SimpleHelp adlı uzaktan destek yazılımında keşfedilen kritik bir güvenlik açığı, siber saldırganlar tarafından aktif olarak istismar ediliyor. BlackPoint tarafından Pazartesi günü yayımlanan rapora göre, bu açık daha önce bilinmeyen zararlı yazılım türlerini yaymak için kullanılıyor. Özellikle bulut platformları, paket kayıtları ve yapay zeka geliştirme asistanlarına ait hassas kimlik bilgilerini hedef alan bir bilgi hırsızı (info stealer) saldırıların odağında yer alıyor.
CVE-2024-48558 olarak izlenen güvenlik açığı, OpenID Connect (OIDC) kimlik doğrulama protokolündeki bir kimlik doğrulama atlatma zafiyetinden kaynaklanıyor. Horizon3.ai tarafından yayımlanan bir rapora göre, OIDC yapılandırıldığında saldırgan, sahte bir token kullanarak tamamen doğrulanmış bir 'teknisyen' oturumu elde edebiliyor. Bu sayede ayrıcalıklı yönetim faaliyetleri gerçekleştirebiliyorlar.
BlackPoint raporu, bu açığın istismar edildiği bir olayı detaylandırıyor. Saldırganlar, ağır şekilde gizlenmiş (obfuscated) bir Node.js yükleyicisi olan TaskWeaver'ı ve ardından Windows, macOS ve Linux sistemlerinde çalışan Djinn Stealer adlı ikinci aşama zararlı yazılımı kullanmış. TaskWeaver, ele geçirilen sistemi parmak izi taraması yaparak tanımlıyor ve saldırganların kontrolündeki altyapı ile şifreli iletişim kuruyor. Djinn Stealer ise bulut platformları, paket kayıtları ve yapay zeka geliştirme asistanlarına ait kimlik bilgilerini çalıyor.
Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu güvenlik açığını Pazartesi günü Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu durum, zafiyetin ciddiyetini ve acilen giderilmesi gerektiğini ortaya koyuyor. SimpleHelp kullanıcılarının, yazılımlarını en son sürüme güncellemeleri ve OIDC yapılandırmalarını gözden geçirmeleri önemle tavsiye ediliyor.
