Siber saldırılar ve veri ihlalleri
Zafiyetler ve tehditler
Çin dilini kullanan bir saldırgan, dünya genelinde yüzlerce web sitesine sızdı ve John Deere, SharkNinja ile motor üreticisi Cummins gibi büyük kuruluşlardan veri çaldı.
Çin dilini kullanan korsanlar, çok sayıda e-ticaret sitesine yönelik kötü niyetli faaliyetlerin büyük bölümünü yapay zeka destekli penetrasyon testi aracı Cairn üzerinden yürüttü. Araştırmacılar, ödemeleri çalmaya yönelik yüksek düzeyde otomatik aktivite gösteren 20'den fazla açık kontrol paneli tespit etti.
Bulgular, yapay zeka destekli siber operasyonların içine nadir bir bakış sunuyor. Sadece keşif faaliyetlerini değil, zafiyet keşfini mağdur altyapısına erişime dönüştüren iş akışlarını da ortaya çıkarıyor. Kampanya, yapay zekanın saldırganlar için hedef tabanını önemli ölçüde genişlettiğini vurguluyor ve kuruluşların tehdide yetişmek için savunmalarını şimdi değiştirmeye başlaması gerekiyor.
Saldırganlar, güvenlik firması NorForge'un hafta sonu yayımladığı rapora göre ABD, Avustralya, Kanada ve Japonya dahil çeşitli küresel bölgelerde 100 siteyi hedef aldı ve odak noktası e-ticaret ile ödeme altyapısı oldu. Araştırmacılar, faaliyeti açıkta kalan yapay zeka destekli penetrasyon testi kontrol panellerini incelerken keşfetti.
Siber zararın boyutu belirsiz
NorForge, açık altyapı genelinde üç faaliyet kümesi tespit etti ve bunların ikisi kötü niyetli olarak değerlendirildi. Paylaşıma göre faaliyet büyük ölçüde mali motivasyonluydu ve devlet destekli sızma belirtisi yoktu.
NorForge kurucu araştırmacısı Snorre Fagerland paylaşımda şunları yazdı: "Operasyon büyük; bu grupla ilişkilendirilen 14 kontrol paneli üzerinde 1.100'den fazla saldırı projesi bulunuyor."
Fagerland yazdığına göre faaliyet, "otomatik ajanların zafiyetleri belirlemesi ve mağdur web sitelerine kalıcı erişim sağlaması için nasıl talimatlandırıldıklarını gösteren yüzlerce potansiyel olarak hassas gizli bilgi ve kaydın" açığa çıkmasını içeriyordu.
Bildirilen sonuçlar mağdura göre değişti ve zararın tam boyutu belirsizliğini koruyor. NorForge, en az bir saldırıda ticari bir web sitesine Web shell yüklendiğini doğruladı; bu durum saldırganın sunucuda komut çalıştırmasını sağlayabilir. Firma ayrıca kredi kartı verilerini ve kripto parayı hedefleyen ayrı operasyonlar da gözlemledi.
Reuters'in bildirdiği mağdurlardan John Deere, düzeltici önlem aldığını ancak saldırganların hassas bilgiye eriştiğine dair bir işaret olmadığını söyledi. SharkNinja olayı kontrol altına aldığını ve yalnızca bağımsız bir ürün destek sitesini etkilediğini belirtti. Cummins ise üçüncü taraf bir satıcının sitesine yönelik olası bir saldırıyı araştırıyordu.
Cairn Security, Dark Reading'e faaliyet hakkında ne bildiği yönündeki yorum talebine hemen yanıt vermedi.
Saldırı koordinasyonunda yapay zeka kullanımı
NorForge'a göre saldırganlar yapay zekayı yalnızca tek tek görevleri otomatikleştirmek veya hızlandırmak için değil, bir saldırıdaki birden fazla aşamayı bağlantılı bir iş akışı olarak koordine etmek için kullandı. Bu sayede saldırganlar birden fazla projeyi paralel yürütebiliyor ve saatler ya da günler boyunca operasyonları sürdürebiliyor; sürekli insan yönlendirmesine duyulan ihtiyaç azalıyor.
Tehdit avlama platformu Huntbase'in CEO'su ve kurucusu Tyler Oliver, Dark Reading'e e-posta üzerinden verdiği demeçte şunları söyledi: "Bu tek bir saldırı değil. Saldırgan altyapısının açığa çıkması; farklı motivasyonlara sahip birkaç grubun kullandığı araçlara bir pencere."
Oliver'a göre faaliyet, uzmanların uzun süredir bildiği bir şeyi doğruluyor: "Saldırganlar, aynı süreçlere bağlı olmadıkları için savunmacılardan çok daha hızlı hareket ediyor. ... Yapay zekayı savunma muadillerinden daha hızlı benimsediler ve bu fark yalnızca büyüyecek."
NorForge'a göre saldırganlar Cairn'i yapay zeka ajanlarına SQL enjeksiyonu, güvensiz dosya yüklemeleri, güvensiz deserialization, kimlik doğrulama atlama ve sunucu tarafı şablon enjeksiyonu dahil sömürülebilir zafiyetleri bulma görevi vermek için kullandı. Bazı talimatlar daha da ileri giderek ajanlara sürekli erişim sağlayabilecek Web shell'leri dağıtma yönünde açık talimatlar içeriyordu.
Operasyon, hedef seçiminin de otomatikleştirildiğini gösterdi. Projeler arasında trafik tabanlı hedef önceliklendirme ve e-ticaret web sitelerinin sipariş işleyip işleyemeyeceğini belirlemek için tarayıcı otomasyonu yer alıyordu.
Yapay zeka siber saldırı ekonomisini değiştiriyor, daha fazla kuruluş hedefte
Detectify CEO'su Rickard Carlsson, Dark Reading'e e-posta üzerinden verdiği demeçte işletmelerin "yapay zekanın siber saldırıların tekniklerinden çok ekonomisini değiştirdiğini" hızlıca kavraması gerektiğini belirtti.
Carlsson şöyle dedi: "Bu rapordaki saldırganlar tanıdık zafiyetleri sömürüyordu. Farklı olan şey, bir yapay zeka ajanının çok az insan müdahalesiyle saatlerce bu zafiyetlerin peşinden gidebilmesi." İnsan müdahalesinin tamamen ortadan kalkmadığı gözlemini yapan Carlsson, yapay zekanın görevleri otomatikleştirmesiyle saldırganların nispeten düşük maliyetle yüzlerce ya da binlerce deneme yürütebildiğini, bunun da ölçekte saldırı yapma bariyerini düşürdüğünü söyledi.
Carlsson'a göre saldırganlar kendi altyapılarına ya da araçlarına az yatırım yaparak da bu faaliyeti yürütebiliyor. "NorForge, ortalama bir görevin maliyetini yaklaşık beş dolar olarak tahmin ediyor, ancak rakam belirsiz," diye kaydetti Carlsson. "Deneme maliyeti bu kadar dramatik düştüğünde, saldırganlar daha önce çabaya değmeyecek addedilen kuruluşlar da dahil olmak üzere çok daha fazla kuruluşu hedefleyebilir."
Yeni siber savunma stratejilerini tetikliyor
Uzmanlara göre yapay zeka destekli saldırıların yarattığı tehditler karşısında kuruluşlar savunmalarını güçlendirmek için teknolojiden yararlanmalı, ancak ilk etapta ölçülü bir şekilde. Stratejiler, ağ düzeltmelerini, zafiyet taramasını ve yamalamayı otomatikleştiren ürünler gibi güvenlik temellerinin dağıtılmasını ve güçlendirilmesini kolaylaştıran yapay zeka kullanan bir güvenlik çözümünü içermeli; Huntbase'den Oliver bunu söyledi.
Detectify'den Carlsson aynı görüşü paylaştı ve kuruluşlara şu tavsiyede bulundu: "Sahip olduğunuz her internete açık varlığı bilin, sürekli test edin ve sızan kimlik bilgileri ve anahtarları önceliklendirin; çünkü bu sistemlerin topladığı şeyler tam olarak bunlar." Ardından "bulma ile düzeltme arasındaki boşluğu kapatın" dedi.
Oliver'a göre bir kuruluş güvenli bir temel oluşturduktan sonra daha aktif ve "hatta önleyici bir savunma duruşu" benimseyebilir.
Bu tür savunmalara yatırım yapmak ertelenmemeli. NorForge mağdurları bilgilendirme ve faaliyetin etkilerini yönetme çalışmalarına devam ederken, firma aynı zamanda suç teşkil eden Cairn panellerinin kaldırılmasını da deniyor. Fagerland, "bu mümkün olmayabilir" dedi ve "her şey barındırıcıların kaldırma taleplerine ne kadar iyi yanıt verdiğine bağlı" olduğunu belirterek kuruluşların hedef listelerinden uzak olmadığını vurguladı.
