MOVEit: Tek Bir Zafiyet Nasıl Yüzlerce Şirketi Aynı Anda Vurdu?

2023'te, Cl0p adlı bir fidye yazılımı grubu, yaygın kullanılan bir kurumsal dosya transfer yazılımı olan MOVEit Transfer'deki bir zafiyeti istismar ederek, TEK BİR saldırı kampanyasıyla dünya çapında binlerce kuruluştan veri çaldı. Bu, "tedarik zinciri saldırısı"nın (supply chain attack) en büyük ölçekli örneklerinden biri.

MOVEit Nedir?

MOVEit Transfer, şirketlerin HASSAS dosyaları (finansal kayıtlar, çalışan verileri, müşteri bilgileri) GÜVENLİ bir şekilde transfer etmesi için kullandığı, Progress Software tarafından geliştirilen kurumsal bir yazılımdı — dünya çapında binlerce büyük kuruluş (devlet kurumları, üniversiteler, havayolları, bankalar) bu yazılımı kullanıyordu.

Zafiyet: SQL Injection, Sıfırıncı Gün

Cl0p grubu, MOVEit'in web arayüzünde DAHA ÖNCE BİLİNMEYEN (zero-day) bir SQL Injection zafiyeti buldu — SQL Injection Cheat Sheet'imizde işlediğimiz TEKNİKLERİN, gerçek dünyadaki en yıkıcı uygulamalarından biri. Bu zafiyet sayesinde saldırganlar, hiçbir kimlik doğrulaması OLMADAN, MOVEit sunucularına DOĞRUDAN erişip veri ÇEKEBİLİYORDU.

Saldırı: Otomatikleştirilmiş, Geniş Ölçekli

Bu saldırının en dikkat çekici yönü, MANUEL bir hedefleme OLMAMASIYDI:

1. Cl0p, zafiyeti bulduktan sonra, İNTERNETE açık TÜM MOVEit sunucularını OTOMATİK olarak TARADI ve İSTİSMAR ETTİ.
2. Bu, TEK bir kuruluşu hedeflemek yerine, MOVEit KULLANAN HERKESİ aynı anda etkiledi — Bulut Güvenliği kütüphanemizdeki tedarik zinciri risklerinin, YAZILIM bağımlılığı bağlamındaki en net örneği.
3. Etkilenenler arasında: BBC, British Airways, ABD Enerji Bakanlığı, çok sayıda üniversite ve devlet kurumu VARDI — MOVEit'i kullanan HER kuruluş, potansiyel bir kurbandı.

Sonrası: Devasa Ölçek

• Tahminen 2.000'den fazla kuruluş ve 60 milyondan fazla birey etkilendi.
• Cl0p, çalınan verileri kendi sızıntı SİTESİNDE yayınlayarak kurbanları FİDYE ödemeye ZORLAMAYA çalıştı.
• Progress Software, zafiyeti kapatan bir ACİL YAMA yayınladı, ama BU NOKTADA veri ZATEN ÇALINMIŞTI — CISSP rehberimizdeki "zafiyet taraması ile sızma testi arasındaki fark" konusunun ötesinde, burada asıl mesele HENÜZ KİMSENİN BİLMEDİĞİ bir zafiyetti.

Neden Bu Vaka Özellikle Önemli?

Equifax vakasında (bizim başka bir makalemizde işlediğimiz), sorun BİLİNEN bir zafiyetin yamasının UYGULANMAMASIYDI. MOVEit'te ise durum FARKLIYDI: zafiyet, saldırı ANINDA bile HENÜZ kimse tarafından BİLİNMİYORDU (sıfırıncı gün). Bu, "En iyi yama yönetimine sahip olsan bile, HİÇBİR ZAMAN %100 güvenli olamazsın" gerçeğinin çarpıcı bir HATIRLATICISI — bu yüzden Bulut Güvenliği kütüphanemizdeki CSPM/sürekli izleme ve olay müdahale HAZIRLIĞI, "eğer" değil "NE ZAMAN" sorusuna göre PLANLANMALI.

Çıkarılan Dersler

1. Kullandığın HER üçüncü parti yazılım, senin saldırı yüzeyinin bir PARÇASIDIR — MOVEit'i SEÇMEK, o yazılımın GÜVENLİĞİNİ de (dolaylı olarak) SEÇMEK demektir.
2. Sıfırıncı gün zafiyetlerine karşı %100 koruma YOKTUR — bu yüzden "önleme" kadar "hızlı tespit ve müdahale" de KRİTİKTİR.
3. Hassas veriyi, MÜMKÜN OLDUĞUNCA AZ sistemde, MÜMKÜN OLDUĞUNCA KISA SÜRE tut — MOVEit'te bekleyen veri ne kadar AZ olsaydı, çalınan veri de o kadar AZ olurdu.

Bu makale, SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.