SimpleHelp adlı uzaktan destek yazılımında keşfedilen kritik bir güvenlik açığı, saldırganlar tarafından aktif olarak istismar ediliyor. BlackPoint tarafından yayınlanan bir rapora göre, bu açık, bilgi çalan yeni kötü amaçlı yazılım türlerinin hedef sistemlere sızmasına olanak tanıyor. Saldırganlar, bu yazılımları kullanarak bulut platformları, paket kayıtları ve yapay zeka geliştirme asistanlarındaki son derece hassas kimlik bilgilerini çalıyor.
CVE-2024-48558 olarak izlenen güvenlik açığı, OpenID Connect (OIDC) kimlik doğrulama protokolündeki bir kimlik doğrulama atlatma zafiyetinden kaynaklanıyor. Horizon3.ai tarafından yapılan analize göre, OIDC yapılandırıldığında, bir saldırgan sahte bir token kullanarak tamamen doğrulanmış bir 'teknisyen' oturumu elde edebiliyor. Bu şekilde yetkilendirilen saldırganlar, ayrıcalıklı yönetim faaliyetleri gerçekleştirebiliyor.
BlackPoint'in raporu, bu açığın istismar edildiği bir olayı detaylandırıyor. Saldırganlar, TaskWeaver adlı yoğun şekilde obfüske edilmiş bir Node.js yükleyicisi ve ardından Windows, macOS ve Linux sistemlerinde çalışan Djinn Stealer adlı ikinci aşama bir kötü amaçlı yazılım kullandı. TaskWeaver, tehlikeye atılan sistemi parmak izi almak ve saldırganların kontrol ettiği altyapıyla şifreli iletişim kurmak için kullanılırken, Djinn Stealer bulut platformları, paket kayıtları ve AI geliştirme asistanları dahil olmak üzere çeşitli kimlik bilgilerini çaldı.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu durum, açığın ciddiyetini ve acilen giderilmesi gerektiğini vurguluyor. SimpleHelp kullanıcılarının, sistemlerini güncellemeleri ve OIDC yapılandırmalarını gözden geçirmeleri öneriliyor.
