shinyhunters oracle sıfır-gün açığıyla üniversiteleri soydu

arkadaşlar, büyük bir olay var. shinyhunters diye bildiğimiz hacker grubu, oracle’ın erp yazılımındaki sıfır-gün açığını kullanarak özellikle amerikan üniversitelerini hedef almış. yani öğrenci kayıtlarından finansal verilere kadar her şey çalınmış durumda.

spoiler: bu açık aktif olarak sömürülmüş ve tonlarca veri çalınmış bile.

ne olmuş yani

oracle’ın erp (enterprise resource planning) yazılımında kritik bir sıfır-gün zafiyeti varmış. shinyhunters grubu bunu keşfetmiş (ya da almış birilerinden) ve doğrudan üniversitelerin sistemlerine girmiş.

niye üniversiteler diyeceksiniz, çünkü:

• yüksek öğretim kurumları oracle erp’yi yoğun kullanıyor
• öğrenci verileri, araştırma dataları, finansal bilgiler hepsi burada
• genelde güvenlik bütçeleri yetersiz (klasik)
• büyük ve karmaşık sistemler, yama yönetimi zor

oracle henüz resmi bir açıklama yapmamış ama durum ciddi. hangi cve numarası olduğu henüz netleşmedi, oracle sessiz kalmayı tercih ediyor şu an.

shinyhunters kimdir

agalar, bu grup yeni değil. daha önce de büyük veri sızıntılarında adı geçmişti:

• microsoft, at&t, ticketmaster gibi devleri vuran grup
• çaldığı verileri genelde dark web’de satıyor
• üniversite verileri özellikle kimlik hırsızlığı için değerli

etkilenen sistemler

ne yapmalısınız

şimdi eğer oracle erp kullanıyorsanız (özellikle üniversite/eğitim kurumundaysanız):

1. acil kontroller

# oracle erp loglarını kontrol edin
# anormal erişim denemelerine bakın
tail -f /oracle/logs/access.log | grep -i "unauthorized\|failed\|suspicious"

# son 7 gündeki admin erişimlerini inceleyin
grep "admin" /var/log/oracle/*.log | tail -100

2. oracle’dan güncelleme bekleyin

oracle henüz yama yayınlamadı ama:

• oracle support hesabınızı sürekli kontrol edin
• kritik güncellemeler için alert kurun
• my oracle support üzerinden security advisory’leri takip edin

3. geçici önlemler

yamayı beklerken şunları yapabilirsiniz:

ağ seviyesi:

# erp sistemine dış erişimi kısıtlayın
# sadece vpn üzerinden erişim olsun
iptables -A INPUT -p tcp --dport 8080 -s 10.0.0.0/8 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -j DROP

# waf kurallarını sıkılaştırın
# sql injection ve command injection kontrolü

uygulama seviyesi:

• gereksiz admin hesaplarını devre dışı bırakın
• mfa’yı (çok faktörlü kimlik doğrulama) zorunlu yapın
• api erişimlerini audit edin
• default şifreleri değiştirin (hala yapmayanlar varsa)

4. veri sızıntısı kontrolü

# hassas veri erişimlerini loglardan kontrol edin
grep -r "student_records\|financial_data\|ssn" /oracle/logs/

# anormal veri transferlerine bakın
# büyük boyutlu export işlemleri şüpheli

5. incident response planı

eğer sızıntı tespit ederseniz:

• hemen network’ten izole edin sistemi
• forensic analiz için logları yedekleyin
• yasal ekibi bilgilendirin (gdpr/kvkk falan)
• etkilenen kullanıcıları uyarın

üniversitedeyseniz ekstra dikkat

arkadaşlar özellikle yüksek öğretim kurumlarındaysanız:

• öğrenci kayıt sistemlerinizi kontrol edin
• finansal aid (burs) verilerini check edin
• araştırma datalarına unauthorized erişim var mı bakın
• alumni (mezun) veritabanları da hedef olabilir

kontrol edilmesi gereken kritik veriler:

• sosyal güvenlik numaraları (ssn)
• kredi kartı bilgileri
• öğrenci sağlık kayıtları
• araştırma verileri (özellikle hassas projeler)
• personel bordro bilgileri

dark web monitoring

shinyhunters çaldığı verileri satıyor genelde, o yüzden:

• kurumunuzun domain’ini dark web’de izleyin
• “have i been pwned” benzeri servislere kayıt olun
• threat intelligence feed’lerini takip edin

# basit bir monitoring scripti (örnek)
# gerçek üretim için profesyonel tool kullanın
curl -s "https://haveibeenpwned.com/api/v3/breachedaccount/youruni.edu" \
  -H "hibp-api-key: YOUR_KEY"

oracle’a mesaj

agalar oracle’a sesleniyorum:

• şeffaf olun, cve numarasını açıklayın
• acil yama yayınlayın
• etkilenen versiyonları net belirtin
• müşterilerinize düzgün bilgilendirme yapın

sessiz kalmak sorunu çözmüyor, daha da kötüleştiriyor.

timeline (ne zaman ne oldu)

• bilinmeyen tarih: açık ilk kez sömürülmeye başlandı
• son haftalarda: shinyhunters yoğun saldırı düzenledi
• şu an: veriler çalınmış durumda
• yakında (umarız): oracle yama yayınlayacak

edit: oracle’dan henüz resmi açıklama yok ama dark reading’in haberi güvenilir kaynak.

sonuç

arkadaşlar durum ciddi. özellikle oracle erp kullanan üniversiteler ve kurumlar:

• loglarınızı inceleyin hemen
• oracle’dan güncelleme bekleyin
• geçici önlemleri alın
• incident response planınızı hazır tutun

bu tür sıfır-gün açıkları en tehlikeli olanlar çünkü yama yokken sömürülüyorlar. savunma tarafı hep bir adım geride kalıyor.

yedeklerinizi kontrol edin, güvenlik ekibinizi uyarın, ve oracle’ın açıklamasını bekleyin.

önemli: ben bu yazıyı hazırlarken oracle’dan resmi cve numarası gelmemişti. geldiği anda update edeceğim. siz de oracle security alerts’i takip edin.

kaynaklar

• Dark Reading - ShinyHunters Uses Oracle Zero-Day to Rampage Higher Ed
• Oracle Critical Patch Updates
• Oracle Support

bkz: shinyhunters, oracle erp, sıfır-gün zafiyeti, yüksek öğretim güvenliği

Bu içerik yapay zeka tarafından oluşturulmuştur.