ESET, sözkonusu faaliyeti ‘Plead’ kötü amaçlı yazılımının en aktif şekilde görüldüğü Tayvan’da tespit etti. Verilere göre bu yazılımın arkasındaki siber saldırganlar, ele geçirilmiş router cihazlar yoluyla ‘ortadaki adam’ (MitM – Man in the Middle) saldırılarını kullanarak, meşru ASUS Webstorage yazılımını hedef alıyor. Daha önce Plead yazılımının kötü amaçlı BlackTech grubu tarafından hedefli saldırılarda kullanıldığı tespit edilmişti.
Güncelleme sırasında araya girebilirler
Tehdide ilişkin araştırmayı şirketin güvenlik uzmanlarından Anton Cherepanov duyurdu. Cherepanov, durumu şöyle açıkladı: “ASUS Webstorage yazılımı bu tarz saldırılara karşı savunmasızdır. Özetlemek gerekirse, yazılım güncellemesi HTTP kullanılarak istenir ve aktarılır. Sonrasında bir güncelleme indirilir ve bu güncelleme yürütülmeye hazır olduğunda, yazılım onu yürütmeden orijinal olup olmadığını doğrulayamaz. Böylece saldırganlar güncelleme işlemi sırasında araya girebilirlerse, kötü amaçlı bir güncelleme yapılmasını sağlayabilirler.”
İlk hedef router cihazları
Konuyla ilgili daha önce gerçekleştirilen araştırmalara göre, Plead kötü amaçlı yazılımı, savunmasız router cihazlarını ele geçiriyor ve hatta bunları kötü amaçlı yazılımın C&C (komuta-kontrol) sunucuları olarak kullanabiliyor.
“Araştırmamız, bu durumdan etkilenen kuruluşların çoğunun aynı üretici tarafından üretilen router cihazlara sahip olduğunu ortaya çıkardı. Dahası, bu cihazların yönetim panellerine internetten erişilebilmektedir. Böylece, router cihaz seviyesinde bir ‘ortadaki adam’ saldırısının en olası senaryo olduğuna kanaat getiriyoruz” diye ekledi Anton Cherepanov.
Cherepanov ayrıca şu tavsiyede bulundu: “Yazılım geliştiricilerinin olası izinsiz girişler için ortamlarını derinlemesine izlemekle kalmayıp, aynı zamanda ‘ortadaki adam’ saldırılarına karşı dirençli olacak şekilde ürünlerinde uygun güncelleme mekanizmalarını uygulamaları oldukça önemlidir.”