warlock grubu sharepoint açıklarını istismar ederek fidye yazılımı dağıtıyor

arkadaşlar, şu warlock denen çinli saldırgan grubundan yine haber var. bu sefer microsoft sharepoint’teki açıkları kullanarak portekiz ve ispanya bölgesindeki kritik altyapı, devlet kurumları ve üniversitelere saldırıyor. symantec ve carbon black’in tehdit analiz ekibi bulmuş bu işi.

neler oluyor?

spoiler: bu sadece eski açıklar değil, muhtemelen yeni sharepoint zafiyetlerini de istismar ediyorlar. warlock grubu bu açıkları kullanarak sisteme giriş yapıyor, sonra güvenlik araçlarını devre dışı bırakıyor ve fidye yazılımı yüklüyor. klasik saldırı senaryosu ama çok etkili.

etkilenen bölgeler:

• 🇵🇹 portekiz: kritik altyapı ve devlet kurumları
• 🇪🇸 ispanya: eğitim kurumları ve hükümet
• diğer lusofon ve hispanik ülkeler

warlock kimdir bu?

çin bağlantılı olduğu düşünülen bir tehdit aktörü. sharepoint açıklarını severler bunlar. geçmişte de benzer saldırılarda bulunmuşlardı. bu sefer ise daha sistematik ve geniş çaplı bir kampanya yürütüyorlar.

sharepoint açıkları neler?

tam detaylar henüz açıklanmamış ama söylentilere göre:

• uzaktan kod çalıştırma (RCE) zafiyetleri var
• kimlik doğrulama bypass açıkları
• yetki yükseltme (privilege escalation) sorunları

bu açıklar sayesinde saldırganlar:

1. sharepoint sunucusuna erişim sağlıyor
2. güvenlik araçlarını (antivirus, edr, firewall) devre dışı bırakıyor
3. fidye yazılımını yükleyip dosyaları şifreleyen şeyler yapıyor

etkilenen sistemler

yapmanız gerekenler (acil)

1. microsoft’un yamasını hemen kurun:

# windows update'i çalıştırın
# sharepoint sunucularınız için kritik patchleri indirin
# test ortamında önce deneyin, sonra production'a geçin

# powershell ile kontrol edin
Get-SPServer | Select-Object DisplayName, Status

2. sharepoint erişim loglarını kontrol edin:

# sharepoint'te şüpheli aktivite arayın
# özellikle aşağıdaki şeylere dikkat edin:
# - admin hesaplarından alışılmadık saatlerde erişimler
# - toplu dosya indirme işlemleri
# - yeni kullanıcı oluşturma işlemleri

3. güvenlik araçlarınızı kontrol edin:

# antivirüs ve edr ürünlerinizin çalışıp çalışmadığını kontrol edin
# devre dışı bırakılan servisler var mı diye bakın
# event viewer'da şüpheli process termination'ları arayın

4. ağ segmentasyonunu güçlendirin:

# sharepoint sunucularını izole ağa alın
# dış erişimi kısıtlayın (sadece gerekli portlar)
# firewall kurallarını sıkılaştırın

geçici çözümler (yama yapana kadar)

• sharepoint’e erişimi sadece vpn üzerinden açın
• multi-factor authentication (mfa) zorunlu hale getirin
• sharepoint sunucularına erişebilen ip adreslerini whitelist’e alın
• güvenlik araçlarınızın loglarını merkezi bir yere gönderin (siem)
• dosya bütünlüğü izlemesini (file integrity monitoring) açın

edit: cisa’dan uyarı var

cisa (amerikan siber güvenlik ajansı) da bu saldırıları izliyor ve uyarı yayınlamış. demek ki ciddi bir olay. hemen harekete geçin.

edit 2: microsoft’tan resmi açıklama

microsoft da şu an sharepoint güvenliği üzerinde yoğun çalışıyor. yeni patchler gelecek günlerde yayınlanacak. haberi takip edin.

dikkat

bu açıklar aktif olarak istismar ediliyor. acele edin.

• yedek almadan hiçbir işe girişmeyin
• test ortamında her şeyi deneyin
• sharepoint sunucularınıza erişebilen kişileri kontrol edin
• fidye yazılımı belirtileri için logları tarayın (şifreleme işlemleri, toplu dosya silme vs)

kaynaklar

• Orijinal Haber - The Hacker News
• Microsoft SharePoint Güvenlik Güncellemeleri
• CISA Uyarıları
• Symantec Tehdit Raporu

Bu içerik yapay zeka tarafından oluşturulmuştur.