SimpleHelp uzaktan yönetim yazılımındaki kritik CVE-2026-48558 zafiyeti, saldırganların TaskWeaver ve Djinn Stealer zararlısını dağıtmasına olanak tanıyor. Bu güvenlik açığı, OpenID Connect (OIDC) kimlik doğrulama sürecindeki bir boşluktan kaynaklanıyor ve doğrulanmamış bir saldırganın sahte bir token ile tam yetkili bir “Teknisyen” oturumu elde etmesini sağlıyor.
Saldırının Genel Çerçevesi
Güvenlik analizleri, TaskWeaver’ın son derece karmaşık ve gizlenmiş bir Node.js yükleyicisi olduğunu gösteriyor. jquery.js adıyla sunulan ve node.exe üzerinden çalışan bu zararlı, sabit komutlar yerine şifrelenmiş ve tekrar kullanılabilir bir payload kanalını yönetiyor. İkinci aşamada ise Djinn Stealer devreye giriyor ve Windows, macOS ve Linux sistemlerden veri çalmayı hedefliyor.
Djinn Stealer, bulut platformları, kaynak kod depoları, paket yöneticileri, altyapı araçları, yapay zeka geliştirme asistanları, tarayıcılar, SSH anahtarları ve kripto para cüzdanları gibi çok geniş bir yelpazeden kimlik bilgilerini toplamaya odaklanıyor. Özellikle bulut güvenliği ve kod yönetiminde kullanılan birçok sistemin hedef alınması, saldırının karmaşıklığını ve etkisini artırıyor.
Saldırı Zinciri ve Teknik Detaylar
SimpleHelp güvenlik açığının detayları bu ay ortaya çıktı. Horizon3.ai araştırmacıları, zafiyetin hem genel OIDC hem de Azure AD OIDC kullanan sunucularda etkili olduğunu belirtti. Zafiyet, SimpleHelp’in IdP (Kimlik Sağlayıcı) doğrulamalarını yetersiz yapmasından kaynaklanıyor. Bu durumda, doğrulanmamış bir saldırgan yeni bir “Teknisyen” hesabı oluşturup kendini yetkili olarak kaydedebiliyor ve yönetilen sistemlere uzaktan erişim sağlayabiliyor.
Üstelik çok faktörlü kimlik doğrulama (MFA) aktif olsa bile, saldırgan bu korumayı aşabiliyor çünkü sistem ilk girişte teknisyenin kendi MFA yöntemini kendisinin seçmesine izin veriyor.
Blackpoint Cyber’ın raporu, bu açığın RMM platformunda başarıyla kullanılmasıyla saldırganların halka açık bir sunucuda yetkili bir teknisyen oturumu elde ettiğini ve buradan TaskWeaver ile Djinn Stealer yüklediğini aktarıyor. Böylece kötü niyetli aktörler, sistemlerde güvenilir yönetici ayrıcalıklarına sahip olmuş oluyor.
Hangi Veriler Tehlikede?
TaskWeaver, sistemde parmak izi çıkarma işlemi yaparak uzak sunucu ile şifreli iletişim kuruyor ve ek JavaScript payload’lar indirip çalıştırıyor. Son aşamada ise Djinn Stealer kritik verileri topluyor. Çalınan bilgiler arasında web tarayıcılarından kimlik bilgileri, bulut servisleri (AWS, Azure, Google Cloud ve daha fazlası), kaynak kod yönetimi verileri, SSH anahtarları ve kripto para cüzdanlarına ait anahtarlar yer alıyor.
Linux sistemlerde ayrıca çalışan işlemlere ilişkin hassas bilgileri içeren sanal dosyalar (/proc/<pid>/cmdline ve environ) okunmaya çalışılıyor. Toplanan veriler, önce TAR arşivine alınıyor, GZIP ile sıkıştırılıyor, AES-256-GCM ile şifreleniyor ve RSA-2048 anahtarıyla korunan bir yöntemle saldırgan sunucusuna aktarılıyor.
Güvenlik Perspektifi ve Öneriler
Bu kampanya, yapay zeka destekli platformların ve bulut servislerinin siber saldırılarda giderek daha fazla hedef haline geldiğini gösteriyor. Saldırganlar, AI asistanlarının yetkilerini kötüye kullanarak hassas verilere erişim sağlıyor. Bu durum, sadece basit bir kimlik doğrulama atlatma açığının tüm altyapıya sızmaya kapı aralayabileceğini ortaya koyuyor.
Yönetici veya geliştirici bilgisayarlarından ele geçirilen kimlik bilgileri, uzun süre sonra bile üretim sistemlerine, kod depolarına ve müşteriye ait ortamlara erişim imkanı sunabilir. Bu nedenle, RMM yazılımlarındaki bu tür açıkların kapatılması kritik önem taşıyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-48558’i bilinen istismar edilen zafiyetler listesine ekleyerek federal kurumların 2 Temmuz 2026’ya kadar yamaları uygulamasını zorunlu kıldı.
KISA TEKNİK ÖZET
- Zararlılar: TaskWeaver (Node.js yükleyici), Djinn Stealer (bilgi çalma)
- Hedefler: Windows, macOS, Linux sistemler; bulut platformları; AI asistanları; kripto cüzdanları
- Zafiyet: CVE-2026-48558 – SimpleHelp OIDC kimlik doğrulama bypass
- Saldırı zinciri: Kimlik doğrulama bypass → Teknisyen oturumu elde etme → Zararlı yükleme → Veri sızıntısı
- Öneri: Yamaların uygulanması, MFA’nın güçlendirilmesi, ağ segmentasyonu ve olay müdahale süreçlerinin gözden geçirilmesi
Sistem Yöneticileri İçin Pratik Kontrollist
- SimpleHelp ve benzeri RMM araçlarının güncel yamalarının uygulanması
- MFA politikalarının ilk oturumda devreye girmesinin sağlanması ve kullanıcıların MFA ayarlarını kendilerinin yapmasının engellenmesi
- EDR çözümleri ile Node.js süreçlerinin davranışlarının izlenmesi
- Ağ segmentasyonu ile RMM sunucularının kritik kaynaklardan izole edilmesi
- Olay müdahale planlarının güncellenerek bu tür kimlik doğrulama bypass saldırılarına karşı senaryoların eklenmesi
- Log yönetimi ile OIDC token aktivitelerinin yakından takip edilmesi
- Bulut ve yapay zeka araçlarına erişim izinlerinin en az ayrıcalık prensibine göre düzenlenmesi
- SSH anahtarlarının ve API tokenlarının periyodik olarak yenilenmesi