çin bağlantılı hackerlar devlet kurumlarının emaillerini çaldı, portal üzerinden dağıttı

arkadaşlar, fbi ve 7 ülkenin güvenlik kurumları birlikte açıklama yaptı: çin’e bağlı bir siber güvenlik şirketi (integrity technology group deniyor) devlet kurumlarının, polis teşkilatının, hastanelerin ve dini kuruluşların emaillerini çalmış. sonra da çalınan bu emailleri bir portal üzerinden başkasına satıp dağıtmışlar. spoiler: bu açık çok ciddi, hemen dikkat edin.

neler olmuş tam olarak?

integrity technology group denen şirket, southeast asia’daki hedefleri tarayıp zafiyetleri bulmak için bir tarama aracı kullanmış. sonra da bu açıkları istismar ederek email sistemlerine sızıp milyonlarca emaili çalmışlar. ama işin en kötü kısmı: çalınan bu emailleri başka saldırganlara satıp bir portal üzerinden erişim sağlamışlar. yani sadece kendileri değil, başka kötü niyetli tipler de bu emaillere ulaşmış.

bu neden önemli?

• devlet kurumları hedef alınmış: hükümet, polis, istihbarat - hepsi etkilenmiş
• sağlık ve dini kurumlar da var: hastaneler ve kiliseler gibi yerler de saldırıya maruz kalmış
• emaillerin başkasına satılması: bu emaillerde hassas bilgiler var, şifre resetleri, kişisel veriler, gizli yazışmalar
• portal üzerinden dağıtım: yani birden fazla saldırgan bu verileri kullanabiliyor

etkilenen kurumlar

yapmanız gerekenler

acil yapılması gerekenler:

1. email güvenliğini kontrol edin

   # email sunucunuzda şüpheli login aktivitesini arayın
   # exchange'de audit logs kontrol edin
   Get-MailboxAuditBypassAssociation | fl
   
   # linux'ta postfix/dovecot loglarını kontrol edin
   grep "Failed password" /var/log/auth.log | wc -l
   

2. şifreleri değiştirin

   • tüm admin hesaplarının şifrelerini değiştirin
   • email hesaplarının şifrelerini sıfırlayın
   • mfa (çok faktörlü doğrulama) etkinleştirin

3. access logs’u analiz edin

   • şüpheli giriş noktalarını bulun
   • beklenmedik coğrafi konumlardan gelen erişimleri kontrol edin
   • yeni device’lardan gelen loginleri inceleyin

4. email taraması yapın

   # sendmail/postfix'te şüpheli mesajları arayın
   grep "suspicious" /var/log/maillog
   
   # exchange'de phishing emaillerini temizleyin
   Search-Mailbox -Identity "Mailbox Name" -SearchQuery 'from:suspicious@domain.com' -DeleteContent
   

geçici çözümler (hemen yapabildikleriniz)

• IP filtreleme: integrity technology group’un bilinen ip adreslerini firewall’dan bloklayın
• email gateway güçlendirme: spam/malware filtresini en yüksek seviyeye çekin
• vpn zorunluluğu: dış erişimleri vpn üzerinden yönlendirin
• session timeout: email oturumlarının timeout süresini azaltın
• anomali tespiti: anormal email davranışlarını izleyen sistemler kurun

edit: fbi’ın açıklaması

fbi ve İngiltere’nin national crime agency’si integrity technology group’u yaptırımla cezalandırdı. şirket artık abd ve uk’da iş yapamayacak. ama bu emaillerin internette dolaşması riski hala var, agalar.

edit 2: southeast asia uyarısı

eğer southeast asia bölgesinde çalışan bir kurumsanız, bu saldırıdan etkilenme ihtimaliniz çok yüksek. hemen email sunucularınızı kontrol edin.

kaynaklar

• The Hacker News - FBI Says China-Linked Hackers Ran Portal
• FBI Official Statement
• UK National Crime Agency

Bu içerik yapay zeka tarafından oluşturulmuştur.