Çin Bağlantılı Hackerlar PHP2Shell Zafiyetini Kullanarak Güvenlik Duvarlarını Ele Geçirdi

Çin Bağlantılı Hackerlar PHP2Shell Zafiyetini Kullanarak Güvenlik Duvarlarını Ele Geçirdi

Siber güvenlik firması Dream’in gözlemlerine göre, Çin bağlantılı hackerlar, belirli bir satıcının 19.000 internete açık güvenlik duvarını tespit etmek için Çinli internet varlık arama motoru FOFA’yı kullandı. Bu güvenlik duvarlarından 25’i, 23-24 Ekim tarihlerinde hedef alınarak istismar edildi.

Saldırı Süreci ve Hedef Belirleme

Hackerlar, keşif aşamasının ardından ilk olarak ABD, Japonya, Tayvan ve Güney Kore’deki sunucuları filtreledi. Daha sonra, daha yeni PHP sürümleri kullanan sunucuları ayıklayarak potansiyel hedef havuzunu 240’a düşürdüler. İlk ele geçirilen sunucu, istismardan kısa bir süre sonra, 23 Ekim’de çöktü. Saldırganlar, 24 Ekim’de ikinci bir saldırı dalgası başlattı ve bu saldırı başarılı oldu.

Erişimin Sürdürülmesi ve İç Ağlara Sızma

Güvenlik duvarına erişimi sürdürmek için saldırganlar bir ters SSH tüneli kurdu. Bu tüneli kullanarak, PHP2Shell-Fragnesia zinciri ile dahili bir güvenlik duvarı yönetim sunucusunu hedef aldılar. Bu sayede, kuruluşun yönettiği her güvenlik duvarının yapılandırmalarına, kimlik bilgilerine ve ayarlarına erişim sağladılar.

LDAP ve Active Directory Saldırıları

Yönetim sunucusuna erişim sağladıktan sonra hackerlar, LDAP hizmet hesabı parolasını çözmek, etki alanındaki kullanıcıları ve grupları listelemek, parola püskürtme saldırıları gerçekleştirmek ve Active Directory arka kapı hesapları oluşturmaya çalışmak gibi eylemlerde bulundular. Dream, bu aktiviteyi belirli bir tehdit aktörüne atfetmese de, bunun Çin bağlantılı bir operasyonun parçası olduğuna inanıyor.

Kaynak: Orijinal haber