Uzaktan destek ürünü SimpleHelp'te keşfedilen kritik bir güvenlik açığı, saldırganlar tarafından daha önce bilinmeyen kötü amaçlı yazılımları dağıtmak için kullanılıyor. BlackPoint tarafından Pazartesi günü yayınlanan bir rapora göre, bu kötü amaçlı yazılımlar bulut platformları, paket kayıtları ve yapay zeka geliştirme asistanlarındaki hassas kimlik bilgilerini çalmak için kullanılıyor.
CVE-2024-48558 olarak izlenen güvenlik açığı, OpenID Connect (OIDC) kimlik doğrulama protokolündeki bir kimlik doğrulama atlatma hatasından kaynaklanıyor. Horizon3.ai tarafından yayınlanan bir rapora göre, OIDC yapılandırıldığında, bir saldırgan sahte bir token kullanarak tamamen kimliği doğrulanmış bir 'teknisyen' oturumuna erişebiliyor. Bu sayede saldırganlar ayrıcalıklı yönetim faaliyetleri gerçekleştirebiliyor.
BlackPoint raporu, güvenlik açığının istismar edildiği bir olayı detaylandırıyor. Saldırganlar, TaskWeaver adlı yoğun şekilde gizlenmiş bir Node.js yükleyici ve Windows, macOS ve Linux sistemlerinde çalışan Djinn Stealer adlı ikinci aşama bir kötü amaçlı yazılım kullanarak saldırıyı gerçekleştirdi. TaskWeaver, ele geçirilen sistemi tanımlamak ve saldırganların kontrolündeki altyapı ile şifreli iletişim kurmak için kullanıldı. Djinn Stealer ise bulut platformları, paket kayıtları ve yapay zeka geliştirme asistanları dahil olmak üzere çeşitli kimlik bilgilerini çaldı.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu güvenlik açığını Pazartesi günü Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu gelişme, SimpleHelp kullanıcılarının acilen güncelleme yapması gerektiğini vurguluyor.
