05 Şub 2025Ravie LakshmananSiber Güvenlik / Bulut Güvenliği

Siber suçlular, Microsoft 365 ortamlarına hesap devralma (ATO) saldırılarını kolaylaştırmak için meşru HTTP istemci araçlarını giderek daha fazla kullanıyor.

Kurumsal Güvenlik Şirketi Proofpoint, HTTP istekleri göndermek ve ATO saldırıları yapmak amacıyla Web sunucularından HTTP yanıtları almak için HTTP istemcileri Axios ve Düğüm Getirme kullanan kampanyaları gözlemlediğini söyledi.

Güvenlik araştırmacısı Anna Akselevich, “Başlangıçta GitHub gibi kamu depolarından kaynaklanan bu araçlar, ortada düşman (AITM) ve kaba kuvvet teknikleri gibi saldırılarda giderek daha fazla kullanılmaktadır.” söz konusu.

Brute-Force saldırıları için HTTP istemci araçlarının kullanılması, en azından Şubat 2018’den bu yana uzun zamandır gözlemlenen bir eğilim olmuştur ve OKHTTP müşterilerinin Microsoft 365 ortamlarını en azından 2024’ün başlarına kadar hedeflemek için varyantlarını kullanan birbirini izleyen yinelemelerdir.

Ancak Mart 2024’e kadar Proofpoint, çok çeşitli HTTP müşterilerinin çekiş kazanmasını gözlemlemeye başladığını söyledi, saldırılar Microsoft 365 kiracılarının% 78’inin sonuncusu bir ATO girişimi ile en az bir kez hedeflenecek şekilde yeni bir zirveyi ölçeklendiriyor. yıl.

Akselevich, “Mayıs 2024’te bu saldırılar zirveye çıktı ve bulut hesaplarını hedeflemek için milyonlarca kaçırılan konut IP’lerini kullandı.” Dedi.

Bu saldırı girişimlerinin hacmi ve çeşitliliği, AXIS, Go Resty, Düğüm Getirme ve Python istekleri gibi HTTP müşterilerinin ortaya çıkmasıyla kanıtlanmıştır, bu da hassas hedeflemeyi AITM teknikleriyle birleştirenler daha yüksek bir uzlaşma oranı elde eder.

Axios, Proofpoint’e göre, Node.js ve tarayıcılar için tasarlanmıştır ve kimlik bilgilerinin ve çok faktörlü kimlik doğrulama (MFA) kodlarının çalınmasını sağlamak için EvilGinX gibi AITM platformları ile eşleştirilebilir.

Tehdit aktörleri, kötü niyetli faaliyetlerin kanıtlarını gizlemek, hassas verileri çalmak ve hatta tehlikeye atılan ortama kalıcı uzaktan erişim sağlamak için aşırı izin kapsamlarıyla yeni bir OAuth uygulaması kaydetmek için yeni posta kutusu kuralları oluşturuldu.

AXIOS kampanyasının, ulaşım, inşaat, finans, BT ve sağlık dikeyleri boyunca yöneticiler, finans görevlileri, hesap yöneticileri ve operasyonel personel gibi yüksek değerli hedefleri seçtiği söyleniyor.

Hedeflenen kuruluşların% 51’inden fazlasının Haziran ve Kasım 2024 arasında başarılı bir şekilde etkilendiği ve hedeflenen kullanıcı hesaplarının% 43’ünü tehlikeye attığı değerlendirilmiştir.

Siber güvenlik şirketi, 9 Haziran 2024’ten bu yana günde 66.000’den fazla kötü niyetli denemenin ortalaması alarak, düğüm Getch ve Go Resty müşterileri kullanarak büyük ölçekli bir şifre püskürtme kampanyası tespit ettiğini söyledi. Ancak başarı oranı düşük kaldı ve hedeflenen varlıkların sadece% 2’sini etkiledi.

Bugüne kadar, çoğunluğu eğitim sektörüne, özellikle de daha az korunması ve diğer kampanyalar için silahlandırılabilen veya farklı tehdit aktörlerine satılabilen öğrenci kullanıcı hesaplarına ait olan 178.000’den fazla hedefli kullanıcı hesabı tespit edilmiştir.

Akselevich, “Tehdit aktörlerinin ATO saldırıları için araçları büyük ölçüde gelişti, API’leri kullanmak ve HTTP istekleri yapmak için kullanılan çeşitli HTTP istemci araçları.” Dedi. “Bu araçlar, saldırıları daha verimli hale getirerek farklı avantajlar sunuyor.”

“Bu eğilim göz önüne alındığında, saldırganların HTTP istemci araçları arasında geçiş yapmaya devam etmesi, stratejileri yeni teknolojilerden yararlanmak ve algılamadan kaçacak, etkinliklerini artırmak ve maruziyeti en aza indirmek için daha geniş bir sabit evrim modelini yansıtan.”

Cisco Talos bu hafta VPN hizmetlerini, SSH hizmetlerini ve Web uygulaması kimlik doğrulama arayüzlerini hedef alan kaba kuvvet saldırılarında büyük bir artış olduğu konusunda uyardı.

Şirket, tavsiye niteliğindeki yazısında, saldırıların kurban ortamlarına ilk erişimi denemek ve elde etmek için genel ve geçerli kullanıcı adlarının kullanılmasını içerdiğini açıkladı. Bu saldırıların hedefleri rastgele ve ayrım gözetmiyor gibi görünüyor ve herhangi bir endüstri sektörü veya coğrafyayla sınırlı değil. Cisco dedi ki.

Şirket, saldırıların, aralarında Checkpoint VPN, Fortinet VPN, SonicWall VPN, Mikrotik ve Draytek’in de bulunduğu diğer satıcıların Cisco Güvenli Güvenlik Duvarı VPN cihazlarını ve teknolojilerini kullanan kuruluşları etkilediğini tespit etti.

Saldırı Hacimleri Artabilir

Cisco Talos açıklamasında, “Hedef ortama bağlı olarak, bu tür başarılı saldırılar, yetkisiz ağ erişimine, hesap kilitlenmelerine veya hizmet reddi koşullarına yol açabilir” açıklamasında bulunuldu. Satıcı, saldırılardaki artışın 28 Mart civarında başladığını kaydetti ve önümüzdeki günlerde saldırı hacimlerinde olası bir artış olacağı konusunda uyardı.

Cisco, saldırı hacimlerindeki ani patlama ve saldırıların tek bir tehdit aktörünün mü yoksa birden fazla tehdit aktörünün işi mi olduğuna ilişkin Dark Reading soruşturmasına hemen yanıt vermedi. Tavsiye belgesi, saldırı trafiğinin kaynak IP adreslerini Tor, Nexus Proxy, Space Proxy’ler ve BigMama Proxy ile ilişkili proxy hizmetleri olarak tanımladı.

Cisco’nun tavsiyesi, saldırılarla ilişkili IP adresleri ve kimlik bilgileri dahil olmak üzere güvenlik ihlali göstergeleriyle bağlantılıydı ve aynı zamanda bu IP adreslerinin zaman içinde değişme potansiyeline de dikkat çekiyordu.

Yeni saldırı dalgası aşağıdakilerle tutarlıdır: Tehdit aktörlerinin ilgisi artıyor Kuruluşların son yıllarda çalışanların uzaktan erişim gereksinimlerini desteklemek için kullandığı VPN’lerde ve diğer teknolojilerde. Saldırganlar (ulus devlet aktörleri dahil) vahşice hedef alındı Bu ürünlerdeki güvenlik açıkları, kurumsal ağlara sızmayı deneyerek ABD gibi ülkelerden çok sayıda tavsiye alınmasına neden oluyor Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI, Ulusal Güvenlik Ajansı (NSA)ve diğerleri.

VPN’deki Açıkların Sayısı Artıyor

Securin tarafından yapılan bir araştırma, araştırmacıların, tehdit aktörlerinin ve satıcıların VPN ürünlerinde keşfettikleri güvenlik açıklarının sayısını gösterdi %875 arttı Sekiz farklı satıcının ürünündeki 147 kusurun, 78 üründe yaklaşık 1.800 kusura ulaştığını kaydettiler. Securin ayrıca saldırganların şu ana kadar açıklanan toplam güvenlik açıklarından 204’ünü silah olarak kullandığını da tespit etti. Bunlardan Sandworm, APT32, APT33 ve Fox Kitten gibi gelişmiş kalıcı tehdit (APT) grupları 26 kusurdan yararlanırken, REvil ve Sodinokibi gibi fidye yazılımı grupları 16 kusurdan daha yararlandı.

Cisco’nun en son tavsiyesi, Cisco’nun ürünlerini ve diğer birçok satıcının ürünlerini içeren uzaktan erişim VPN hizmetlerini hedef alan şifre püskürtme saldırıları hakkında şirketin aldığı çok sayıda rapordan kaynaklanmış gibi görünüyor. Parola püskürtme saldırısında, bir saldırgan temel olarak birden fazla hesaba, tümünde varsayılan ve ortak parolaları deneyerek kaba kuvvetle erişim sağlamaya çalışır.

Keşif Çabası mı?

Cisco ayrı bir açıklamasında, “Bu aktivite keşif çalışmalarıyla ilgili gibi görünüyor” dedi. 15 Nisan tavsiyesi kuruluşlara parola püskürtme saldırılarına karşı öneriler sundu. Öneride, Cisco VPN kullanıcılarının gözlemleyebileceği bir saldırının üç belirtisi vurgulandı: VPN bağlantı hataları, HostScan belirteç hataları ve alışılmadık sayıda kimlik doğrulama isteği.

Şirket, kuruluşların cihazlarında oturum açmayı etkinleştirmesini, varsayılan uzaktan erişim VPN profillerini güvenli hale getirmesini ve erişim kontrol listeleri ve diğer mekanizmalar aracılığıyla kötü niyetli kaynaklardan gelen bağlantı girişimlerini engellemesini önerdi.

Sectigo’nun üründen sorumlu kıdemli başkan yardımcısı Jason Soroko, e-postayla gönderdiği açıklamada, “Burada önemli olan, bu saldırının genellikle yama gerektiren bir yazılım veya donanım güvenlik açığına karşı olmamasıdır” dedi. Saldırganların bu durumda zayıf şifre yönetimi uygulamalarından yararlanmaya çalıştıklarını, bu nedenle güçlü şifreler uygulamaya veya erişimi korumak için şifresiz mekanizmalar uygulamaya odaklanılması gerektiğini söyledi.

İster hafif sağanak kar ister yoğun ayak sesi olsun, karla mücadele kar fırtınasından sonra zorlu bir görev olabilir. Bu özellikle, yollarınızdaki ve araba yolunuzdaki karı ve buzu hızlı bir şekilde temizleyecek bir kar küreme makineniz yoksa geçerlidir.

Neyse ki, kar küreme makinesi olmadan karı temizlemenin bazı akıllıca yolları var. Bunlar kar küreme işini daha kolay ve daha hızlı hale getirecek. İster mevcut ekipmanınızı yükseltin, ister akıllı “buz çözme” tüyoları kullanın, bu ipuçlarının tümü basit ve ucuzdur.