ABD’ye Siber Saldırı: SolarWinds Nedir? Kimler Etkilendi?

Yakın vakitte Amerika Birleşik Devletleri’nde keşfedilen bir siber hücum olan ‘SolarWinds hack’, ABD hükümetine, kurumlarına ve öbür birtakım özel şirketlere karşı şimdiye kadar gaye alınan en büyük akınlardan biri olarak ortaya çıktı. Öte yandan bunun global bir siber atak olması da mümkün.

Birinci olarak ABD siber güvenlik şirketi FireEye tarafından keşfedildi ve o vakitten beri her geçen gün daha fazla gelişme gün yüzüne çıkmaya devam ediyor. ABD Hazinesi, İç Güvenlik Bakanlığı, Ticaret Bakanlığı, Pentagon’un kimi kısımlarının etkilendiğine inanılmasına karşın, siber akının büyüklüğü hala daha bilinmemekte.

The New York Times için yazılan bir görüş yazısında, Lider Donald Trump’ın İç Güvenlik Danışmanı Thomas P. Bossert taarruz için Rusya’nın ismini verdi. “SolarWinds hücumundaki deliller, ticari aracı dünyanın en gelişmişleri ortasında yer alan SVR olarak bilinen Rus istihbarat teşkilatına işaret ediyor.” Kremlin ise olaya müdahalesi olduğuna dair iddiayı reddetti.

Pekala, ‘SolarWinds hack’ nedir?

Siber akın haberi teknik olarak birinci olarak 8 Aralık’ta FireEye’ın sistemlerine bir atak tespit eden bir blog yayınlamasıyla ortaya çıktı. Firma, birkaç büyük özel şirketin ve federal devlet kurumlarının güvenlik idaresine yardımcı oluyor.

FireEye CEO’su Kevin Mandia bir blog yazısında, şirketin “son derece karmaşık bir tehdit aktörü tarafından atağa uğradığını” söyleyerek, Rusya’nın ismini vermemesine karşın, devlet dayanaklı bir taarruz olarak nitelendirdiğini yazdı. Taarruzun “üst seviye taarruz yeteneklerine sahip” bir ülke tarafından gerçekleştirildiğini ve “saldırganın öncelikle muhakkak devlet müşterileriyle ilgili bilgileri aradığını” söyledi. Saldırganların kullandığı yolların de yeni olduğunu söyledi.

Daha sonra 13 Aralık’ta FireEye, Campaign UNC2452 ismini verdiği siber akının şirkete dahil olmadığını, lakin dünya çapında çeşitli “kamu ve özel kuruluşları” amaç aldığını söyledi. Yazıda, hücumun büyük olasılıkla “Mart 2020’de başladığı ve aylardır devam ettiği” belirtildi. Daha da berbatı, akının ölçeği keşfedilmeye devam ettiğinden, çalınan yahut tehlikeye atılan dataların kapsamı hala bilinmemekte. Sistemler tehlikeye atıldıktan sonra, “yanal hareket ve data hırsızlığı” gerçekleşti.

Bu kadar çok ABD devlet kurumu ve şirketi nasıl hücuma uğradı?

Buna ‘Tedarik Zinciri’ saldırısı deniyor: Bilgisayar korsanları, federal hükümete yahut özel bir kuruluşun ağına direkt saldırmak yerine, onlara yazılım sağlayan üçüncü taraf bir satıcıyı gaye alıyor. Bu durumda maksat, Teksas merkezli SolarWinds şirketi tarafından sağlanan Orion isimli bir BT idare yazılımıydı.

Orion, 33.000’den fazla şirketi içeren müşterileri ile SolarWinds’in en büyük yazılımlarından biri. SolarWinds, 18.000 müşterisinin etkilendiğini söylüyor. Bu ortada, şirket müşteri listesini resmi web sitelerinden sildi.

Google’ın Web Arşivlerinden de temizlenen sayfaya nazaran listede, ABD’deki en âlâ 10 telekom operatörü olan Fortune 500’deki 425 şirket yer alıyor. Bir New York Times haberi Pentagon, Hastalık Denetim ve Tedbire Merkezleri, Dışişleri Bakanlığı, Adalet Bakanlığı ve oburlarının tümünün etkilendiğini söyledi.

Microsoft , “üretim hizmetlerine yahut müşteri bilgilerine erişim” yahut “sistemlerinin diğerlerine saldırmak için kullanıldığına” dair hiçbir delil bulunmadığını eklemesine karşın, sistemlerinde makûs gayeli yazılımın delilini bulduğunu doğruladı. Microsoft lideri Brad Smith, şirketin “40’tan fazla müşteriye saldırganların daha hassas amaç aldığını ve tehlikeye girdiklerini bildirmeye başladığını” söyledi.

Bir Reuters raporu, İç Güvenlik Bakanlığı yetkilileri tarafından gönderilen e-postaların bile “bilgisayar korsanları tarafından izlendiğini” söyledi.

Nasıl erişim sağladılar?

FireEye’a nazaran, bilgisayar korsanları “SolarWinds’in Orion BT izleme ve idare yazılımına yapılan truva atlı güncellemeler yoluyla kurbanlara erişim elde ettiler”. Temel olarak, bir yazılım güncellemesi ‘Sunburst’ berbat hedefli yazılımını Orion’a yüklemek için istismar edildi ve daha sonra 17.000’den fazla müşteri tarafından kuruldu.

FireEye, saldırganların tespit edilmekten kaçınmak ve “faaliyetlerini gizlemek” için “birden fazla tekniğe” güvendiğini söylüyor. Berbat emelli yazılım, sistem belgelerine erişebiliyordu. FireEye’a nazaran, makus gayeli yazılımın işine yarayan şey, “yasal SolarWinds aktifliğine ahenk sağlaması” oldu.

Makus maksatlı yazılım yüklendikten sonra, bilgisayar korsanlarına SolarWinds müşterilerinin sistemlerine ve ağlarına bir art kapı girişi sağladı. Daha da değerlisi, berbat emelli yazılım, anti-virüs üzere onu algılayabilen araçları da engelleyebildi.

Rusya olayın neresinde?

Bossert, NYT görüş yazısında, böylesi bir ustalık ve ölçekte saldırıyı gerçekleştirme kabiliyetine sahip olarak Rusya’yı ve ajansı SVR’yi lisana getirdi.

Microsoft blogunda “saldırının bu istikametinin neredeyse global ehemmiyete sahip bir tedarik zinciri zafiyeti yarattığını ve Rusya dışındaki birçok büyük ulusal başşehre ulaştığını” belirtiyor. Rusya’dan gelen karmaşık atakların yaygınlaştığını da eklemeye devam ediyor.

Lakin FireEye şimdi Rusya’yı sorumlu olarak isimlendirmedi ve bunun FBI, Microsoft ve ismi verilmeyen öteki kıymetli ortaklarla devam eden bir soruşturma olduğunu söyledi.

SolarWinds ve ABD hükümeti atak hakkında ne söyledi?

Şu anda SolarWinds, tüm müşterilerine, bu berbat maksatlı yazılım için bir yama içeren mevcut Orion platformunu derhal güncellemelerini tavsiye ediyor. Şirket ayrıyeten “Bir ortamda saldırgan aktifliği keşfedilirse, kapsamlı bir araştırma yapılmasını ve etkilenen ortamın soruşturma bulguları ve detaylarına dayalı bir uygunlaştırma stratejisi tasarlamanızı ve yürütmenizi öneririz” diyor.

Güncelleme yapamayanlara “SolarWinds sunucularını” izole etmeleri ve “SolarWinds sunucularından tüm İnternet çıkışlarının engellenmesi” söyleniyor. En azından ise, “SolarWinds sunucularına/altyapısına erişimi olan hesaplar için şifrelerin değiştirilmesi” önerisi yapılmakta.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) 21-01 Acil Durum Direktifi yayınladı ve tüm “federal sivil kurumlardan sızma göstergeleri için ağlarını gözden geçirmelerini” istedi. Kurumlardan “SolarWinds Orion eserlerini derhal kesmelerini yahut kapatmalarını” istedi.

FBI, CISA ve Ulusal İstihbarat Yöneticisinin ofisi ortak bir bildiri yayınladı ve krize karşı hükümetin reaksiyonunu koordine etmek için ‘Siber Birleşik Uyum Kümesi (UCG)’ olarak isimlendirilen oluşumu açıkladı. Açıklama, bunu “önemli ve devam eden bir siber güvenlik kampanyası” olarak isimlendiriyor.

Beyaz Saray ve Lider Donald Trump sessiz kaldı. Senatör Mitt Romney görüşlerini SiriusXM radyodan gazeteci Olivier Knox’a yaptığı yorumlarda özetledi ve bu saldırıyı, ABD’nin siber savaş zayıflığını açığa çıkaran, ülkenin her yerinde fark edilmeden uçan Rus bombardıman uçaklarıyla karşılaştırdı. Beyaz Saray’ın sessizliği ve eylemsizliğinin affedilemez olduğunu söyledi.

Demokrat Senatör Richard Blumenthal, tweet attı: “Rusya’nın siber saldırısı beni derinden endişelendirdi, aslında düpedüz korkuttu.”

Lider seçilen Joe Biden yaptığı açıklamada şunları söyledi: “İyi bir savunma kâfi değildir; Düşmanlarımızı en başta değerli siber ataklar gerçekleştirmekten alıkoymalı ve caydırmalıyız. ”

Kaynak: The Indian Express