Siber güvenlik firması Huntress'in yayımladığı yeni bir rapora göre, bir ilk erişim aracısı (initial access broker), CitrixBleed2 olarak bilinen kritik bir güvenlik açığını silahlandırarak 2026'nın ilk yarısında birden fazla kuruluşa yönelik saldırılar düzenledi. Saldırganlar, açığı kullandıktan sonra ayrıcalık yükseltme yaparak sahte yerel yönetici hesapları oluşturdu ve ScreenConnect ile Zoho Assist gibi meşru uzaktan erişim araçlarıyla kalıcılık sağladı. Ocak-Haziran ayları arasında tespit edilen yaklaşık yarım düzine vaka, tutarlı bir saldırı senaryosu izledi. En ileri vakada ise saldırganlar DragonForce fidye yazılımını devreye soktu.
Huntress baş taktiksel müdahale analisti Michael Tigges, konuyla ilgili yaptığı açıklamada, 'Fidye yazılımına ilerleyen olayda, saldırganların en büyük avantajı hızlarıydı – yerel ayrıcalık yükseltme betiğinin çalıştırılmasının hemen ardından fidye yazılımı devreye girdi ve savunmacıların tepki vermesine neredeyse hiç zaman bırakmadı' dedi. Tüm vakalar benzer saldırı modelleri sergilerken, yalnızca bir olayda DragonForce fidye yazılımı kullanıldı. Huntress, Citrix NetScaler kullanan kuruluşları sistemlerini güncellemeye ve ek önlemler almaya çağırıyor.
Güvenlik açığı, Citrix NetScaler ADC ve NetScaler Gateway ürünlerinde yetersiz girdi doğrulamasından kaynaklanıyor. NetScaler'ın Gateway veya sanal sunucu olarak yapılandırıldığı durumlarda bellek aşımına (memory overread) yol açan bu zafiyet, 2025 yılı boyunca bir dizi saldırıda kullanıldı. Citrix, geçen yıl konuyla ilgili bir güvenlik bülteni yayımlamıştı. İlginç bir şekilde, bu açık 2023'te büyük bir saldırı dalgasına neden olan CitrixBleed zafiyetiyle benzerlik taşıyor. O dönemde Comcast, Boeing'in bir yan kuruluşu ve diğer büyük şirketler hedef alınmıştı.
Gelecekte Ne Bekleniyor?
Nisan ayında Sophos araştırmacıları, STAC3725 adını verdikleri benzer bir saldırı kümesi tespit etti. Bu saldırılarda açık kaynaklı bir makine öykünücüsü olan QEMU'nun kötüye kullanıldığı görüldü. İlk erişim aracılarının bu tür araçları kullanması, saldırıların giderek daha karmaşık hale geldiğini ve savunma mekanizmalarını aşmak için meşru yazılımları istismar etme eğiliminde olduklarını gösteriyor.
Önemli Gelişmeler
Siber güvenlik uzmanları, Citrix NetScaler kullanan kuruluşların derhal güncelleme yapmasını ve ağ segmentasyonu, çok faktörlü kimlik doğrulama (MFA) ve davranışsal analiz gibi ek güvenlik katmanları uygulamasını öneriyor. Ayrıca, uzaktan erişim araçlarının kullanımının sıkı bir şekilde izlenmesi ve yetkisiz erişim girişimlerine karşı uyarı sistemlerinin devreye alınması kritik önem taşıyor. Saldırganların hızlı hareket etme kabiliyeti, geleneksel savunma yöntemlerinin yetersiz kalabileceğini gösteriyor; bu nedenle proaktif tehdit avcılığı ve olay müdahale planlarının güncellenmesi gerekiyor.
Sistem Güvenliği
Bu tür ilk erişim aracıları, genellikle güvenlik açıklarını tespit edip bunları diğer siber suç gruplarına satarak veya kendi saldırılarında kullanarak gelir elde ediyor. CitrixBleed2 gibi zafiyetlerin silahlandırılması, kuruluşların yama yönetimi süreçlerini hızlandırması ve siber güvenlik farkındalığını artırması gerektiğini bir kez daha ortaya koyuyor. Huntress raporu, bu tür saldırıların önlenmesi için sürekli izleme, güvenlik açığı taramaları ve kullanıcı eğitimlerinin önemini vurguluyor.
Kaynak: cybersecuritydive.com
