Censys, 4 Kasım itibarıyla internete açık 1.465 ARTEX konsolu tespit ettiğini bildirdi. Yapay zeka destekli güvenlik testi aracı, daha önce ConnectWise müşterilerini hedef alan saldırıyla ilişkilendirilmişti. Yeni araştırma, bir saldırıda etkilenen kurumları saymak yerine aracın internete açık yönetim arayüzlerini inceleyerek kurulumların görünürlüğünü ölçüyor. Ekip, tarama sonuçlarını yayımlarken birbiriyle aynı görünen sunucu kümelerini de ayırdı.
Araştırmacılar, tespit edilen sunucuların yaklaşık 650’sinin benzer ayarlarla çalışan iki barındırma bloğunda toplandığını belirtiyor. Bu kümeler ayrı düşünüldüğünde geriye farklı kurulumlar gibi görünen yaklaşık 815 konsol kalıyor. İki rakamın arasındaki fark, tek bir işletmecinin benzer yapılandırmayla çok sayıda sistem çalıştırabilmesinden kaynaklanıyor. Bu nedenle konsol sayısı doğrudan kullanıcı veya saldırgan sayısı anlamına gelmiyor.
ARTEX temmuzda açık kaynaklı bir sızma testi çerçevesi olarak yayımlandı. Yazılım, güvenlik testinin hedef ve kapsamını birden fazla otomatik bileşenin işleyebileceği görevlere ayırıyor. Censys, aracın yönetim konsolunun işlevini yerine getirebilmesi için doğrudan internete açık olmasına gerek olmadığını belirtiyor. Bu nedenle internet taramasının özel ağlardaki kurulumları kapsamadığını da ekliyor.
Censys, 155 sunucunun üzerinde izlediği başka tehdit araçlarından en az birini daha gördü. Araştırmada ARTEX sunucularında dışarıdan erişilebilen 32 açık dizin de yer aldı. Bazı dizinlerde güvenlik testi ve saldırı sonrası erişim araçları bulunuyordu. Araştırmacılar, kimi dizinlerin yalnızca birkaç saat veya gün boyunca açık kaldığını gözlemledi.
Censys taraması açık konsolları ve önceki saldırıları ayırıyor
Censys, açık konsol gözlemlerini ekimde yayımlanan iki olay raporuyla birlikte değerlendirdi. Bu raporlardan biri Güney Kore’deki finans kuruluşlarını, diğeri ConnectWise müşterilerini etkileyen faaliyetleri inceliyordu. Olay incelemelerinde araştırmacılar aracın kullanımına dair bulgular gösterdi. Yeni taramada ise her bir açık arayüzün hangi amaçla çalıştırıldığını tespit etmek mümkün olmadı.
Rapor, yetkili güvenlik testlerinde kullanılan örneklerin de internete açık olabileceğine işaret ediyor. Aynı zamanda bazı açık dizinlerin, önceki saldırı incelemelerinde araştırmacıların araçları birbirine bağlamasına yardımcı olduğunu gösteriyor. Dolayısıyla yeni sayım, bilinen saldırıların bilançosundan çok dışarıdan görülebilen kurulumların kapsamını ortaya koyuyor. Censys’in verisi, 4 Kasım’daki tarama anını kapsıyor. Daha sonra eklenen veya erişime kapatılan sunucular için bu sayı değişebilir.
Günün Öne Çıkan Fırsatları
