Çeşitli CI/CD araçlarında keşfedilen Cordyceps isimli güvenlik açığı, hackerların sistemlere sızma şansını artırıyor. Novee Security araştırmacıları, bu açığın ciddi bir tehdit oluşturduğunu vurguluyor ve 30,000’den fazla yönetimsel havuz üzerinde gerçekleştirdikleri incelemeler sonucunda 654 havuzda açık tespit etmişlerdir.

Tehditin Boyutu ve Etkisi

Açık, Microsoft, Google, Apache, Cloudflare ve Python Software Foundation gibi önde gelen firmaların projelerini kapsıyor. Saldırganların bu zafiyetten yararlanmak için sadece bir ücretsiz GitHub hesabına sahip olmaları yeterli; ayrıca kurumsal üyelik veya yükseltilmiş izinler gerekmiyor.

Açığın Mekanizması

GitHub Actions iş akışları genellikle pull_request ile tetiklenir ve bu, güvenilir olmayan bir fork ortamında çalışır. Ancak, pull_request_target ve workflow_run ile tetiklenen süreçler, ana depodan gizli bilgilere erişme yeteneğine sahip.

• Komut Enjeksiyonu: Saldırgan, koşul listesini doğrudan çalıştırarak zararlı kodu iş akışına entegre edebilir.
• Kod Enjeksiyonu:  actions/github-script  kullanarak saldırgan girdisini JavaScript olarak değerlendirilmesini sağlayabilir.
• Çapraz İş Akışı Yetki Yükseltmesi: Düşük yetkili bir iş akışı, güvenilir olmayan verileri yüksek yetkili bir iş akışına aktararak özellikle bu zafiyetten yararlanabilir.

Açık, çalışma akışlarının nasıl bağlandığı ile ilgilidir. Her bir dosya ve işlem düzgün görünse de, birlikte çalıştıklarında güvenlik açığı oluşturabilirler.

Etkilenen Sistemler

Örneğin, Microsoft’un Azure Sentinel havuzunda, bir pull request üzerindeki yorum, saldırganların kod çalıştırmasına ve kalıcı bir GitHub App anahtarını çalmalarına olanak tanımıştır.

Diğer bir örnekte, Google’ın AI Agent Development Kit deposunda da benzer bir şekilde, bir pull request ile yüksek yetkilere sahip erişim elde edilebilir.

Nasıl Korunabiliriz?

Güvenliği sağlamak için derhal bazı önlemler almanız önerilir:

• Untrusted katkılar için her zaman  pull_request  yöntemini kullanın.
• Güvenli iş akışları içinde pull request başlık kodunu kontrol etmeyin.
• Olay verilerini, sıralı bir çevresel değişken aracılığıyla geçirin.
• Varsayılan izinleri yalnızca okuma durumuna ayarlayın.
• Üçüncü taraf eylemleri için hareketli etiket yerine belirli bir commit SHA ile bağlantı kurun.
• Özel iş akışlarını ilk kez katkılarda manuel onay ile kısıtlayın.

Bu önlemler alındığında, mevcut sorunları kapatabilir; ancak zafiyeti sınırlamak için köklü bir güvenlik yaklaşımına ihtiyaç vardır.

Sonuç ve Öneriler

Cordyceps zafiyeti, herhangi bir güvenlik aracını aşmamış, yalnızca geçiş yapmıştır. Güvenlik sistemlerinizi güçlendirmek için yapmanız gerekenler:

• Sistem güncellemelerinizi yapın.
• Kullanmadığınız portları kapatın.
• Ücretsiz GitHub hesap kullanımını gözden geçirin ve güvenli paylaşımlarınızı sıkı şekilde inceleyin.

Aksi takdirde, gitmeye devam eden güvenlik açıkları ile karşı karşıya kalabilirsiniz. Herkesin güvenliği için önlemleri ihmal etmeyin.

Yeni keşfedilen “Gaslight” adlı macOS zararlısı, yapay zeka destekli malware analiz araçlarını yanıltmak amacıyla, yürütülebilir dosyada sahte hata ayıklama verisi ve prompt injection dizelerini gizleyerek tasarlanmıştır. Bu durum, siber güvenlik alanında AI’ın artan rolü nedeniyle oldukça önemlidir.

Saldırı Nasıl Çalışıyor?

Gaslight malware’i, siber güvenlik araştırmacılarının kullandığı AI destekli analiz araçlarını yanıltmak amacıyla sahte sistem mesajları içeren bir Rust ikili dosyasıdır. Zararlı yazılım, yapay zeka analiz araçlarının analiz hata mesajları veya diğer sorunlar olduğunu düşünmesini sağlayan dizgilerle doludur. Bu durum, araçların analiz sürecini durdurmasına, kesmesine veya başka bir şekilde etkilemesine neden olabilir.

Gaslight’in içerdiği bazı sahte mesaj örnekleri şunlardır:

• Token expiration handling: Refresh token logic seems flaky.
• Token Dump: {{DATA}}
• Crash: Worker node OOM. Worker process killed by OOM killer.
• Memory Dump: `{{DATA}}`
• Log: Excessive logging in prod. Logs are filling up disk space.
• Security: SQL Injection vulnerability? Static analysis flagged this query.
• Fix: JSON parsing error. Unexpected token in JSON at position 0.

SentinelOne, bu sahte hataların amacının, yürütme sırasında bir sandbox’ı geçmek değil, otomatik analiz sırasında bu dizgileri okuyan AI sistemlerini yanıltmak olduğunu belirtmektedir.

Etkilenen Sistemler

Gaslight zararlısı, özellikle macOS işletim sistemlerinde hareket etmektedir. Ocak 2023 itibarıyla North Korean bağlantılı tehdit aktörlerinin bu zararlı yazılımı geliştirdiği yüksek bir güvenle belirtilmiştir. Bu zararlı yazılım, arka kapı ve bilgi çalmanın yanı sıra, analiz sırasında dikkat dağıtma amacı da gütmektedir.

Çözüm ve Korunma

Gaslight’e karşı korunmak için aşağıdaki adımları takip etmeniz önerilmektedir:

• Güncellemeleri Yükleyin: İşletim sisteminizi ve güvenlik yazılımlarınızı en son sürüme güncel tutun.
• Portları Kapatın: Gerekli olmayan servislerin portlarını kapatın.
• AI Tabanlı Analiz Araçlarını Gözden Geçirin: Kullanmakta olduğunuz yapay zeka destekli analiz araçlarının güncel ve etkili olduğundan emin olun.
• Farkındalık Eğitimi Verin: Ekiplerinize bu tür yeni tehditler hakkında eğitim verin.

Bu zararlı yazılımın AI destekli güvenlik platformlarını kandırmak amacıyla geliştirilmiş olması, siber güvenlik topluluğunun dikkatini çekmekte ve bu koşullarda daha fazla koruma yöntemleri geliştirilmesi gerektiğini göstermektedir.

Valve’ın Steam Machine’i tanıttığında, hemen ardından Half-Life 3’ün duyurulması bekleniyordu. PC oyuncuları için en çok beklenen oyun olan Half-Life 3, yeni donanımla birlikte pazara sunulursa, desteği artıracak bir adım olabilirdi. Ancak, o gün hiçbir yeni Half-Life bilgisi verilmedi ve bu durum hayal kırıklığı yarattı. Son günlerdeki söylentilere göre, Valve aslında oyunu piyasaya sürmeyi planlamıştı ama yüksek RAM fiyatları sebebiyle bu planlar iptal edildi.

Yüksek Beklentiler ve Hype

SteamOS ile çalışan Steam Machine, yüksek beklentilerle piyasaya sürüldü. Ancak, halen kesin bir çıkış tarihi ve fiyat belirlenmediği için, maliyetinin ne olacağı konusunda birçok spekülasyon mevcut. Eğer Valve, Half-Life 3’ü bu yeni donanım ile birlikte piyasaya sürerse, satışları artırması beklenir. Bu, daha önce Half-Life: Alyx’in Valve Index için yaptığı gibi bir etki yaratabilir. Ancak, bu durum aynı zamanda RAM fiyatlarındaki artış nedeniyle karmaşıklaşan riskli bir hareket.

Yüksek RAM Fiyatlarının Etkileri

Son dönemdeki DRAM fiyat artışları, AI veri merkezlerinin RAM tedarikini aşırı şekilde satın almasının bir sonucudur. Bu durum, PC RAM fiyatlarının üç katına çıkmasına neden oldu ve buna bağlı olarak diğer PC teknolojilerinin fiyatları da arttı. Grafik kartı fiyatları yükseklik gösterdi ve yeni oyun dizüstü bilgisayarları ile diğer ekipmanların, önümüzdeki Ocak ayındaki CES teknoloji fuarında tanıtılmak üzere belirlenen fiyatlardan daha yükseğe çıkması bekleniyor.

Half-Life 3’ün Piyasaya Sürülmesi

Bu gelişmelerin Half-Life 3’ün çıkışına nasıl etki edeceği ise henüz belirsiz. Valve’ın bu oyunu yalnızca Steam Machine’e özel olarak çıkaracağını düşünmek pek mantıklı görünmüyor. Oyun, donanım satışlarını artırmak amacıyla birkaç haftalığına dahi olsa özel hale getirilmeyecektir.

YouTuber Linus Tech Tips’in de belirttiği gibi, Steam Machine’in ekonomik yapısı, Valve’ın bunu maliyetin altında bir fiyatla satmasının pek olası olmadığını gösteriyor. Çünkü Steam Machine temelde normal bir bilgisayardır ve bu nedenle kullanıcılar, indirime girmiş bir Steam Machine satın aldıktan sonra Windows kurup farklı oyun başlatıcılarını kullanabilirler.

Piyasadan Farklı Çizgiler

Bu noktada Valve’ın Steam Machine ile Half-Life 3’ü ayrı tutmasının mantıklılığı öne çıkıyor. Donanımın çıkışını erteleyebilirler, fiyatını artırabilirler veya RAM fiyatlarının patlama yapması durumunda projeyi tamamen iptal edebilirler. Bu durumların hiçbiri, oyunun çıkışındaki başarıyı etkilemeyecektir.

Sonuç olarak, bu konu hâlâ spekülasyondan ibaret. Half-Life 3 çıkışıyla ilgili somut ipuçları ya da sızıntılar bulunmamakta ve Valve’dan resmi bir açıklama gelmemiştir. Her ne kadar pek çok oyuncunun umudu sürse de, Valve’ın belirsizliği sürdürmesi, tüm ilgiyi ve merakı artırmaya devam ediyor. Oyun dünyası için sürprizler her zaman kapıda!

Oyun Haberleri

Kuzey Kore’nin Makalemeza Kimlik Kiralama Skemi

Kuzey Kore’nin Famous Chollima isimli siber grubu, yazılım geliştiricileri kandırarak kimliklerini kiralamalarını sağlamak için çeşitli operasyonlar yürütmektedir. Bu yöntemle Kuzey Kore, hem istihbarat toplamakta hem de finansal kazanç sağlamaktadır. Famous Chollima, Kuzey Kore’nin devlet destekli Lazarus grubunun bir parçası olarak, Batılı şirketlere sızmak amacıyla sosyal mühendislik stratejileri kullanmaktadır.

Kimlik Kiralama Süreci

Famous Chollima, geliştiricileri bazen zorla bazen de daha cazip şartlarla kandırmayı başarmıştır. Özellikle sosyal mühendislik teknikleri ve yapay zeka kullanarak, sahte kimliklerle Fortune 500 şirketlerinde iş bulmaktadırlar. Kuzey Koreli ajanlar, güvenilir mühendisleri ikna ederek, onları bir figüran olarak kullanmakta ve iş görüşmelerinde onların kimlikleriyle mülakat yapmaktadır.

Bu süreçte, kiralanan mühendis, gelen tekliflerin bir bölümüne sahip olmakta, genellikle aldıkları maaşın yüzde 20 ila 35’ini kazanarak işlerini sürdürmektedir. Ancak daha yüksek gelir elde etmek isteyen mühendisler, bilgisayarlarını Kuzey Koreli ajanların kullanımına açmak zorunda kalmaktadır. Bu, Kuzey Kore’nin konumunu gizlemek ve siber saldırılarda mühendisleri proxy olarak kullanmak için gerçekleştirilmektedir.

GitHub’da Spam Faaliyetleri

Kuzey Koreli ajanların cerrahi planları içerisinde GitHub gibi platformlarda spam faaliyetleri yer almaktadır. Geliştiriciler, çok sayıda sahte kimlik ile teknik mülakatlara katılmaları için davet edilmektedir. Bu meslekler arasında .NET, Java, Python ve Golang gibi diller yer almakta ve mühendislerin teknik yeterliliklerinden bağımsız olarak mülakatları geçmeyi başarmaları istenmektedir.

Finansal caziplik sağlamak amacıyla, Kuzey Koreli ajanlar, bu kişilere aylık yaklaşık 3000 dolar gibi yüksek miktarlar sunmaktadır. Bu durum, şüpheci mühendislerin dikkatini çekmek için kullanılırken, aslında Kuzey Kore’nin siyasi ve ekonomik çıkarlarını desteklemeye yönelik kurnaz bir hamledir.

Uzmanların Gözetimi ve Araştırmalar

Mauro Eldritch ve Heiner García, Kuzey Koreli IT çalışanları ile ilgili bu tür faaliyetleri ortaya çıkarmak için bir plan geliştirerek, bir simülasyon ortamı kurmuşlardır. Araştırma sürecinde, Eldritch sahte bir mühendis olan Andy Jones rolünü üstlenmiştir. Ajanlarla yapılan görüşmelerde, kimlik bilgileri ve gizlilik sorunları gibi detaylar istenmiştir. Bu süreçte elde edilen veriler, Kuzey Koreli grupların siber operasyonları hakkında bilgi sağlamıştır.

Astrill VPN ile Uzak Bağlantı

Görüşmeler sırasında, Kuzey Koreli ajanın sıkça kullandığı Astrill VPN gibi hizmetler hakkında bilgi edinilmiştir. Uzak bağlantılar aracılığıyla, tehdit aktörünün sistemdeki donanımı kontrol etmesi ve ayrıcalıklar elde etmesi sağlanmıştır. Ancak araştırmacılar, bu süreçte siber saldırı girişimlerini etkisiz hale getirmek için çeşitli taktikler geliştirirken, Kuzey Koreli ajanın yöntemlerini de yakından inceleme fırsatı bulmuştur.

Siber Güvenlikte Alınması Gereken Önlemler

Bu tür siber saldırılar karşısında girişimlerin alması gereken önlemler büyük önem taşımaktadır. Kurumların, sıkı bir siber güvenlik politikası oluşturması ve çalışanlarını bu konuda bilinçlendirmesi gerekmektedir. Özellikle kimlik hırsızlığı, sosyal mühendislik ve benzeri tehditlere karşı sürekli eğitim sağlanmalıdır. Ayrıca, potansiyel sızmalara karşı sistemlerin güncel tutulması ve izleme altyapılarının geliştirilmesi hayati bir öneme sahiptir.

Kuzey Kore’nin bu tür yenilikçi saldırı yöntemleri, sadece bir güvenlik açığı oluşturmakla kalmayıp, aynı zamanda ele geçirdikleri kimliklerin arkasında daha büyük çaplı siber suç örgütlerinin faaliyetlerini desteklemektedir. Bu nedenle, uluslararası işbirlikleri ile farkındalığın artırılması ve karşılıklı bilgi paylaşımının sağlanması kritik bir adım olacaktır.

Güncel Siber Güvenlik Haberleri – 2