Akira fidye yazılımı, SonicWall SSLVPN güvenlik açığını yeniden hedef alarak ağlara sızıyor

Akira fidye yazılımı grubu, SonicWall SSLVPN ürünlerinde bulunan CVE-2024-40766 güvenlik açığını yeniden kullanmaya başladı. Kritik seviyedeki bu erişim kontrol zafiyeti, saldırganların yamalanmamış cihazlar üzerinden ağlara yetkisiz erişim sağlamasına olanak tanıyor.

SonicWall, söz konusu güvenlik açığı için Ağustos 2024’te bir güncelleme yayımlamış ve zafiyetin aktif olarak istismar edildiğini duyurmuştu. Firma, sadece güncelleme yapılmasının yeterli olmadığını, ayrıca yerel SSLVPN hesaplarının parolalarının değiştirilmesi gerektiğini belirtmişti. Parola değişikliği yapılmadığında saldırganların çok faktörlü kimlik doğrulama (MFA) veya zaman bazlı tek kullanımlık şifre (TOTP) sistemini kötüye kullanarak erişim sağlayabileceği uyarısı yapılmıştı.

Avustralya Siber Güvenlik Merkezi (ACSC), 10 Eylül’de yayımladığı uyarıda, ülkedeki kurumların Akira tarafından hedef alındığını açıkladı. Benzer şekilde siber güvenlik firması Rapid7 de saldırıların son dönemde yeniden arttığını, bunun eksik önlemlerden kaynaklanabileceğini bildirdi.

Saldırılarda, SonicWall cihazlarında “Default Users Group” üzerinden VPN’e bağlanma yetkisi ve “Virtual Office Portal” için varsayılan genel erişim izinlerinin kullanıldığı tespit edildi. Bu durum, bazı kurumlarda saldırganların erişimini kolaylaştırdı.

Siber güvenlik topluluğunda son dönemde, saldırıların yeni bir “sıfır gün” açığından kaynaklandığına dair iddialar gündeme gelmişti. Ancak SonicWall, yayımladığı güvenlik bildirisiyle bu iddiaları reddederek, mevcut saldırıların CVE-2024-40766 ile bağlantılı olduğuna dair “yüksek güven” taşıdığını açıkladı.

Şirket, geçen ay bu güvenlik açığıyla bağlantılı yaklaşık 40 olayı incelediğini bildirdi. Zafiyetin etkilendiği sürümler arasında şunlar yer alıyor:

• Gen 5: SOHO cihazları (5.9.2.14-12o ve öncesi)

• Gen 6: TZ, NSA ve SM modelleri (6.5.4.14-109n ve öncesi)

• Gen 7: TZ ve NSA modelleri (7.0.1-5035 ve öncesi)

Sistem yöneticilerine, SonicWall’un güvenlik bülteninde önerilen adımları takip etmeleri tavsiye ediliyor. Öneriler arasında cihaz yazılımının 7.3.0 veya üstüne güncellenmesi, hesap parolalarının değiştirilmesi, MFA zorunluluğu getirilmesi, SSLVPN varsayılan grup risklerinin azaltılması ve Virtual Office Portal erişiminin yalnızca güvenilir ağlarla sınırlandırılması yer alıyor.

Kaynak: Beykozun Sesi