Özellikle Dikkat Edilmesi Gereken Siber Tehditler

Son dönemde, Çin bağlantılı bir casusluk grubunun Kuzey Amerika’daki tıbbi, akademik ve askeri araştırma ağları içinde bir yıl boyunca gizlice hareket ettiği ortaya çıktı. Bu grup, hassas araştırmalar ve savunma e-postalarını çalmayı başardı.

Saldırı Nasıl Çalışıyor?

Saldırganlar, REDCap araştırma sunucularında bir arka kapı kullanarak giriş yaptılar ve bu sayede oturum açma kimlik bilgilerini çaldılar. İlginç olan ise, saldırganların kurbanların kendi Google Workspace kurallarını yeniden yapılandırarak, belirledikleri anahtar kelimeleri içeren her mesajı, kontrol ettikleri bir gelen kutusuna kopyalamalarıydı.

Google’ın Tehdit İstihbarat Grubu (GTIG), bu kampanyayı yayınladığı raporda detaylandırarak, bu grubu UNC6508 olarak tanımladı. Saldırganın kullandığı REDCap arka kapısı, daha önce de hasar vermek amacıyla kullanılmıştı.

Etkilenen Sistemler

Saldırganlar, özellikle dışarıya bakan REDCap sunucularını hedef almışlardır. Google, başlangıç erişim vektörünü belirleyemedi ancak grubun eski, savunmasız sistemleri taradığını gözlemledi. Yaklaşık üç ay sonra, GTIG tarafından çağrılan özel bir kötü amaçlı yazılım olan INFINITERED kuruldu. Bu yazılım, REDCap’ın kendi sistem dosyalarını trojanlaşarak aşağıdaki işlemleri gerçekleştirdi:

• Güncelleme işlemini ele geçirerek, her yeni REDCap sürümünde kodun yeniden yerleştirilmesini sağladı.
• Giriş sayfasından kullanıcı adlarını ve şifreleri toplayarak, bunları yerel veri tabanı tablolarında şifreli bir şekilde sakladı.
• HTTP çerezleri üzerinden komut alarak arka kapı işlevi gördü ve her sayfa yüklemesinde çalıştığı için sürekli erişim sağladı.

Çalınan E-posta Nasıl Elde Edildi?

E-posta bilgileri, zaten mevcut olan bir özellik aracılığıyla çalındı. UNC6508, Google Workspace yöneticisi tarafından gönderilen içerik uygunluğu kurallarını kötüye kullanarak e-posta anahtar kelimelerini taradı ve eşleşen mesajları, sessiz bir şekilde, kontrol ettikleri Gmail adresine BCC olarak gönderdi. Bu süreçte herhangi bir kötü amaçlı yazılım kullanmadılar; sadece Google Workspace’in yerleşik bir özelliğini kullandılar.

Bu teknik, MITRE tarafından e-posta ile yönlendirme kuralı suistimali olarak biliniyor. Ancak GTIG, burada dikkat çekici olanın, bir Çin bağlantılı aktörün içerik uygunluğu kurallarını bu amaçla kullanması olduğunu vurguladı.

Çözüm ve Korunma

Kullanıcıların REDCap üzerinde başlayarak aşağıdaki adımları izlemeleri önemlidir:

• Dışarıya bakan sunucuları güncelleyin ve eski sürümleri tamamen kaldırın; yalnızca mevcut versiyonların yanında tutmayın.
• Google Workspace veya eşdeğer bir platform üzerinde içerik uygunluğu ve e-posta yönlendirme kurallarını kontrol edin.
• Yönetici denetim günlüklerini inceleyin; yalnızca şu anki kurallar değil, değişikliklerin ne zaman yapıldığını da kontrol edin.
• GTIG’nin yayımladığı göstergeleri takip edin ve INFINITERED aramaları yapın.
• Yönetici hesaplarına phishing saldırılarına karşı dayanıklı çok faktörlü kimlik doğrulaması (MFA) ekleyin.

Google, UNC6508’in REDCap sunucularına nasıl ilk erişim sağladığını henüz tam olarak bilemiyor. Ancak, bir saldırgan yönetici erişimi sağladığında, bulut hizmetinin yerleşik bir özelliği gizlice bir veri sızdırma yolu haline gelebilir. Bu nedenle, defenderların yalnızca REDCap arka kapısını değil, aynı zamanda e-posta yönlendirme kuralının kullanımını da denetlemeleri gerekmektedir.

Google Workspace uygulamaları yeni bir görünüm kazanıyor. Geçtiğimiz ay sızdırılan yeniden tasarlanmış uygulama simgeleri, bugün itibarıyla geniş bir kullanıcı kitlesine ulaşmaya başladı. Kullanıcılar, yeni simgelerin daha açık tonlardan daha koyu tonlara geçişli bir gradyana sahip olduğunu fark edecek; bu, geçen yıl tanıtılan yeniden tasarlanmış Google logosuna benzer bir özelliğe sahip.

U.S. Cybersecurity and Infrastructure Security Agency (CISA), üç güvenlik açığını aktif sömürü kanıtları temelinde “Bilinen Sömürülen Güvenlik Açıkları” (KEV) kataloğuna ekledi. Bu durum, siber güvenlik alanında farkındalığın artması ve önlemlerin alınması açısından kritik bir öneme sahiptir.

Güvenlik Açıkları

CISA’nın eklediği güvenlik açıkları şunlardır:

• CVE-2021-22054 (CVSS puanı: 7.5) – Omnissa Workspace One UEM içindeki bir sunucu tarafı isteği sahtekarlığı (SSRF) açığı. Bu açık, kötü niyetli bir oyuncunun UEM’ye ağ erişimi varsa kimlik doğrulama olmadan istek göndermesine ve hassas bilgilere erişmesine olanak tanıyabilir.
• CVE-2025-26399 (CVSS puanı: 9.8) – SolarWinds Web Help Desk’in AjaxProxy bileşeninde yer alan bir güvensiz veri serileştirme açığı. Bu açık, bir saldırganın ana makinede komut çalıştırmasına izin verebilir.
• CVE-2026-1603 (CVSS puanı: 8.6) – Ivanti Endpoint Manager’da alternatif bir yol veya kanal kullanarak kimlik doğrulama atlama açığı. Bu durum, uzaktan kimlik doğrulama gerektirmeyen bir saldırganın belirli depolama kimlik bilgilerini sızdırmasına olanak tanıyabilir.

Saldırıların Nedenleri ve Güncel Durum

CVE-2025-26399’un eklenmesi, SolarWinds Web Help Desk’teki güvenlik açıklarının tehdit aktörleri tarafından kullanıldığı yönündeki raporların artmasının ardından gerçekleşti. Bu faaliyetlerin, Warlock fidye yazılımı grubu tarafından gerçekleştirildiği düşünülmektedir.

CVE-2021-22054, Mart 2025’te GreyNoise tarafından, diğer ürünlerdeki birkaç SSRF açığı ile birlikte kullanıldığının tespit edilmesiyle belirtilmiştir. Henüz CVE-2026-1603’ün nasıl kullanılabileceği konusunda bir bilgi bulunmamaktadır; bu açığa ilişkin Ivanti’nin güvenlik bülteni de güncellenmemiştir.

Çözüm ve Korunma

Aktif tehditlere karşı önlem almak için Federal Sivil İcra Dairesi (FCEB) kurumları, SolarWinds Web Help Desk için güncellemeyi 12 Mart 2026’ya kadar uygulamalıdır ve diğer iki açık içinson tarih 23 Mart 2026’dır. CISA, “Bu tür güvenlik açıkları, kötü niyetli siber aktörler için sık görülen saldırı vektörleridir ve federal işletmelere önemli riskler oluşturur” şeklinde uyardı.

Sonuç

Kurumlar, yukarıda belirtilen güvenlik açıklarına karşı derhal güncellemeler yapmalı ve gerekli yamaları uygulamalıdır. Aksi takdirde, siber saldırılara karşı savunmasız kalma riski artacaktır. Güvenlik denetimleri düzenli olarak gerçekleştirilerek, sistemlerin güncel tutulması ve güvenlik açıklarının hızlı bir şekilde kapatılması sağlanmalıdır.

Google, yapay zeka video oluşturma aracı olan Flow’un erişimini genişletiyor. Geçen Mayıs ayında piyasaya sürülen Flow, başlangıçta yalnızca Google AI Pro ve AI Ultra abonelerine sunulmuştu, ancak şimdi Business, Enterprise ve Education Workspace planlarına sahip kullanıcılar da bu araca erişim sağlayabiliyor.

Peki, bu gelişmeler yaratıcı projelerinizi nasıl etkiler?