Açıkta Kalan Sunucu: Bir Korsanın El Kitabı Herkese Açık

CloudSEK araştırmacıları, bir Rus bağlantılı tehdit aktörüne ait sunucuda, operatörün tüm faaliyetlerini komut düzeyinde kaydeden açık bir dizin keşfetti . Bu dizin adeta bir 'oyun kitabı' ve tuş vuruşu kaydı gibiydi ve şunları içeriyordu:

• CVE numaralarına göre sıralanmış istismar araçları
• Ülkelere göre ayrılmış hedef listeleri
• 'Güvenlik açığı var', 'yok' ve 'ulaşılamaz' şeklinde sınıflandırılmış tarama çıktıları
• Yüz binlerce hedefin üzerinde ilerlemeyi takip eden bir kontrol mekanizması

İstismar Edilen Güvenlik Açıkları ve Hedef Sektörler

Komisyoncu, internete açık uç cihazları ve web uygulamalarını hedef alan en az 12 farklı CVE için istismar araçları barındırıyordu . Etkilenen satıcılar arasında Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin ve Hikvision gibi isimler yer alıyor . Çoğu istismar, herkese açık kanıt-kavram kodları olsa da, Fortinet ve Citrix'e ait bazı kritik istismarlar, SSH anahtar enjeksiyonu, VPN kullanıcısı oluşturma, yönetici arka kapısı kurma ve toplu tarama gibi işlemleri otomatikleştiren, Rusça arayüzlere sahip modüler yapılara dönüştürülmüştü . Operatör ayrıca 'nuclei' şablonlarının bir kopyasını ve yeni güvenlik açıklarını ile C2/stealer panellerini tespit etmek için 100'den fazla özel şablonu da sunucuda bulunduruyordu .

Hedeflenen sektörler arasında eğitim, sağlık, finans, telekomünikasyon ve devlet kurumları bulunuyordu. Hedefler, Kuzey Amerika, Avrupa ve ötesinde düzinelerce ülkeye yayılmıştı .

Active Directory'nin Tamamen Ele Geçirildiğine Dair Kanıtlar

Operatörün sızma sonrası zinciri, Active Directory (AD) üzerinde tam hakimiyet kurduğuna dair net kanıtlar sunuyor :

• Yanal hareket: Neo-reGeorgia web kabukları ve SOCKS tünelleriyle iç ağa erişim sağlandıktan sonra, NTLM tabanlı yanal hareket için Evil-WinRM kullanıldı .
• Kimlik bilgisi hırsızlığı: Domain denetleyicilerinden DPAPI yedekleme anahtarları çıkarıldı; SAM ve LSA sırları boşaltıldı; tarayıcılarda saklanan kimlik bilgileri toplandı .
• krbtgt'nin ele geçirilmesi ve altın biletler: Saldırgan, krbtgt hash'ini çıkararak on yıllık geçerlilik süresine sahip Kerberos biletleri (altın bilet) üretti. Bu sayede parola sıfırlamalarından ve uç nokta temizliklerinden bağımsız olarak ağa süresiz erişim sağlayabildi .
• Gerçek dünyadan bir vaka ile doğrulama: ABD'li bir sağlık hizmeti sağlayıcısı olan Greater Pittsburgh Orthopaedic Associates (GPOA) şirketinin bilgileri, saldırganın dizininde bulundu ve domain'in tamamen ele geçirildiği doğrulandı (yönetici kimlik bilgileri çalınmış, domain denetleyicisinden DPAPI anahtarı alınmıştı). GPOA, kısa bir süre sonra RansomHouse fidye yazılımı grubunun sızıntı sitesinde yayınlandı. Geçen süre, tipik bir erişim komisyoncusundan fidye yazılımı saldırısına kadar geçen süreyle birebir örtüşüyordu .

Ukrayna'ya Karşı İstihbarat Toplama Yöntemleri

Operasyon zaman çizelgesinin ilerleyen kısımlarında, faaliyetler tamamen ticari erişim komisyonculuğundan farklılaştı :

• Sliver C2 kullanımı: Operatör, Ukrayna savunma ve havacılık hedeflerine karşı Sliver komuta-kontrol çerçevesini devreye soktu .
• Kaynak kodu hırsızlığı: Komisyoncu, savunma ile ilgili projelere açık versiyon kontrol sistemleri üzerinden sızarak kaynak kod depolarını çaldı .
• IP kamera gözetimi: Operatör, binlerce açık IP kameradan görüntü topladı ve açıkta bırakılmış uzak masaüstü (RDP) oturumlarının ekran görüntülerini aldı. Bu bilgiler, Ukrayna askeri varlıklarının coğrafi konumlarını tespit etmek için kullanılabilecek nitelikteydi .
• İkincil hedefler: Bulgular, ABD, Avrupa ve Güney Kore'nin ikincil istihbarat hedefleri arasında olduğunu gösteriyor .

CloudSEK, bu yöntemlerin, Hollanda istihbarat servisleri AIVD/MIVD'nin, Rus devlet bağlantılı kamera gözetimi hakkında yayınladığı uyarılarla neredeyse birebir örtüştüğüne dikkat çekiyor .

Bu Çifte Profil, Belgelenmiş Rus Uygulamalarına Nasıl Uyuyor?

CloudSEK, operatörün büyük olasılıkla bir Rusça konuşan ilk erişim komisyoncusu olduğunu ve Ukrayna odaklı faaliyetlerinin, kamera istihbaratı da dahil olmak üzere erişimi devlet alıcılarına satan bir 'suçlu müteahhit' olarak en iyi şekilde açıklanabileceğini belirtiyor .

Bu durum, Rus istihbaratının (SVR, GRU, FSB) iyi belgelenmiş bir modeliyle örtüşüyor: Devlet destekli aktörler, ilk sızmayı kendileri yapmak yerine, ağ erişimini düzenli olarak suç ekosisteminden satın alıyorlar . Suçlu komisyoncu, yüksek hacimli ve gürültülü olan tarama ve uç cihazları istismar etme işini üstleniyor; devlet müşterileri ise kendi altyapılarını riske atmadan, yüksek değerli hedeflere (özellikle savunma, havacılık ve devlet kurumları) önceden yerleştirilmiş erişim için ödeme yapıyor.

Aynı erişim, ticari hedeflere karşı kâr amaçlı fidye yazılımı gruplarına satılırken, Ukrayna askeri hedeflerine karşı bir gözetim boru hattı olarak da satılıyordu. Bu, aynı teknik yeteneğin hem suç geliri hem de Rus devleti için stratejik istihbarat değeri ürettiği bir 'çifte kullanım' modeliydi .

Açıkta Kalan Sunucu: Bir Korsanın El Kitabı Herkese Açık

CloudSEK araştırmacıları, bir Rus bağlantılı tehdit aktörüne ait sunucuda, operatörün tüm faaliyetlerini komut düzeyinde kaydeden açık bir dizin keşfetti . Bu dizin adeta bir 'oyun kitabı' ve tuş vuruşu kaydı gibiydi ve şunları içeriyordu:

• CVE numaralarına göre sıralanmış istismar araçları
• Ülkelere göre ayrılmış hedef listeleri
• 'Güvenlik açığı var', 'yok' ve 'ulaşılamaz' şeklinde sınıflandırılmış tarama çıktıları
• Yüz binlerce hedefin üzerinde ilerlemeyi takip eden bir kontrol mekanizması

İstismar Edilen Güvenlik Açıkları ve Hedef Sektörler

Komisyoncu, internete açık uç cihazları ve web uygulamalarını hedef alan en az 12 farklı CVE için istismar araçları barındırıyordu . Etkilenen satıcılar arasında Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin ve Hikvision gibi isimler yer alıyor . Çoğu istismar, herkese açık kanıt-kavram kodları olsa da, Fortinet ve Citrix'e ait bazı kritik istismarlar, SSH anahtar enjeksiyonu, VPN kullanıcısı oluşturma, yönetici arka kapısı kurma ve toplu tarama gibi işlemleri otomatikleştiren, Rusça arayüzlere sahip modüler yapılara dönüştürülmüştü . Operatör ayrıca 'nuclei' şablonlarının bir kopyasını ve yeni güvenlik açıklarını ile C2/stealer panellerini tespit etmek için 100'den fazla özel şablonu da sunucuda bulunduruyordu .

Hedeflenen sektörler arasında eğitim, sağlık, finans, telekomünikasyon ve devlet kurumları bulunuyordu. Hedefler, Kuzey Amerika, Avrupa ve ötesinde düzinelerce ülkeye yayılmıştı .

Active Directory'nin Tamamen Ele Geçirildiğine Dair Kanıtlar

Operatörün sızma sonrası zinciri, Active Directory (AD) üzerinde tam hakimiyet kurduğuna dair net kanıtlar sunuyor :

• Yanal hareket: Neo-reGeorgia web kabukları ve SOCKS tünelleriyle iç ağa erişim sağlandıktan sonra, NTLM tabanlı yanal hareket için Evil-WinRM kullanıldı .
• Kimlik bilgisi hırsızlığı: Domain denetleyicilerinden DPAPI yedekleme anahtarları çıkarıldı; SAM ve LSA sırları boşaltıldı; tarayıcılarda saklanan kimlik bilgileri toplandı .
• krbtgt'nin ele geçirilmesi ve altın biletler: Saldırgan, krbtgt hash'ini çıkararak on yıllık geçerlilik süresine sahip Kerberos biletleri (altın bilet) üretti. Bu sayede parola sıfırlamalarından ve uç nokta temizliklerinden bağımsız olarak ağa süresiz erişim sağlayabildi .
• Gerçek dünyadan bir vaka ile doğrulama: ABD'li bir sağlık hizmeti sağlayıcısı olan Greater Pittsburgh Orthopaedic Associates (GPOA) şirketinin bilgileri, saldırganın dizininde bulundu ve domain'in tamamen ele geçirildiği doğrulandı (yönetici kimlik bilgileri çalınmış, domain denetleyicisinden DPAPI anahtarı alınmıştı). GPOA, kısa bir süre sonra RansomHouse fidye yazılımı grubunun sızıntı sitesinde yayınlandı. Geçen süre, tipik bir erişim komisyoncusundan fidye yazılımı saldırısına kadar geçen süreyle birebir örtüşüyordu .

Ukrayna'ya Karşı İstihbarat Toplama Yöntemleri

Operasyon zaman çizelgesinin ilerleyen kısımlarında, faaliyetler tamamen ticari erişim komisyonculuğundan farklılaştı :

• Sliver C2 kullanımı: Operatör, Ukrayna savunma ve havacılık hedeflerine karşı Sliver komuta-kontrol çerçevesini devreye soktu .
• Kaynak kodu hırsızlığı: Komisyoncu, savunma ile ilgili projelere açık versiyon kontrol sistemleri üzerinden sızarak kaynak kod depolarını çaldı .
• IP kamera gözetimi: Operatör, binlerce açık IP kameradan görüntü topladı ve açıkta bırakılmış uzak masaüstü (RDP) oturumlarının ekran görüntülerini aldı. Bu bilgiler, Ukrayna askeri varlıklarının coğrafi konumlarını tespit etmek için kullanılabilecek nitelikteydi .
• İkincil hedefler: Bulgular, ABD, Avrupa ve Güney Kore'nin ikincil istihbarat hedefleri arasında olduğunu gösteriyor .

CloudSEK, bu yöntemlerin, Hollanda istihbarat servisleri AIVD/MIVD'nin, Rus devlet bağlantılı kamera gözetimi hakkında yayınladığı uyarılarla neredeyse birebir örtüştüğüne dikkat çekiyor .

Bu Çifte Profil, Belgelenmiş Rus Uygulamalarına Nasıl Uyuyor?

CloudSEK, operatörün büyük olasılıkla bir Rusça konuşan ilk erişim komisyoncusu olduğunu ve Ukrayna odaklı faaliyetlerinin, kamera istihbaratı da dahil olmak üzere erişimi devlet alıcılarına satan bir 'suçlu müteahhit' olarak en iyi şekilde açıklanabileceğini belirtiyor .

Bu durum, Rus istihbaratının (SVR, GRU, FSB) iyi belgelenmiş bir modeliyle örtüşüyor: Devlet destekli aktörler, ilk sızmayı kendileri yapmak yerine, ağ erişimini düzenli olarak suç ekosisteminden satın alıyorlar . Suçlu komisyoncu, yüksek hacimli ve gürültülü olan tarama ve uç cihazları istismar etme işini üstleniyor; devlet müşterileri ise kendi altyapılarını riske atmadan, yüksek değerli hedeflere (özellikle savunma, havacılık ve devlet kurumları) önceden yerleştirilmiş erişim için ödeme yapıyor.

Aynı erişim, ticari hedeflere karşı kâr amaçlı fidye yazılımı gruplarına satılırken, Ukrayna askeri hedeflerine karşı bir gözetim boru hattı olarak da satılıyordu. Bu, aynı teknik yeteneğin hem suç geliri hem de Rus devleti için stratejik istihbarat değeri ürettiği bir 'çifte kullanım' modeliydi .