SimpleHelp adlı uzaktan destek yazılımında keşfedilen kritik bir güvenlik açığı, siber saldırganlar tarafından aktif olarak sömürülüyor. BlackPoint'in Pazartesi günü yayımladığı rapora göre, bu açık daha önce bilinmeyen zararlı yazılım türlerini hedef sistemlere bulaştırmak için kullanılıyor. Saldırganlar, özellikle bulut platformları, paket kayıtları ve yapay zeka geliştirme asistanları gibi kritik alanlardaki hassas kimlik bilgilerini çalmayı hedefliyor.
CVE-2024-48558 olarak izlenen güvenlik açığı, OpenID Connect (OIDC) kimlik doğrulama protokolünde bir kimlik doğrulama atlatma zafiyeti olarak tanımlanıyor. Horizon3.ai tarafından bu ay başında yayımlanan bir rapora göre, OIDC yapılandırıldığında saldırganlar sahte bir token kullanarak tam yetkili bir 'teknisyen' oturumu elde edebiliyor. Bu sayede yetkisiz yönetim işlemleri gerçekleştirebiliyorlar.
BlackPoint'in raporu, bu açığın sömürüldüğü bir olayı detaylandırıyor. Saldırganlar, TaskWeaver adı verilen ağır şekilde gizlenmiş bir Node.js yükleyici ve Djinn Stealer adlı ikinci aşama bir zararlı yazılım kullanmış. TaskWeaver, hedef sistemi parmak izi alarak şifrelenmiş iletişim kurarken, Djinn Stealer Windows, macOS ve Linux sistemlerinde çalışarak bulut platformları, paket kayıtları ve AI geliştirme asistanlarından kimlik bilgilerini çalıyor.
Uzmanların Görüşleri
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu güvenlik açığını Pazartesi günü Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu, açığın ciddiyetini ve aktif olarak kullanıldığını gösteriyor. Kullanıcıların SimpleHelp yazılımlarını en güncel sürüme yükseltmeleri ve OIDC yapılandırmalarını gözden geçirmeleri öneriliyor.
