Yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığının kamuoyuna duyurulup yamalanmadan önce istismar edilmeye çalışıldığı ortaya çıktı. Amazon Web Services (AWS) araştırmacıları, PHP2Shell olarak anılan açıkları hedef alan ilk saldırı girişimlerinden birini 17 Ekim’de, yani dört gün öncesinde tespit etti. Açıkların 21 Ekim’de duyurulmasının ardından ise saldırı girişimlerinin internet genelinde yaygınlaştığı bildirildi.
Saldırılar güvenlik yamalarından önce başladı
Araştırmacılar söz konusu faaliyeti, saldırı yöntemlerini ve tehdit eğilimlerini incelemek amacıyla kasıtlı olarak savunmasız bırakılan sistemlerden oluşan bir tuzak sunucuda (honeypot) geriye dönük inceleme yaparken belirledi. Saldırı girişiminin AWS’nin ticari bir anonimleştirme ağıyla bağlantılı olduğunu belirttiği bir IP adresinden geldiği aktarıldı. Bu tür ağlar, proxy veya VPN hizmetleri üzerinden gerçek bağlantı kaynağının gizlenmesine imkan tanıyor.
AWS Bilgi Güvenliği Direktörü CJ Moses, saldırının güvenlik açıkları henüz duyurulmamışken anonim bir IP adresi üzerinden gerçekleştirilmesinin bir tehdit aktörüne işaret ettiğini belirtti. Bununla birlikte, saldırganın duyuru öncesinde açıkları nasıl öğrendiği henüz bilinmiyor.
PHP2Shell saldırıları internet genelinde yayılıyor
AWS araştırmacıları, resmi açıklamadan önceki saatlerde honeypot sistemlerine birden fazla istismar girişimi yapıldığını da belirledi. Farklı anonimleştirme sağlayıcıları üzerinden gelen ve farklı saldırı amaçlarına işaret eden bu girişimler, birden fazla tehdit aktörünün açıkları hedef almış olabileceğini gösteriyor.
Bununla birlikte, tespit edilen her girişimin gerçek sistemlerde başarılı olup olamayacağı henüz kesinleşmiş değil. AWS, saldırıların teknik analizinin devam ettiğini ve tüm girişimlerin başarıya ulaşıp ulaşamayacağının bilinmediğini belirtiyor.
AWS Bilgi Güvenliği Direktörü CJ Moses’ın açıklamasına göre PHP2Shell açıkları artık internet genelinde yaygın biçimde istismar ediliyor. Bu nedenle savunmasız PHP sistemlerinin belirlenmesi ve ilgili güvenlik yamalarının uygulanması önem taşıyor.
Cloudflare’e göre bu açıklara yönelik saldırı girişimleri halihazırda milyonları aşmış durumda.
Yapay zeka her şeyi değiştiriyor
Geçmişte saldırganların önemli bir bölümü güvenlik açığına ilişkin teknik ayrıntıların veya çalışan bir kavram kanıtı kodunun yayımlanmasını bekliyordu. Daha yetenekli ve deneyimli gruplar istismar yöntemlerini geliştirirken diğer saldırganlar bu çalışmalardan yararlanıyordu. Ancak yapay zeka destekli analiz araçları sayesinde artık böylesi bir bağımlılık kalmadı.
Bir güvenlik yamasındaki kod değişikliklerini veya yayımlanan teknik duyuruları inceleyen saldırganlar, yapay zeka yardımıyla açığın nasıl istismar edilebileceğini daha kısa sürede anlayabiliyor. Bu durum, gelişmiş teknik bilgiye sahip olmayan kişilerin bile daha önce uzmanlık gerektiren saldırı yöntemlerini geliştirmesini kolaylaştırabiliyor.
Moses, bir güvenlik yamasının yayımlanmasıyla çalışan bir istismar yönteminin geliştirilmesi arasındaki sürenin giderek kısaldığına dikkat çekiyor. Ona göre yapay zeka destekli analiz, saldırganların teknik ayrıntıların açıklanmasından sonra saatler, hatta dakikalar içinde harekete geçmesini mümkün kılabiliyor.
