arkadaşlar, bu sefer ciddi bir olay var. broadcom’un wi-fi setup yazılımında bulunan bir açık sayesinde, evinizin routerının yanında duran biri şifre bilmeden, pairing yapmadan direkt root yetkisiyle kod çalıştırabiliyor. yani kısacası evinizin modem/routerı hacklenebiliyor, hiçbir şey yapmadan.

spoiler: bu açık aktif olarak sömürülüyor

güvenlik araştırmacısı quentin kaiser bu açığı 16 ekim’de açık etmiş. belçika’daki üç internet sağlayıcıdan gelen routerlarda teste etmiş ve başarılı olmuş. en kötü tarafı? broadcom hala yamayı yayınlamadı. yani unpatched duruyor bu açık.

…

arkadaşlar, şu sefer de npm paketleri üzerinden ciddi bir saldırı gerçekleştirilmiş. fake bir web3 accelerator şirketi, yapay zeka kredileri (anthropic claude, google gemini) ve güvenlik denetimi vaadiyle windows ve macos kullanıcılarını hedef almış. ama tabii ki bu paketler içinde information stealer malware’i ve backdoor’lar gizlenmiş. spoiler: bu çok ciddi bir durum, çünkü npm paketleri güvenilir kaynaklar arasında sayılıyor ve binlerce proje bunları kullanıyor.

durum ne?

elastic’in bulguları gösteriyor ki, saldırganlar npm registry’sine kötü niyetli paketler yüklemişler. bu paketlerin adları meşru görünüyor ama içinde:

…

arkadaşlar, bu haber çıktığında benim de şok oldum açıkçası. fbi’ye saldıran shinyhunters denen hacker grubu var ya, işte o grubun extortion sitesini işleten kişinin bir amerikan fidye müzakere firmasının yöneticisi olabileceğini fbi belirtmiş. yani kısacası, saldırganlarla müzakere eden kişi aynı zamanda saldırganlarla işbirliği yapıyor olabilir. çok klasik bir “içeriden çalışan” senaryosu bu.

ne olmuş yahu?

fbi’nin soruşturmasına göre, iki farklı fidye müzakere şirketinin yöneticileri shinyhunters grubuyla unusually close relations (yani çok yakın ilişkiler) içinde bulunmuş. bunlardan birisi ise direkt olarak grubun extortion sitesini yönetmiş, yani kurban şirketleri tehdit eden ve para ödetmeye zorlayan o meşum websitesini.

…

arkadaşlar, f5 şirketi dün gece uyku uyutmadı bize. nginx web sunucularında 3 tane kritik zafiyet bulunmuş ve şirket acil yamalar saldı. yani normal patch tuesday’yi beklememiş, hemen out-of-band (sıra dışı) güncelleme çıkarmış. bu demek oluyor ki durum ciddi ciddi ağır.

nedir bu açıklar?

nginx kullanan herkesin bilmesi gereken şey şu: bu 3 kritik açık sayesinde saldırganlar uzaktan kod çalıştırabiliyor (RCE denen bela). yani sunucunuza bağlanıp istediği kodu çalıştırabiliyor. kısacası web tarayıcıdan bile saldırı yapılabiliyor bu açıkları kullanarak.

…

arkadaşlar, github’da ciddi bir supply chain saldırısı var. ghostaction diye bir saldırgan grubu var, bunlar açık kaynak projelere saldırıp kötü niyetli github actions workflow’ları enjekte ediyordu. şimdi ise biraz daha sofistike bir yöntem geliştirmişler: fake font dosyası içine credential stealer yazılımı gizlemişler ve 94 tane github repository’sine bunu yaymışlar.

neler oluyor?

spoiler: bu açık bir supply chain saldırısı ve ciddi ciddi dikkat etmeniz gerekiyor. saldırganlar artık sadece github actions’ı kullanmakla kalmıyor, geliştirici makinelerine doğrudan erişim sağlayan malware dağıtıyorlar.

…

arkadaşlar, cybersecurity iş piyasasında biraz garip şeyler oluyor. amerikan siber güvenlik iş ilanları %26 düşmüş, yani geçen yıla kıyasla işler azalmış. ama işin ilginç tarafı, yapay zeka güvenliği mühendisi arıyorlar diye adamlar deli gibi. kısacası, klasik sistem yöneticisi ve güvenlik mühendisi işleri azalırken, yapay zeka ve makine öğrenmesi bilgisi olan birisi arıyorlar herkes.

peki ne oluyor yahu?

CyberSN’nin cybersecurity iş raporuna göre, genel siber güvenlik iş ilanları %26 oranında düşüş göstermiş. bu demek oluyor ki, şirketler belki bütçelerini kısıyor veya mevcut ekipleriyle idare etmeye çalışıyor. ama yine de dikkat edin, bu genel rakam. çünkü bazı alanlar tam tersine gidiyor.

…

arkadaşlar, şimdi çok ciddi bir şey oldu. connectwise’ın cloud backup servisi (eski adıyla skykick cloud backup) hacklendi ve microsoft 365 kiracıları saldırıya uğradı. yani bulut yedeklerinizi tuttuğunuz serviste bir problem var, hemen dikkat edin.

ne oldu tam olarak

connectwise, kendi bulut yedekleme uygulamasının kimliklerinin (application identities) ele geçirildiğini fark etti. saldırganlar bu kimlikler sayesinde microsoft 365 kiracılarına erişim sağlamışlar. şimdi connectwise tüm müşterilerin cloud backup servisine erişimini kapattı. yani geçici olarak servisi down ettiler, ama bu çok mantıklı bir hamle çünkü daha fazla zarar olmasın diye.

…

arkadaşlar, connectwise’ın bir sürü müşteri tarafından kullanılan cloud backup servisi için acil bir habar var. bilinmeyen saldırganlar connectwise’ın uygulama kimliklerini ele geçirmiş ve microsoft 365 kiracılarını (tenant) compromize etmiş. connectwise hemen devreye girmiş ve 7 tane uygulama kimliğini devre dışı bırakmış.

neler oldu?

şöyle ki, saldırganlar connectwise’ın uygulama kimliklerine (application identities) yetkisiz erişim sağlamışlar. bu kimlikler, connectwise uygulamalarının microsoft 365 ortamınızda işlem yapmasına izin veren şeyler. yani saldırganlar bu kimlikler sayesinde microsoft 365 hesaplarınıza girebilmişler. ciddi ciddi tehlikeli bir durum.

…

arkadaşlar, şimdi çok ciddi bir şey var. uat-11985 diye takip edilen bir saldırgan grubu, taiwanlı araştırma kuruluşlarındaki insanları hedef alıyor. ve yöntemi klasik ama etkili: sahte etkinlik davetiyesi göndererek sizi google hesabınıza giriş yapmaya kandırıyor.

ne oluyor burada, açıklayalım:

saldırganlar sahte etkinlik davetleri (fake event invites) gönderiyorlar. “ay profesör, konferansımıza gel” tarzında. tıkladığınız zaman ise adversary-in-the-middle (AitM) denen bir tuzağa düşüyorsunuz. yani araya giren kötü niyetli tipler.

bu aitm sayfası, google giriş sayfasının birebir kopyası. siz şifrenizi yazıyorsunuz, google okey diyor sanıyorsunuz ama aslında saldırganın sunucusuna yazıyorsunuz. sonra iki faktörlü doğrulama (2FA/MFA) kodu istiyorlar. “authenticator uygulamanızdaki kodu girin” diyorlar ve siz de giriyor, hızlı hızlı.

…

arkadaşlar, npm’de yine bir bela çıktı. malfex denen bir saldırgan kampanyası kapsamında “imgdecode” adında bir paket yüklenmişmiş. şu an 979 kere indirilmiş bu paket, ve hala npm’de duruyor. ciddi ciddi bu işi ciddiye almalısınız.

nedir bu imgdecode denen şey?

basitçe, windows’ta çalışan native addon’lu bir npm paketi. ama içinde shellcode yükleyicisi gizlenmiş. yani indirip projenize koysanız, o paket çalıştığı anda kötü niyetli kod makinenize yerleşiyor. klasik supply chain attack işte, yazılım tedarik zincirinden sızıntı yapıyor.

…