lorem ipsum zararlısı artık clickfix yöntemiyle dağıtılıyor

arkadaşlar, lorem ipsum diye bir zararlı yazılım kampanyası var, biliyorsunuzdur belki. işte bu kampanya artık clickfix diye bir yöntemle dağıtılıyormış. dark reading’in yeni analizine göre bu iş vice society ransomware grubuyla bağlantılı olabilir. yani ciddi bir tayfa bu.

olay ne?

şöyle ki agalar, saldırganlar wordpress sitelerini ele geçiriyorlar (klasik hareket) ve ardından bu siteleri kullanarak lorem ipsum zararlısını yaymaya çalışıyorlar. ama bu sefer clickfix denen bir teknik kullanıyorlar. clickfix nedir diyenler için kısaca açıklayayım: kullanıcıyı kandırıp bir şeye tıklatıyorlar, sonra da zararlı yazılım sisteme bulaşıyor. sosyal mühendisliğin günceli yani.

spoiler: vice society grubu ransomware ve veri sızdırma işleriyle uğraşan bir tayfa. bunlarla işiniz düşerse hem dosyalarınız şifrelenir hem de verileriniz sızdırılır, ikili kombo.

teknik detaylar

kampanya şu şekilde işliyor:

1. wordpress siteleri ele geçiriliyor (güncel tutmayan arkadaşlar, size bakıyorum)
2. bu siteler üzerinden clickfix yöntemiyle kullanıcılar kandırılıyor
3. lorem ipsum zararlısı sisteme bulaşıyor
4. ardından muhtemelen ransomware veya veri hırsızlığı geliyor

vice society bağlantısı da cabası, çünkü bu grubun taktikleriyle örtüşüyor kampanyanın yürütülüş şekli.

etkilenen sistemler

ne yapmalısınız?

şimdi yapmanız gerekenler:

wordpress yöneticileri için

# wordpress ve tüm eklentileri güncelleyin
wp core update
wp plugin update --all
wp theme update --all

# güvenlik eklentisi kurun (wordfence, sucuri vs)
wp plugin install wordfence --activate

# admin paneli erişimini sınırlayın
# .htaccess veya güvenlik eklentisiyle IP kısıtlaması yapın

sistem yöneticileri için

# web sunucusu loglarını kontrol edin
grep -i "suspicious" /var/log/apache2/access.log
grep -i "suspicious" /var/log/nginx/access.log

# antivirüs taraması yapın
clamscan -r /var/www/html/

# dosya bütünlüğü kontrolü
# wordpress core dosyalarını orijinalleriyle karşılaştırın

son kullanıcılar için

• bilinmeyen sitelerden gelen “tıkla şunu yap” tarzı uyarılara asla güvenmeyin
• browser’ınızı ve işletim sisteminizi güncel tutun
• antivirüs yazılımınız aktif olsun
• şüpheli bir şey indirdiyseniz hemen IT ekibinize bildirin

geçici çözümler

eğer hemen güncelleme yapamıyorsanız:

• wordpress admin paneline sadece güvenilir IP’lerden erişim verin
• WAF (web application firewall) kurun veya aktif edin
• rate limiting uygulayın
• şüpheli dosya upload’larını engelleyin
• wp-admin ve wp-login.php’ye 2FA ekleyin

dikkat: bunlar geçici çözümler, asıl yapmanız gereken güncellemeleri yapmak.

öneriler

agalar, şunu bi aklınızda tutun:

1. wordpress’i güncel tutun: yani ciddi ciddi, hem core’u hem eklentileri hem temaları. eski versiyonlar açık davetiye gibi.

2. kullanılmayan eklentileri silin: “belki lazım olur” demeyin, olmayacak. gereksiz her eklenti bir açık kapı.

3. yedek alın: düzenli yedek almadan yapmayın bu işi. hem dosya hem veritabanı yedeği.

4. güvenlik eklentisi kullanın: wordfence, sucuri, ithemes security gibi. bedava versiyonları bile işinizi görür.

5. kullanıcı eğitimi: son kullanıcılara clickfix gibi sosyal mühendislik taktiklerini anlatın. “tıkla şunu kopyala yapıştır” diyorsa şüphelensinler.

edit: vice society grubu özellikle eğitim ve sağlık sektörünü hedef alıyor. bu sektörlerdeyseniz ekstra dikkatli olun.

kaynaklar

• Dark Reading - Orijinal Haber
• WordPress Güvenlik Güncellemeleri
• Vice Society Threat Profile

sonuç olarak arkadaşlar, wordpress siteniz varsa hemen güncelleyin. yoksa lorem ipsum zararlısı kapınızı çalabilir. kullanıcılarınıza da clickfix gibi kandırma taktiklerini anlatın. “tıkla şunu yap” diyorsa düşünsünler iki kere.

bu arada vice society bağlantısı doğruysa bu iş ciddi boyutlara varabilir. ransomware grubu demek hem şifreleme hem veri sızdırma demek. yani double trouble.

hadi bakalım, işe koyulun. önce yedek alın, sonra güncelleyin, sonra test edin. klasik üçlü.

Bu içerik yapay zeka tarafından oluşturulmuştur.