Dünya genelinde 70.000’den fazla WordPress sitesinde bulunan Quick Page/Post Redirect eklentisi, beş yıl önce eklenmiş bir arka kapı ile kullanıcıların sitelerine rastgele kod enjekte edilmesine olanak tanımaktadır. Bu durum, siber güvenlik uzmanları tarafından fark edilene kadar sessizce beklemiştir.

Saldırı Nasıl Çalışıyor?

Quick Page/Post Redirect eklentisi, WordPress.org üzerinde yıllardır bulunan basit bir yönlendirme aracıdır. Ancak, eklentinin  5.2.1  ve  5.2.2  sürümlerinde gizli bir otomatik güncelleme mekanizması tespit edilmiştir. Bu mekanizma, üçüncü bir tarafa ait olan  anadnet[.]com  alan adına yönlendirme yaparak WordPress.org’un kontrolü dışında rastgele kodların yüklenmesine olanak sağlamıştır.
Şunlar belirlenen diğer önemli noktalar:

• Malicious güncellemeler, 2021’de eklentinin  5.2.3  sürümünden itibaren geçiş yapmıştır.
• Arka kapı, yalnızca oturum açmamış kullanıcılar için aktif hale geliyor ve bu da yöneticilerin etkinliğini gizliyor.
• Bu mekanizma, SEO spam operasyonları için kullanılmaktadır.

Etkilenen Sistemler

Quick Page/Post Redirect eklentisinde bulunan arka kapı, birçok site için büyük bir tehdit oluştururken, aşağıdaki sistemlerde sorun yaratma potansiyeline sahiptir:

• WordPress sürümleri  5.2.1  ve  5.2.2  ile uyumlu olan siteler.
• Virüslü güncellemelerin test edilmediği ve saldırıya açık olduğu eski eklenti sürümleri.
• Yönlendirme mekanizması kullanarak SEO kazancı elde etmeyi hedefleyen siteler.

Çözüm ve Korunma

Bu kritik güvenlik açığına karşı alınması gereken önlemler şunlardır:

• Hedef alınmış kullanıcıların, eklentiyi hemen kaldırmaları gerekmektedir.
• WordPress.org üzerindeki temiz  5.2.4  sürümünün indirilmesi ve yüklenmesi önemlidir.
• Düzenli güncellemeler yapmak ve eklenti geliştirmeleri hakkında bilgi almak için güvenilir kaynakları takip etmek gereklidir.

Sonuç

Kullanıcıların, söz konusu arka kapı nedeniyle sistemlerine zarar gelmemesi için  Quick Page/Post Redirect  eklentisini derhal kaldırmaları ve güvenilir bir kaynaktan güncel sürümü edinmeleri gerekmektedir. Unutmayın, bu tür saldırılara karşı sürekli tetikte olmak ve siber güvenlik önlemlerine riayet etmek hayati öneme sahiptir.

## VSCode Marketplace’de Gizli Tehditler

Son dönemde, VSCode Marketplace’de 19 adet uzantının, geliştiricileri hedef alan gizli bir kampanyayla aktif olduğu ortaya çıktı. Şubat ayından beri devam eden bu tehdit, bağımlılık dosyaları içinde gizlenen malware içeren uzantılarla ilişkilendiriliyor.

### Tehdit Analizi ve Bulunan Yöntemler

Güvenlik araştırmacıları, bu gizli faaliyetleri keşfetti ve operatörlerin sahte bir .PNG dosyası gibi görünen kötü niyetli bir dosya kullandığını belirledi. Microsoft’un VSCode için resmi uzantı portalı olan VSCode Marketplace, popülerliği nedeniyle sürekli olarak tehdit aktörleri tarafından hedef alınıyor.

ReversingLabs, kötü niyetli uzantıların ‘node_modules’ isimli bir klasörle birlikte paketlendiğini ve bu sayede VSCode’un bağımlılıkları npm kayıt defterinden yüklemesine engel olduğuna dikkat çekti. Bu klasör içinde, saldırganın ‘path-is-absolute’ ya da ‘@actions/io’ gibi değiştirilmiş bağımlılıklar eklediği bulundu.

### Kötü Amaçlı Kod ve Tespit Edilen Dosyalar

Bundled klasörde, eklenen yeni bir sınıf ile ‘index.js’ dosyasının otomatik olarak çalıştığı görüldü. Burada bulunan kod, ‘lock’ adlı bir dosya içinde obfuscate (karmaşıklaştırılmış) bir JavaScript dropper’ı decode ediyor. Ayrıca, bağımlılık klasöründe bir .PNG dosyası olarak görünen bir arşiv bulunuyor. Bu dosya ‘banner.png’ ismini taşıyor ve iki kötü amaçlı ikili dosya barındırıyor: ‘cmstp.exe’ adı verilen bir living-off-the-land binary (LoLBin) ve bir Rust tabanlı trojan.

ReversingLabs şu an bu trojan’ın tam yeteneklerini analiz etmeye devam ediyor. Araştırmalara göre, kampanyada kullanılan 19 VSCode uzantısı aşağıdaki isimlerle yayınlanmış ve hepsi 1.0.0 sürüm numarasına sahip:

– Malkolm Theme
– PandaExpress Theme
– Prada 555 Theme
– Priskinski Theme

### Kullanıcılar için Öneriler

ReversingLabs, bu uzantıları Microsoft’a bildirmiş ve BleepingComputer, tüm uzantıların kaldırıldığını doğrulamıştır. Ancak, uzantıları daha önce yüklemiş olan kullanıcıların sistemlerini, herhangi bir tehdide karşı taramaları öneriliyor.

Kamuya açık yazılım geliştirme depolarında tehdit aktörlerinin yeni yollar bulduğu göz önüne alındığında, kullanıcıların paketleri yüklemeden önce dikkatlice incelemeleri önemli. Kaynağın güvenilir bir yayıncı olmaması durumunda özellikle bağımlılıkları dikkatle gözden geçirmek gerekiyor. Bu tür riskleri azaltmak için kullanıcıların, VSCode uzantıları gibi paketlerin içindeki bağımlılıkların güvenilir bir kaynaktan yüklenip yüklenmediğine dikkat etmeleri şart.

Sonuç olarak, yazılım geliştirme dünyası her zaman çeşitli güvenlik tehditleri ile karşı karşıya kalmaktadır. Bu durum, yalnızca dikkatli olmayı değil, aynı zamanda güncel bilgi ve yöntemlerle kendimizi korumayı da gerektirmektedir.

Güncel Siber Güvenlik Haberleri – 2

genel-22

genel-7