Ev ve küçük ofis kullanıcıları için kritik bir siber güvenlik uyarısı yapıldı. Devlet destekli Rus hacker gruplarının, hassas kamu ve özel sektör kuruluşlarına yönelik zararlı eylemlerini gizlemek amacıyla binlerce ev ve ofis router'ını ele geçirdiği belirtildi.
Bu türden saldırılar uzun süredir devam etmekte olup, bazen farklı ülkelerin siber güvenlik birimleri arasında ele geçirilen cihazlar üzerinde kontrol mücadelesine dönüşebilmektedir. Ülkemizdeki yetkililer de geçmişte router'ları temizlemek için çeşitli adımlar atmıştır. Teknoloji devleri de bu türden ele geçirilmiş router'ları kontrol eden devasa botnet'leri durdurmak için çalışmalar yapmıştır. Ancak yapılan tüm bu müdahaleler, saldırganların botnet'lerini yenileriyle değiştirmesi nedeniyle bir nevi 'körebe' oyununa dönüşmüştür.
Proxy Ağları: Saldırganların Gözdesi
Siber Güvenlik ve Altyapı Güvenliği Ajansı tarafından yapılan açıklamada, "Rusya Federal Güvenlik Servisi (FSB) bünyesindeki siber aktörler, dünya genelindeki zayıf yapılandırılmış ve savunmasız ağ cihazlarını istismar etmeye devam ederek, kritik altyapı sektörlerindeki birden fazla ağı fırsat buldukça ele geçirmektedir." denildi. Bu saldırı grupları, farklı isimlerle de anılmaktadır. Açıklama, dünya genelindeki birçok ülkenin siber güvenlik kurumlarıyla ortaklaşa yayımlandı.
Ajansın dikkat çektiği temel saldırı yöntemi, hackerların IP adres aralıklarını tarayarak, yaygın veya varsayılan kimlik doğrulama bilgilerini kabul eden etkin Basit Ağ Yönetimi Protokolü (SNMP) ajanlarını hedef almasıdır. Bu taramalar, saldırganların hedeflediği cihazları kendi ağlarına katmak için kullandığı router botnet'leri tarafından gerçekleştirilmektedir. Sahte IP adreslerinden zararlı trafik göndererek, hackerlar zayıf yapılandırılmış router'lardaki SNMP ajanlarını kullanarak zararlı yazılımları çalıştırabilmektedir. SNMP, kullanıcıların ağ cihazları hakkında bilgi toplamasını ve bu bilgileri düzenleyerek cihaz davranışlarını değiştirmesini sağlamaktadır.
Cihaz kontrol altına alındığında, hackerlar bu cihazları iletişim, savunma, enerji, finansal hizmetler ve kamu sektörlerindeki hedefleri sorgulamak veya saldırmak için bir çıkış noktası olarak kullanmaktadır. Zararlı trafiği güvenilir bir IP adresindeki zararsız görünen bir cihaz üzerinden yönlendirerek, saldırganlar güvenlik duvarları ve diğer savunma mekanizmaları tarafından engellenme olasılığını azaltmaktadır.
Bu uyarıda, son yıllarda ülkemiz de dahil olmak üzere birçok ülkede benzer operasyonlar gerçekleştirildiği belirtilmedi. Finansal amaçlı suçlu hackerlar tarafından da gerçek IP adreslerini gizlemek için yaygın olarak kullanılan yöntemlerden biri, sözde konut proxy'leridir. Çoğu durumda, bu tür proxy'ler, önceden yüklenmiş zararlı yazılımlarla satılan milyonlarca yayın cihazından oluşmaktadır.
Ajans, router kullanıcılarını cihazlarını güvence altına almaya çağırdı. En önemli tavsiyeler arasında, şifreleri şifrelemeyen ve diğer temel güvenlik uygulamalarını takip etmeyen SNMP sürümleri 1 ve 2'nin devre dışı bırakılması yer alıyor. Bunun yerine yalnızca SNMP sürüm 3 kullanılmalıdır. Daha iyi bir seçenek ise, belirli bir kullanım durumu gerektirmediği sürece SNMP'nin tamamen devre dışı bırakılmasıdır. Diğer güvenlik önlemleri arasında tüm cihazlarda Cisco Smart Install'ın devre dışı bırakılması, güçlü şifreler kullanılması, firmware'in düzenli olarak güncellenmesi ve diğer ağ protokollerinin kullanımından kaçınılması bulunmaktadır.
