Ajan Tesla RAT’ı şüphelenmeyen kullanıcılara ulaştırmayı amaçlayan, yakın zamanda işaretlenen bir kimlik avı kampanyası, Microsoft Office’teki uzaktan kod yürütülmesine izin veren eski güvenlik açıklarından yararlanıyor.
“Microsoft tarafından Kasım 2017 ve Ocak 2018’de yayımlanan CVE-2017-11882/CVE-2018-0802 düzeltmelerine rağmen, bu güvenlik açığı tehdit aktörleri arasında popüler olmaya devam ediyor; bu da, beş yıldan fazla bir süre geçmesine rağmen hala ortalıkta yama yapılmamış cihazların bulunduğunu gösteriyor.” Fortinet araştırmacısı Xiaopeng Zhang, “yıllardır” diyor.
“IPS seviyesinde günde 3000 saldırıyı gözlemliyor ve azaltıyoruz. Gözlemlenen güvenlik açığı bulunan cihazların sayısı günlük 1300 civarındadır.”
Yamalar mevcut, ancak…
Pazartesi günü Qualys, kötü amaçlı yazılımlar, tehdit aktörleri ve fidye yazılımı çeteleri tarafından istismar edilen en önemli 20 güvenlik açığının listesini yayınladı. Bazıları çok eski, diğerleri daha yeni ama en yenisi iki yıl öncesine dayanıyor.
CVE-2017-11882 listenin başında yer alıyor, CVE-2018-0802 ise 16. sırada.
Belirli Microsoft Office ve Wordpad sürümlerini etkileyen listedeki diğer güvenlik açıkları CVE-2017-0199 ve CVE-2017-8570’tir ve diğer Microsoft tekliflerinde listelenen güvenlik açıkları şunları içerir:
- CVE-2012-0158 (Windows Ortak Denetimlerinde)
- CVE-2020-1472 (diğer adıyla Zerologon, Microsoft’un Netlogon Uzaktan Protokolünde)
- CVE-2017-0144, CVE-2017-0145, CVE-2017-0143 (Microsoft’un SMBv1 protokolünde)
- CVE-2021-34473, CVE-2021-34523, CVE-2021-31207 (topluca ProxyShell olarak adlandırılır, Microsoft Exchange Sunucularını etkiler)
- CVE-2018-8174 (Microsoft Windows’un VBScript Motorunda)
- CVE-2013-0074 (Microsoft Silverlight’ta)
- CVE-2021-26855 (ProxyLogon yararlanma zincirinin parçası olan bir Microsoft Exchange Server kimlik doğrulama atlama hatası)
Gerisi çeşitli diğer çözümleri etkiler:
- CVE-2012-1723 ve CVE-2012-0507 (Oracle’ın Java Runtime Environment’ında)
- CVE-2019-11510 (Pulse Connect Güvenli VPN çözümünde)
- CVE-2021-44228 (Apache Log4j kitaplığında)
- CVE-2014-6271 (diğer adıyla Shellshock, Linux Bash’i etkiliyor)
- CVE-2019-2725 (Oracle WebLogic Server’da)
- CVE-2018-13379 (Fortinet FortiGate’te)
- CVE-2021-26084 (Atlassian Confluence Sunucusunda)
Bunların hepsinde yamalar (veya mikro yamalar) bulunur ve bazıları belirli özelliklerin/hizmetlerin kapatılmasıyla hafifletilebilir. Ancak saldırganlar birçok sistemin yıllarca yama yapılmadan kalacağını biliyor ve buna güveniyor.
Kullanıcıların (ister tüketiciler ister şirketler) mevcut yamaları bir an önce uygulamaya koyması gerektiğini söylemeye gerek yok.