Yeni Tehdit: Zero-Click Agentic Browser Saldırısı

Son günlerde, Straiker STAR Labs tarafından yapılan bir inceleme, Perplexity’nin Comet tarayıcısını hedef alan yeni bir saldırı yöntemi olan “zero-click Google Drive Wiper” tekniklerini ortaya koydu. Bu teknik, zararsız görünen bir e-postayı, kullanıcının tüm Google Drive içeriğini silen yıkıcı bir eyleme dönüştürebilir.

Saldırının Temeli: E-posta ve Tarayıcı Entegrasyonu

Bu saldırı, tarayıcı ile Gmail ve Google Drive gibi hizmetler arasında bir bağlantı kurarak otomatik görevlerin gerçekleştirilmesine olanak tanır. Tarayıcının, erişim izinleri sayesinde e-postaları okuyabilmesi ve içerikleri düzenleyebilmesi, saldırının temelini oluşturur. Örneğin, masum bir kullanıcı e-posta kutusunu kontrol ettirmek ve organizasyon görevlerini tamamlamak üzere bir talimat verebilir: “Lütfen e-postamı kontrol et ve tüm son organizasyon görevlerimi tamamla.”

Tehdidin Doğası: Manuel Eylem Gerektirmeyen Silme İşlemleri

Saldırgan, tarayıcı ajanının bu davranışını kullanarak, alıcılarına özel olarak hazırlanmış bir e-posta gönderip, onları Google Drive’daki dosyalarını düzenlemeye veya silmeye yönlendirebilir. Bu durum, gerçek kullanıcı dosyalarının, herhangi bir onay sürecine gerek kalmadan silinmesine yol açar. Saldırganın gönderdiği doğal dil talimatları, tarayıcı ajanı tarafından rutin bir temizlik görevi olarak algılandığı için tehlike göz ardı edilir.

Saldırının Özellikleri

Bu saldırı, jailbreak veya prompt injection gibi karmaşık tekniklere dayanmaz. Bunun yerine, nazik ve düzenli talimatlar vererek, “bunu benim adıma yap” gibi ifadeler kullanarak ajan üzerinde etkili olur. Bu durum, büyük dil modelinin (LLM) kötü niyetli talimatlara uymasını sağlarken, her bir adımın güvenli olup olmadığını kontrol etmeyi ihmal etmesine yol açar.

Önlemler ve Güvenlik Stratejileri

Bu tür saldırılara karşı alınacak önlemler, sadece büyük dil modelinin güvenliğini sağlamakla sınırlı kalmamalıdır; aynı zamanda ajan, bağlantıları ve izlediği doğal dil talimatları da güvence altına alınmalıdır. Güvenlik uzmanı Amanda Rousseau, “Agentic tarayıcı asistanları, rutin talimatları güçlü eylemlere dönüştürüyor” diyerek uyarıda bulunmaktadır.

HashJack Yöntemi ve Dolaylı Prompt Injection Tehditleri

Buna ek olarak, Cato Networks tarafından tanıtılan bir diğer saldırı yöntemi olan HashJack, meşru URL’lerin sonundaki “#” sembolünü kullanarak dolaylı prompt injection yapabilmektedir. Saldırganlar, bu tür URL’leri e-posta veya sosyal medya aracılığıyla paylaşarak kullanıcıları hedef alabilir.

Sonuç

Bu yeni nesil saldırılar, kullanıcıların güvenliğini tehdit eden yeni bir tuzak oluşturmakta. Google, bu tür tehditleri “onarılamaz, istenen davranış” olarak sınıflandırırken, bazı AI tarayıcıları için yamanın yayımlandığını belirtmiştir. Ancak, kullanıcılara düşen görev, bu tür yeni tehditlere karşı dikkatli ve bilinçli olmaktır.

Güncel Siber Güvenlik Haberleri – 1

Son günlerde Siber güvenlik alanında yaşanan gelişmeler, özellikle SonicWall ürünleri kullanıcıları için önem kazandı. SonicWall’ın, SMA 100 serisi cihazlarda rootkit malware ile mücadele etmek amacıyla yayımladığı yeni bir firmware güncellemesi, kullanıcılar için kritik bir adımı işaret ediyor. Şirketin duyurusuna göre, SonicWall SMA 100 10.2.2.2-92sv sürümü, bilinen rootkit malware’ı cihazlardan kaldırma yeteneği ile birlikte gelmektedir.

SMA 100 Serisi Cihazlara Öneri

SonicWall, SMA 100 serisi ürün kullanıcılarına bu yeni sürüme yükselmelerini şiddetle önermektedir. SMA 210, 410 ve 500v modelleri bu güncellemeden faydalanabilir. Bu tavsiye, özellikle cihazların güvenliğini artırma ve mevcut tehditleri ortadan kaldırma adına büyük önem taşımaktadır. Yapılan güncellemenin ardından, kullanıcıların daha güvenli bir ortamda hizmet alması beklenmektedir.

Güvenlik Tehditleri ve Araştırmalar

Güncellemenin arkasında yatan sebepleri daha iyi anlamak adına, Google Tehdit İstihbarat Grubu (GTIG) tarafından yapılan bir rapor incelenmiştir. Rapor, UNC6148 adında bir siber saldırganın, OVERSTEP malware‘ını, hizmet ömrü dolmak üzere olan SonicWall SMA 100 cihazlarına saldırmak için kullandığını ortaya koymuştur. Bu cihazlar, 1 Ekim 2025’te destek süresinin sona ereceği için acil bir güncelleme gerekmektedir.

OVERSTEP, kullanıcı modunda çalışan bir rootkit olup, saldırganların gizli zararlı bileşenler kullanarak kalıcı erişim sağlamasına olanak tanımaktadır. Bu tür saldırılar sırasında, hassas dosyaların çalınması gibi tehlikeleri beraberinde getirmektedir. Bu bağlamda, persist.database ve sertifika dosyalarının ele geçirilmesi, saldırganlara önemli bir avantaj sağlamaktadır.

Siber Tehditlerin Bağlantısı

GTIG tarafından sağlanan bilgiler, UNC6148 tarafından gerçekleştirilen saldırıların hedefinin belirlenememiş olsa da, bazı Abyss ile ilgili fidye yazılımı olayları ile “dikkat çekici örtüşmeler” olduğu tespit edilmiştir. Özellikle, Truesec araştırmacıları tarafından 2023’ün sonlarına doğru inceleme yapılan bir Abyss fidye yazılımı olayı, hacker’ların bir SMA cihazına web shell yüklediğini göstermiştir. Bu, firmware güncellemelerine rağmen kalıcı erişim sağlamalarına imkan tanımıştır.

Mart 2024’te, InfoGuard AG ile çalışan bir olay yanıtlayıcı, benzer bir SMA cihazının da aynı şekilde etkilendiğini ve Abyss malware’ının kurulduğunu rapor etmiştir. Bu durum, güvenlik açıklarının sürekli bir tehdit oluşturduğunu ve güncellemelerin önemini bir kez daha gözler önüne sermektedir.

Siber Güvenlik Önlemleri ve Tavsiyeler

SonicWall, bu tür siber saldırılara karşı alınması gereken önlemleri içeren güvenlik tedbirleri hakkında da kullanıcıları bilgilendirmektedir. Özellikle, eski versiyonlardaki SMA100 firmware kullanmanın potansiyel riskleri üzerine dikkat çeken bir rapor yayınlanmıştır. Bu nedenle, yöneticilerin belirlenen güvenlik önlemlerini uygulamaları kritik önem taşımaktadır.

Geçtiğimiz günlerde, SonicWall, bir başka uyarıda bulunarak kullanıcıları şifrelerini sıfırlamaya çağırmıştır. Bu çağrı, API servisinin bulut yedekleme dosyalarına yönelik brute-force saldırılarından sonra yapılmıştır. Kullanıcıların iletişim bilgilerinin sızdırılması, ciddi bir güvenlik açığına neden olabilmektedir.

Bunun yanı sıra, SonicWall, Akira fidye yazılım çetesi hakkında yapılan iddiaları da yanıtlamıştır. Şirket, bu çetenin Gen 7 firewall cihazlarını hedef aldığına dair belirsizliklerde bulunmuş ve sorunun aslında CVE-2024-40766 adında kritik bir güvenlik açığı ile ilgili olduğunu belirtmiştir. Bu açığın, Kasım 2024’te yamalandığı bilgisi verilmiştir.

Sonuç

SonicWall’ın SMA 100 serisi cihazları için yayımladığı güncelleme, siber güvenlik dünyasında önemli bir adımı simgelemektedir. Kullanıcıların, cihazlarını güncelli tutmaları ve belirttiğimiz güvenlik önlemlerini almaları, muhtemel siber saldırılara karşı korunmalarını sağlayacaktır. Siber tehditlerin sürekli evrildiği günümüzde, bu gibi güncellemelerin dikkate alınması hayati öneme sahiptir.

Güncel Siber Güvenlik Haberleri – 2

Anubis, son dönemde dikkat çekici bir şekilde fidye yazılımı-as-a-service (RaaS) operasyonları arasında yerini aldı. İlk olarak Aralık 2024’te gözlemlenen bu yazılım, bu yılın başlangıcında çok daha aktif hale gelmiştir. Anubis, kullanıcılarına şifreleme işlemleri gerçekleştiren bir dizi araç sunarak, kötü niyetli kullanıcıların elinde büyük bir tehdit haline gelmiştir.

2025 Şubat’ında, Anubis operatörleri, RAMP forumunda bir iştirak programı duyurdular. Bu program, Anubis yazılımını kullanan diğer dolandırıcılara büyük kazançlar vaat etmiştir. KELA’dan gelen bir rapora göre, Anubis fidye yazılımı iştirakçilerine elde ettikleri gelirlerin %80’ini sunmaktadır. Veri sömürücü iştirakçilere %60, başlangıç erişimi sağlayan aracı şirketlere ise %50 pay verilmektedir. Bu rakamlar, Anubis’in nasıl bir saldırı ağı oluşturduğunun bir göstergesidir.

Anubis’in Hedefleri ve Etkileri

Anubis’in karanlık web üzerindeki extorison sayfası, şu an yalnızca sekiz kurban listesini içermektedir. Ancak, operatörlerin teknik yeteneklerine duyduğu güven arttıkça saldırı hacminin de artması beklenmektedir. Trend Micro tarafından yapılan bir analiz, Anubis’in sürekli olarak yeni özellikler eklediğini göstermektedir; bunlar arasında dikkat çekici bir şekilde dosya silme işlevi bulunmaktadır.

Araştırmacılar, en son Anubis örneklerinde bu silici modülün bulunduğunu tespit etti. Bu özellik, kurbanların daha hızlı ödeme yapmaları için baskı oluşturmak amacıyla eklenmiştir. Trend Micro’ya göre, Anubis’i diğer RaaS’lerden ayıran özellik, dosya silme özelliği sayesinde kurtarma çabalarını sabote edebileceğidir. Bu da, kurbanlar üzerinde ek bir baskı oluşturarak durumu daha da kötüleştirmektedir.

Dosya Silme Özelliği ve Fonksiyonu

Dosya silme işlevi, komut satırı parametresi ‘/WIPEMODE’ kullanılarak aktive edilmektedir. Bu işlem, anahtara dayalı kimlik doğrulaması gerektirmektedir. Aktif hale getirildiğinde, bu özellik tüm dosya içeriklerini siler ve onları 0 KB boyutuna düşürerek, dosya yapısını ve adlarını korur.

Kurban, beklenen dizinlerde tüm dosyaları görecek, ancak içerikleri geri dönüşümsüz bir şekilde silinmiş olacaktır. Trend Micro’nun analizine göre, Anubis başlangıçta privilege elevation (yetki yükseltme), dizin hariç tutma ve şifreleme için hedef yollar gibi çeşitli komutlar desteği sunmaktadır. Önemli sistem ve program dizinleri, sistemi tamamen işlevsiz hale getirmemek amacıyla varsayılan olarak hariç tutulmaktadır.

Şifreleme ve Dağıtım Yöntemleri

Anubis, Volume Shadow Copies’ı silmekte ve şifreleme sürecini etkileyebilecek süreçleri ve servisleri sonlandırmaktadır. Şifreleme sistemi, ECIES (Elliptic Curve Integrated Encryption Scheme) şeklinde çalışmaktadır ve araştırmacılar, implementasyon da EvilByte ve Prince fidye yazılımları ile benzerlik göstermektedir. Şifrelenen dosyalar ‘.anubis’ uzantısıyla işaretlenirken, etkilenen dizinlerde bir HTML fidye notu bırakılmaktadır. Ayrıca, kötü amaçlı yazılım, masaüstü arka planını değiştirmeye yönelik başarısız bir girişimde de bulunmaktadır.

Saldırıların Başlangıcı: Phishing Yöntemleri

Trend Micro, Anubis saldırılarının genellikle phishing e-postaları ile başladığını tespit etmiştir. Bu e-postalar, kötü niyetli bağlantılar veya ekler taşıyarak kurbanları tuzağa düşürmektedir. Dolayısıyla, dikkatli bir kullanıcı olmanın ve kötü niyetli e-postalardan kaçınmanın önemi her zamankinden fazla artmıştır. Anubis’in etkili bir şekilde tanınabilmesi için, kullanıcıların bu tür göstergelere karşı daha duyarlı olmaları gerekmektedir.

Şu an için Anubis’in saldırılarını tanımlayan tüm göstergelerin (IoCs) tam listesi mevcuttur. Kullanıcıların bu göstergeleri göz önünde bulundurarak kendilerini koruma yollarını aramaları, siber saldırılar karşısında daha güvenli olmalarını sağlayacaktır.

Yazılım dünyası sürekli olarak evrilirken, Anubis gibi fidye yazılımları, kullanıcıların ve uzmanların dikkatini çekmeye devam etmektedir. Güvenlik stratejileri, bu tehditlere karşı daha dayanıklı hale getirilmek zorundadır. Bağlantılı tehditleri tanımak ve önlemek, her bireyin sorumluluğudur.

Güncel Siber Güvenlik Haberleri – 2