Geçtiğimiz Çarşamba günü paylaşılan resmi güncellemeler, PHP ekosisteminde fırtınalar koparmıştı. Sistem yöneticileri ve siber savunma ekipleri savunmasız durumdaki web projelerini korumak için zamanla yarışırken; kötü niyetli aktörler de yama dosyalarını tersine mühendislik teknikleriyle çözerek açığın açıklarını bulmaya koyuldu. Kimi devlet kurumları ve büyük ölçekli şirketler, herhangi bir veri sızıntısı veya zararla karşılaşmamak adına güncelleme süreci tamamlanana kadar kritik platformlarını geçici olarak erişime kapattı. Fakat Amazon Web Services (AWS) tarafından yürütülen son araştırmalar, krizin boyutunun çok daha önce başladığını gözler önüne serdi.
TEHDİT AKTÖRLERİNDEN ERKEN HAMLE: 17 EKİM DETAYI
AWS’nin çarşamba gecesi paylaştığı kapsamlı rapor, “PHP2Shell” ismiyle anılan güvenlik açıklarının, kamuoyuna resmi olarak ilan edilmesinden tam dört gün önce, yani 17 Ekim tarihinde istismar edilmeye çalışıldığını ortaya koydu.AWS analistleri, geçmişe dönük sistem loglarını incelerken söz konusu girişimi yakaladı. Bahsi geçen saldırı girişimi,siber güvenlik uzmanlarının tehdit eğilimlerini ve saldırı metodolojilerini izlemek için bilerek savunmasız tuttuğu “honeypot” (bal küpü) adı verilen dijital tuzak sunuculardan birinde kaydedildi.
Elde edilen verilere göre, şüpheli girişimin arkasındaki kaynak ticari bir anonimleştirme ağına (VPN veya proxy servislerine) ait bir IP adresiydi. Konuyla ilgili değerlendirme yapan AWS Baş Bilgi Güvenliği Sorumlusu (CISO) CJ Moses, zafiyete dair teknik detayların henüz tamamen gizli tutulduğu bir dönemde anonim bir hat üzerinden tuzak sunucuların yoklanmasının doğrudan profesyonel bir tehdit aktörüne işaret ettiğini vurguladı. Moses, saldırganın bu hassas bilgilere yama duyurularından önce nasıl ulaştığının ise henüz netlik kazanmadığını ifade etti.
PHP FOUNDATION’DAN İLK AÇIKLAMA: BAŞARILI BİR SIZMA KAYITLARDA YOK
Konu hakkında WIRED’a konuşan PHP Foundation İcra Direktörü Elizabeth Barron, kuruluşunun AWS raporundan önceden haberdar olmadığını belirtti. Sistemlerin güncellenmesinin hayati önem taşıdığı hususunda hemfikir olduklarını aktaran Barron, ellerindeki verilere göre şimdiye kadar başarılılıkla sonuçlanmış herhangi bir uzaktan kod çalıştırma (RCE) vakasının gerçekleşmediğini dile getirdi.
DUYURUDAN SAATLER ÖNCE YOĞUNLAŞAN SALDIRI DALGASI
PHP2Shell zafiyetleri için hazırlanan kavram kanıtlama (PoC) niteliğindeki istismar kodları çarşamba günü genel ağda görünür hale gelmeye başladı. Bu kodların bir kısmının, açığın ABD Doğu Saati ile 10.00’da resmen deşifre edilmesinden hemen önceki saatlerde piyasaya çıkması dikkat çekti. AWS uzmanları, duyurudan önceki zaman diliminde farklı servis sağlayıcıları arkasına gizlenmiş çok sayıda sızma denemesi saptadı. Uzmanlar bu durumun,birden fazla siber grubun eş zamanlı olarak faaliyette bulunduğunu gösterdiğini belirtiyor. CJ Moses, incelemelerin titizlikle sürdüğünü ve bu girişimlerin gerçek üretim ortamlarında ne derece başarılı olabileceğinin henüz netleşmediğini kaydetti.
YAPAY ZEKANIN SİBER GÜVENLİK DENGELERİNE ETKİSİ
17 Ekim tarihli erken saldırının menşeinin ve tam olarak nasıl kurgulandığının karanlıkta kalması, küresel güvenlik açıklarının bildirilme ve kapatılma süreçlerinin (koordineli açıklama mekanizmalarının) acilen daha hızlı ve gelişmiş seviyelere taşınması gerektiğini bir kez daha hatırlattı. Güvenlik uzmanları, yapay zeka araçlarının açık analiz süreçlerini aşırı derecede hızlandırdığına ve teknik bilgi seviyesi düşük kişilerin bile çok hızlı bir şekilde istismar araçları geliştirebilmesine zemin hazırladığına dikkat çekerek sektörün yeni dönem risklerine karşı uyardı.