Güvendiğin Yazılım Sana Saldırıyorsa?

Bir programa güveniyorsunuz.

Programın resmi sitesine giriyorsunuz.

Güncelleme geldiğini görüyorsunuz ve “Güncelle” butonuna basıyorsunuz.

Antivirüsünüz çalışıyor, dosyanın dijital imzası geçerli ve yazılımı resmi kaynaktan indirdiniz.

Peki ya sorun yazılımın kendisindeyse?

2023 yılında gerçekleşen 3CX DesktopApp saldırısı, tam olarak bu senaryoyu gerçek dünyada gösterdi.

3CX Nedir?

3CX; şirketlerin internet üzerinden telefon görüşmeleri, video konferans ve mesajlaşma gibi iletişim işlemlerini gerçekleştirmesine olanak sağlayan bir yazılım platformudur.

Mart 2023'te güvenlik araştırmacıları, 3CX'in Windows ve macOS için dağıttığı masaüstü uygulamalarının bazı sürümlerinde kötü amaçlı bileşenler bulunduğunu tespit etti. CISA da olayı bir software supply chain attack olarak duyurdu.

Buradaki tehlike oldukça farklıydı:

Saldırgan kullanıcının bilgisayarına doğrudan saldırmak yerine, kullanıcının güvendiği yazılımı saldırı aracına dönüştürmüştü.

Saldırı Nasıl Gerçekleşti?

Mandiant'ın soruşturmasına göre saldırının başlangıcı 3CX'in kendisinden bile önceye gidiyordu.

2022 yılında bir 3CX çalışanının kişisel bilgisayarına Trading Technologies X_TRADER adlı yazılımın değiştirilmiş bir sürümü bulaştı. Bu yazılım daha sonra saldırganların 3CX ortamına ulaşmasına yardımcı oldu.

Buradan sonra saldırganlar 3CX'in yazılım geliştirme ortamına erişim sağlayarak resmi 3CX DesktopApp paketlerini etkileyebildi.

Sonuç?

Kullanıcılar resmi 3CX sitesinden meşru olduğunu düşündükleri yazılımı indirirken, saldırganlar tarafından değiştirilmiş bir paket alabiliyordu.

Bu nedenle saldırı zinciri kabaca şöyle ilerledi:

Ele geçirilmiş yazılım → 3CX ortamına erişim → geliştirme/dağıtım sürecinin ele geçirilmesi → değiştirilmiş 3CX uygulaması → müşterilere dağıtım

Mandiant, bunun daha önce ele geçirilmiş bir yazılım tedarik zinciri saldırısının başka bir tedarik zinciri saldırısını başlatmasına ilişkin ilk gözlemlediği vaka olduğunu belirtti.

Peki Zararlı Yazılım Ne Yapıyordu?

Araştırmacılar, trojanlaştırılmış 3CX uygulamasının birden fazla aşamadan oluşan saldırı zincirinin başlangıç noktası olduğunu belirledi.

Windows tarafındaki zararlı bileşen, GitHub üzerinde bulunan dosyalardan ek komut ve kontrol altyapısı elde ediyor ve sonraki aşamada sistem hakkında bilgi toplamaya yönelik bileşenleri çalıştırabiliyordu. Mandiant ayrıca bazı hedeflerde tarayıcı bilgilerini çalan ICONICSTEALER adlı bileşeni tespit etti.

İlginç olan nokta ise herkesin aynı şekilde hedeflenmemesiydi.

Saldırının ilk aşaması geniş bir kullanıcı kitlesine ulaşırken, sonraki aşamalar belirli hedeflere seçici olarak gönderilebiliyordu.

Yani saldırganların amacı sadece mümkün olduğunca fazla bilgisayara malware bulaştırmak değildi.

Değerli hedefleri belirleyip saldırıyı derinleştirmek de saldırı zincirinin bir parçasıydı.

Neden Bu Kadar Tehlikeliydi?

Çünkü klasik güvenlik mantığındaki önemli bir varsayımı ortadan kaldırıyor:

“Yazılımı resmi kaynaktan indiriyorsam güvendeyim.”

3CX vakası bunun her zaman yeterli olmadığını gösterdi.

Kullanıcının yaptığı işlem doğruydu.

• Yazılım resmi kaynaktan indirildi.
• Yazılım güncel görünüyordu.
• Kullanıcı bilinmeyen bir dosya çalıştırmıyordu.
• Saldırı, güvenilen yazılım dağıtım mekanizmasının içine yerleştirilmişti.

Dolayısıyla saldırganın kullanıcıyı kandırmasına bile gerek kalmadı.

Kullanıcı saldırganın istediği dosyayı kendi isteğiyle çalıştırdı.

Şirketler Bundan Ne Öğrenebilir?

3CX sonrasında güvenlik mimarisini güçlendirmek için izole edilmiş build ortamları, daha sıkı erişim kontrolleri, EDR ve Zero Trust yaklaşımı gibi önlemler içeren bir güvenlik planı açıkladı.

Bu olay özellikle yazılım geliştiren şirketler için önemli birkaç soru ortaya çıkarıyor:

Build sunucularına kim erişebiliyor?

Kaynak koduna yapılan değişiklikler nasıl denetleniyor?

CI/CD pipeline güvenli mi?

Kullanılan üçüncü taraf kütüphaneler gerçekten güvenilir mi?

Bir yazılım güncellemesi yayınlanmadan önce bağımsız olarak doğrulanıyor mu?

Çünkü saldırganın hedefi artık sadece sunucu veya kullanıcı hesabı değil.

Yazılımın kendisi olabilir.

Sonuç

3CX saldırısı, siber güvenlikte önemli bir değişimi gösteriyor:

Artık sadece kullandığımız sistemlere değil, güvendiğimiz sistemleri üretenlere de güvenmek zorundayız.

Bir saldırganın milyonlarca bilgisayara tek tek saldırması gerekmez.

Bir yazılımın dağıtım zincirini ele geçirirse, tek bir saldırıyla çok sayıda kuruluşa ulaşabilir.

Bu yüzden geleceğin siber güvenliğinde yalnızca firewall ve antivirüs yeterli olmayacak.

Kodun nereden geldiği, nasıl derlendiği, kim tarafından imzalandığı ve kullanıcıya nasıl ulaştığı da güvenlik zincirinin bir parçası olacak.

3CX vakasının belki de en önemli dersi şu:

Bir yazılıma güvenmek, yalnızca onun ne yaptığına değil, o yazılımın bilgisayarımıza ulaşana kadar geçtiği tüm zincire güvenmek anlamına geliyor.