlarıyla standart Docker uç noktalarını kullanarak madencilik yapmalarına zemin hazırlamaktadır.

Wiz’in raporuna göre, saldırganlar ayrıca Gitea’da bir zafiyet veya yanlış yapılandırmadan yararlanarak hedefte bir ilk adım elde etmektedir. Özellikle, kamuya açık Gitea örneklerinin, var olan bir kullanıcının git hook‘ları oluşturma izinlerine sahip olması durumunda, uzaktan kod çalıştırma saldırısına karşı savunmasız olduğu belirlenmiştir.

Gitea ve Consul Üzerinden Yapılan Saldırılar

Gitea’nın yanı sıra, HashiCorp Consul da doğru yapılandırılmadığı takdirde, uzaktan erişime açık olan bir kullanıcı tarafından hizmetlerin kaydedilmesine olanak tanır. Bu tür bir yapılandırma, sistemde kötü niyetli bash komutları yürütme olasılığını beraberinde getirir. JINX-0132 kampanyası, bu olanakları kötüye kullanarak madencilik yazılımını çalıştıracak şekilde hizmetler eklemektedir.

Nomad’ın API’sinde de aynı sorunlar gözlemlenmiştir. Herhangi bir kısıtlama olmaksızın job oluşturmaya izin veren bir yapılandırma, kaynağı açık olan sistemlere uzaktan kod çalıştırma imkânı sunmaktadır. Shodan verilerine göre dünya genelinde 5,300’den fazla açık Consul sunucusu ve 400’den fazla açık Nomad sunucusu bulunmaktadır.

Açık Web UI Sisteminin Kötüye Kullanımı

Son olarak, Sysdig’in açıkladığı bir başka zararlı yazılım kampanyası, Linux ve Windows sistemlerini hedef almak için yanlış yapılandırılmış bir sistem üzerinden Open WebUI kullanarak kripto madencilik yazılımları yüklemektedir. Bu sistemin internete açık bırakılması, kötü niyetli aktörlerin komut çalıştırmasını kolaylaştıran ciddi bir güvenlik açığıdır.

Araştırmacılar, açık olan bu sistemleri tarayarak bulmuş ve içeriğe uğramışlardır. Python betikleri yükleyerek çalışma mantıklarını genişletmiştir. Yüklenen zararlı kod, T-Rex ve XMRig gibi kripto madencilik yazılımlarını indirip çalıştırmakta, sistemde kalıcılık sağlamak için systemd servislerini oluşturmaktadır.

Ayrıca, saldırılar sırasında Discord webhookları kullanılarak komut ve kontrol imkânı sağlamaktadır. Windows sistemlerinde ise, saldırı benzer şekilde ilerlemekte; ancak, Java Geliştirme Kiti (JDK) yüklenerek zararlı JAR dosyalarının çalıştırılması söz konusudur. Bu dosyaların hedefi, Discord ve kripto para cüzdanlarının kimlik bilgilerini çalmaktır.

Bu tür akıllı saldırılara karşı dikkatli olmak ve sistemleri güvenli bir şekilde yapılandırmak büyük önem arz etmektedir. 17,000’den fazla Open WebUI örneğinin internete açık olduğu bilgisi düşünülünce, bu sorunlar daha da göz önüne çıkmaktadır.

Güncel Siber Güvenlik Haberleri – 1

Son zamanlarda, siber güvenlik araştırmacıları, Python Paket Endeksi (PyPI) deposuna yüklenen kötü amaçlı yazılımları tespit etti. Bu paketler, çalınmış e-posta adreslerini TikTok ve Instagram API’leriyle doğrulamak için kullanılan araçlar olarak tasarlandılar. Bu zararlı paketler checker-SaGaF, steinlurks ve sinnercore olarak adlandırılmakta ve artık PyPI üzerinde mevcut değiller.

Kötü Amaçlı Paketlerin Özellikleri

Checker-SaGaF, ismi gibi çalışarak, bir e-posta adresinin hem TikTok hem de Instagram hesaplarıyla ilişkili olup olmadığını kontrol etmektedir. Socket araştırmacısı Olivia Brown, bu paketin, verilen bir e-posta adresinin geçerli olup olmadığını belirlemek üzere TikTok’un şifre kurtarma API’sine ve Instagram’ın hesap giriş noktalarına HTTP POST talepleri gönderdiğini belirtti. Bu süreç, e-posta adresinin altında yatan hesap sahibinin varlığını ortaya çıkarıyor.

Brown, "Bu bilgileri elde eden tehdit aktörleri, yalnızca bir e-posta adresi üzerinden hedeflerini tehdit edebilir, spam yapabilir, sahte rapor saldırıları düzenleyerek hesapların askıya alınmasını sağlayabilir veya hedef hesapları doğrulayabilirler," dedi. "Elde edilen doğrulanmış kullanıcı listeleri ise karanlık ağda satılmakta ve bu durum, saldırı zincirlerinin hızlanmasına yol açmaktadır."

Steinlurks: Instagram Hesaplarına Yönelik Saldırı

İkinci paket olan steinlurks, Instagram hesaplarını hedef alarak farklı API noktalarına sahte HTTP POST talepleri göndermektedir. Bu, devletten kaçmak için Instagram Android uygulamasını taklit etmektedir. Bu paket, şu API noktalarına yönelmektedir:

• i.instagram[.]com/api/v1/users/lookup/
• i.instagram[.]com/api/v1/bloks/apps/com.bloks.www.caa.ar.search.async/
• i.instagram[.]com/api/v1/accounts/send_recovery_flow_email/
• www.instagram[.]com/api/v1/web/accounts/check_email/

Bu durum, kullanıcı bilgilerini toplamak ve dolayısıyla kullanıcıları hedef almak için büyük bir risk taşımaktadır. Tehdit aktörleri, tıpkı checker-SaGaF’da olduğu gibi, e-posta adreslerini doğrulamakta ve bu bilgileri kötü amaçlı işlemler için kullanmaktadır.

Sinnercore: Çok Yönlü Bir Araç

Sinnercore ise, verilen bir kullanıcı adı için şifre sıfırlama akışını başlatmayı hedeflemektedir. Bu paket, sahte HTTP talepleri göndererek hedeflenen kullanıcının kullanıcı adını içermektedir. Ayrıca, Telegram üzerinde isim, kullanıcı kimliği, biyografi ve premium durum gibi bilgileri de çıkarma işlevine sahiptir.

Brown, "Sinnercore’un bazı bölümleri, gerçek zamanlı Binance fiyatları veya döviz dönüşümleri gibi kripto para birimi hizmetlerine odaklanmıştır," diyerek ekledi. "Bu paket, ayrıca PyPI programcılarını hedef alarak herhangi bir PyPI paketinin detaylı bilgilerini toplayarak sahte geliştirici profilleri oluşturma amacı gütmektedir."

Diğer Zararlı Paketler ve Analizler

Bu haberlerin ardından, ReversingLabs, başka bir kötü amaçlı paket olan dbgpkg’yi de ortaya çıkardı. Bu paket, bilgi toplamak amacıyla geliştiricinin sistemine bir arka kapı yerleştirmektedir ve bu, kod yürütme ve veri sızıntısı için kullanılmaktadır. Socket tarafından daha önce tespit edilen discordpydebug ile benzer bir yük taşıdığı belirlenmiştir. Ek olarak, requestsdev isimli üçüncü bir paketin de aynı kampanyanın bir parçası olduğu düşünülmektedir.

Bu yöntemler, GSocket kullanılarak arka kapı tekniklerinin kullanıldığını göstermektedir. Analizler, bu kötü amaçlı yazılımın Phoenix Hyena isimli hacktivist grubuna benzer özellikler taşıdığını ortaya koymaktadır. ReversingLabs, bu durumun, bir taklit kötü niyetli aktör tarafından gerçekleştirilebileceğini de belirtmektedir.

Kötü Amaçlı Yazılımların Ulaşımı ve Tehdit Algoritması

Günümüzde, kötü amaçlı yazılımlar çok çeşitli ve karmaşık hale gelmiştir. Geliştiricilerin ve kullanıcıların, bu tür yazılımlardan korunmak adına daha dikkatli olmaları gerektiği bir gerçektir. Kötü niyetli aktörlerin kullandığı teknikler, uzun vadeli sisteme yerleşimi de hedeflemekte ve gizlilik endişelerini artırmaktadır.

Özellikle, kullanıcıların kişisel verilerini korumak için daha güvenli ve güncel yazılımlar kullanmaları önemlidir. Yakın zamanda ortaya çıkan npm paketlerinden biri olan koishi‑plugin‑pinhaofa, chat botlarında veri sızıntısına yol açabileceği belirtilmiş ve bu durum ayrıca dikkat çekicidir. Kullanıcıların herhangi bir veri kaybına uğramadan daha güvenli bir dijital ortamda bulunmalarını sağlamak için, her zaman güncel ve güvenilir kaynaklardan yazılım kullanmaları önerilmektedir.

Güncel Siber Güvenlik Haberleri – 1

siber-2