Yaygın PHP programlama dilindeki iki kritik güvenlik açığı, kamuoyuna açıklanıp yamalar yayımlanmadan önce saldırı girişimlerinin hedefi oldu. AWS araştırmacıları, PHP2Shell adı verilen açıkları istismar etmeye yönelik ilk faaliyetlerden birini 17 Ekim’de, açıklamanın yapıldığı 21 Ekim’den dört gün önce tespit etti. Açıkların duyurulmasıyla girişimler internet genelinde yaygınlaştı.
İlk girişimler yamalardan önce görüldü
AWS ekibi, saldırı yöntemlerini ve tehdit eğilimlerini izlemek amacıyla bilerek savunmasız bırakılmış sistemlerden oluşan bir honeypot üzerinde geçmişe dönük inceleme yaptı. Bu çalışmada, AWS’nin ticari bir anonimleştirme ağıyla ilişkilendirdiği IP adresinden gelen saldırı girişimi belirlendi. Proxy ve VPN hizmetleri, bağlantının asıl kaynağını gizlemek için kullanılabiliyor.
AWS Bilgi Güvenliği Direktörü CJ Moses, açıklar henüz duyurulmamışken anonim bir IP üzerinden gelen faaliyetin bir tehdit aktörüne işaret ettiğini söyledi. Ancak saldırganın güvenlik açıklarından açıklama öncesinde nasıl haberdar olduğu bilinmiyor.
İstismar denemeleri yaygınlaştı
AWS araştırmacıları, resmi duyurudan önceki saatlerde honeypot sistemlerine birden fazla istismar girişimi yapıldığını da kaydetti. Farklı anonimleştirme sağlayıcılarından gelen ve farklı amaçlara işaret eden bu faaliyetler, birden çok tehdit aktörünün açıkları hedef almış olabileceğini düşündürüyor.
Öte yandan, gözlenen girişimlerin gerçek sistemlerde başarıya ulaşıp ulaşamayacağı henüz net değil. AWS, teknik incelemenin sürdüğünü ve tüm saldırı denemelerinin başarılı olup olmadığının bilinmediğini aktarıyor.
Moses’ın açıklamasına göre PHP2Shell açıkları artık internet genelinde yaygın biçimde istismar ediliyor. Cloudflare de bu açıklara yönelik saldırı girişimlerinin milyonları aştığını bildiriyor. Bu nedenle savunmasız PHP sistemlerinin tespit edilmesi ve ilgili güvenlik yamalarının uygulanması önem taşıyor.
Yapay zeka istismar geliştirme süresini kısaltıyor
Geçmişte birçok saldırgan, güvenlik açığının teknik ayrıntılarının veya çalışan bir kavram kanıtı kodunun yayımlanmasını bekliyordu. Daha deneyimli gruplar istismar yöntemleri geliştiriyor, diğerleri de bu çalışmalardan yararlanıyordu. Yapay zeka destekli analiz araçları bu bekleyişi azaltıyor.
Saldırganlar, güvenlik yamalarındaki kod değişikliklerini ya da yayımlanan teknik duyuruları yapay zeka yardımıyla inceleyerek bir açığın nasıl kullanılabileceğini daha hızlı kavrayabiliyor. Böylece uzmanlık gerektiren yöntemleri geliştirmek, ileri düzey teknik bilgiye sahip olmayan kişiler için de kolaylaşabiliyor.
Moses, yamanın yayımlanması ile çalışan bir istismar yönteminin hazırlanması arasındaki sürenin kısaldığına dikkat çekiyor. Yapay zeka destekli analizle saldırganların teknik ayrıntıların açıklanmasından sonra saatler, hatta dakikalar içinde harekete geçebileceğini belirtiyor.
