Oxopage
Siber güvenlik firması TeamT5‘in endişe verici raporunda, Çinli ATP’nin Ivanti VPN saldırısı tartışılıyor. Çin menşeli bir Gelişmiş Sürekli Tehdit (APT) grubu, Ivanti Connect Secure VPN cihazlarındaki kritik güvenlik açıklarını kullanarak küresel çapta bir siber saldırı başlattı.
Bu güvenlik ihlali, 12 farklı ülkede yaklaşık 20 sektörü etkiledi. Özellikle ağları açığa çıkararak sürekli bir tehdit altına soktu.
Çinli ATP’nin Ivanti VPN Saldırısı: Küresel Etki
Saldırı, otomotiv, kimya, inşaat, finans, telekomünikasyon ve hükümet gibi pek çok sektörü kapsayarak hem özel hem de kamu sektörlerinde büyük bir sarsıntıya yol açtı. Saldırının etkilediği ülkeler arasında Amerika Birleşik Devletleri, Birleşik Krallık, Fransa, Japonya, Avustralya ve Güney Kore gibi büyük ekonomilerin yanı sıra Singapur ve Birleşik Arap Emirlikleri gibi bölgesel merkezler de var. Ayrıca Avusturya, İspanya, Tayvan ve Hollanda’daki kuruluşlar da saldırıdan etkilendiğini belirtti. Bu da operasyonun kapsamının ne kadar geniş olduğunu gözler önüne serdi.
TeamT5’e göre, saldırganlar, analiz anında enfekte olmuş ağlar üzerinde kontrolü sürdürüyordu. Bu da devam eden veri hırsızlıkları ve güvenlik açıklarını gündeme getiriyor.
Saldırının Teknik Detayları
Saldırı, Ivanti Connect Secure VPN cihazlarındaki iki kritik güvenlik açığını hedef aldı: CVE-2025-0282 ve CVE-2025-22457.
Her iki açık, 9.0 CVSS puanıyla bir “stack buffer overflow” zayıflığı olarak sınıflandırılmaktadır. Bu siber suçlulara uzak kod çalıştırma, ağlara sızma ve kötü amaçlı yazılım yerleştirme imkânı tanımaktadır.
APT grubu, saldırılar için Ivanti VPN sistemleri için tasarlanmış SPAWNCHIMERA adlı özelleştirilmiş hack aracını kullandı. SPAWNCHIMERA, ünlü SPAWN ailesinin önceki kötü amaçlı yazılımlarının gelişmiş işlevselliklerini içeriyor:
- SPAWNANT: Kötü amaçlı yüklerin yükleyicisi.
- SPAWNMOLE: Ağda süreklilik sağlamak için bir SOCKS5 tünelleme aracı.
- SPAWNSNAIL: Gizli iletişim için bir SSH arka kapı.
- SPAWNSLOTH: Saldırının izlerini silmek için bir günlük silme aracı.
Böylece saldırganlar, çok katmanlı komut ve kontrol altyapısı kullanarak etkili bir saldırı gerçekleştirdi. Bu gelişmiş teknikler ve izleme sistemlerinden kaçma yöntemleri, tespiti ve müdahaleyi zorlaştırdı. TeamT5, Ivanti VPN açıklarının diğer tehdit aktörleri tarafından da kullanılabileceğine dikkat çekiyor. Bu durum, daha geniş çaplı saldırılara yol açabilmektedir. Nisan ayı başından itibaren, birçok VPN cihazı devre dışı bırakılıp ve istikrarsız hale geldi. Çoğu sömürü girişimi başarısız olsa da, artan saldırı etkinliği dikkat çekiyor. Bu, daha fazla saldırganın Ivanti’nin güvenlik açıklarını keşfettiğini gösteriyor. Bu durum, daha fazla siber saldırıya yol açabilmektedir.
Alınması Gereken Önlemler
Bu gelişmeler ışığında TeamT5, etkilenen kuruluşları kapsamlı bir olay araştırması yapmaya çağırıyor. Ayrıca, siber güvenlik tehditlerine hazır olmak en önemli adımlardan biridir. Özellikle proaktif siber güvenlik önlemleri almanın büyük önem taşıdığını vurguluyor. Saldırganlar, günlük silme araçları ve gelişmiş kaçınma stratejileri kullanarak izleri gizliyorlar. Bu durum, kötü amaçlı izlerin tespit edilmesini zorlaştırıyor, özellikle teknik kaynaklar yoksa. Kuruluşlar, Ivanti VPN cihazlarındaki güvenlik açıklarını hemen yamamalıdır. Ayrıca, izleme sistemlerini güçlendirmeli ve forensic analiz için uzman firmalarla iş birliği yapmalıdır. Bu şekilde, riskler azaltılabilir ve daha fazla ihlalin önüne geçilebilir. Ivanti VPN güvenlik açıklarının sömürülmesi, sofistike siber saldırıların arttığının bir işaretidir. Küresel sanayi ve hükümetlerin dikkatli ve koordineli bir şekilde hareket etmesi zorunludur.
