Siber güvenlik firması SonicWall, yakın zamanda bulut tabanlı yedekleme hizmetine yönelik şüpheli aktiviteler tespit ettiğini duyurdu. Bilinmeyen tehdit aktörleri, müşterilerin %5’inden azına ait yedek güvenlik duvarı tercih dosyalarına erişim sağladı. Dosyalardaki kimlik bilgileri şifrelenmiş olsa da, bu veriler saldırganların güvenlik duvarlarını kötüye kullanmasına olanak tanıyabilecek kritik bilgiler içeriyordu.
Şirket, bu olayın fidye yazılımı saldırısı olmadığını, daha çok kaba kuvvet saldırılarıyla yedek dosyalara erişim amaçlandığını belirtti. Saldırının sorumlusu henüz tespit edilmedi.
Önerilen Güvenlik Adımları
SonicWall, müşterilerine MySonicWall.com üzerinden bulut yedeklemelerinin aktifliğini kontrol etmelerini, etkilenen seri numaralarının işaretlenip işaretlenmediğini doğrulamalarını ve WAN erişimini sınırlandırmalarını tavsiye ediyor. Ayrıca HTTP/HTTPS/SSH yönetimi kapatılmalı, SSL VPN ve IPSec VPN erişimleri devre dışı bırakılmalı, kayıtlı şifreler ve TOTP’lar sıfırlanmalı, günlükler ve yapılandırma değişiklikleri olağandışı hareketler için incelenmelidir.
Etkilenen müşterilere SonicWall tarafından sağlanan yeni tercih dosyalarının uygulanması öneriliyor. Bu dosyalarda tüm yerel kullanıcılar için rastgele şifreler, TOTP bağlamasının sıfırlanması ve rastgele IPSec VPN anahtarları yer alıyor. SonicWall, yeni dosyanın bulut depolamadaki en güncel tercih dosyasından oluşturulduğunu, ancak istenilen ayarları yansıtmıyorsa kullanılmaması gerektiğini belirtti.
Arka Plan ve İlgili Tehditler
Bu açıklama, Akira fidye yazılımı grubuna bağlı tehdit aktörlerinin, CVE-2024-40766 (CVSS 9.3) güvenlik açığını kullanarak yamalanmamış SonicWall cihazlarına erişim sağlamaya devam ettiği bir dönemde geldi. Huntress adlı siber güvenlik şirketi, SonicWall VPN’lerinin kötüye kullanıldığı ve çok faktörlü kimlik doğrulamayı aşmak için kurtarma kodlarının kullanıldığı bir saldırıyı raporladı. Saldırganlar, Huntress portalına girerek aktif uyarıları kapattı ve EDR ajanlarını kaldırmaya çalıştı, böylece savunmaları etkisiz hale getirmeyi hedefledi.
Uzmanlar, kurtarma kodlarının ayrıcalıklı hesap şifreleri kadar hassasiyetle korunması gerektiğini vurguluyor.