Kuzey Koreli Hackerlar, Internet Explorer’daki Sıfır Gün Açığını Kötüye Kullanıyor
ASEC ve NCSC Ortak Raporu: Kuzey Koreli Hackerlar, Microsoft Internet Explorer’daki (IE) Yeni Bir Sıfır Gün Açığını Kötüye Kullanıyor (CVE-2024-38178)
AhnLab Güvenlik Acil Müdahale Merkezi (ASEC) ve Ulusal Siber Güvenlik Merkezi (NCSC) tarafından yayımlanan ortak bir rapor, Kuzey Koreli hackerların Microsoft Internet Explorer’da (IE) bulunan yeni bir sıfır gün güvenlik açığını (CVE-2024-38178) aktif olarak kötüye kullandığını ortaya koydu.
“Operation Code on Toast” olarak adlandırılan bu saldırılar, eski toast reklam programlarını kullanan kullanıcıları hedef alarak kötü amaçlı yazılım dağıtıyor.
Saldırıların arkasındaki tehdit aktörü TA-RedAnt (aynı zamanda RedEyes, ScarCruft ve APT37 olarak da bilinir), daha önce Kuzey Koreli sığınmacıları ve Kuzey Kore meseleleriyle ilgilenen kişileri hedef almasıyla tanınıyor. Bu sefer, savunmasız toast reklam programlarını ele geçirmek için IE’nin JavaScript motorundaki (jscript9.dll) bir açığı kullanıyorlar.
Internet Explorer’daki Sıfır Gün İstismar Yöntemleri
TA-RedAnt, Kuzey Koreli sığınmacılar ve Kuzey Kore meseleleriyle ilgilenen uzmanları hedef alma geçmişine sahip. Bu operasyonda, belirli bir toast reklam programını manipüle etmek için IE’deki bir sıfır gün güvenlik açığını kullanıyorlar.
Bu programlar, genellikle ücretsiz yazılımlarla birlikte gelir ve WebView kullanarak web içeriğini işler. Eğer WebView, IE tabanlıysa, IE güvenlik açıklarına karşı savunmasız hale gelir.
Saldırı, TA-RedAnt’in bir Koreli çevrimiçi reklam ajansının sunucusunu ele geçirmesiyle başlıyor. Saldırganlar, reklam içeriği betiğine kötü amaçlı kod enjekte ederek, bu içeriğin mağdurun makinesinde toast reklam programı tarafından indirilip işlenmesiyle sonuçlanan bir “sıfır tıklama” saldırısı gerçekleştiriyor. Bu saldırı, kullanıcının hiçbir etkileşimde bulunmasını gerektirmiyor. Sistemler bir kez ele geçirildiğinde, uzaktan erişim gibi çeşitli kötü amaçlı faaliyetlere açık hale geliyor.
İlginizi çekebilecek yazımız: İranlı Hackerlar Windows Açığını Kullanarak Yetki Yükseltiyor
Microsoft’un Haziran 2022’de IE desteğini sonlandırmasına rağmen, birçok Windows uygulaması hala bu motoru kullanmaya devam ediyor ve bu da onları savunmasız hale getiriyor. Saldırganlar, öncelikle bir Koreli çevrimiçi reklam ajansının sunucusuna sızarak, sunucunun reklam içeriği betiğine kötü amaçlı kod enjekte etti. Bu, toast reklam programının reklam içeriğini indirmesi ve işlemesi sırasında kullanıcı etkileşimi gerektirmeyen sıfır tıklama saldırısını tetikledi.
ASEC ve NCSC, bu güvenlik açığını keşfettikten sonra derhal Microsoft’a bildirdi.
Microsoft, 13 Ağustos’ta CVE-2024-38178 koduyla bu açığı duyurdu, CVSS puanını 7.5 olarak belirledi ve tehdidi hafifletmek için bir yama yayınladı. Kullanıcılar ve kuruluşlar, potansiyel istismarlara karşı korunmak için bu güncellemeyi derhal uygulamaya davet ediliyor.
Öneriler
- Microsoft’tan en son güvenlik yamalarını uygulayın.
- Sistemlerin en güncel sürümlere güncellendiğinden emin olun.
- Geliştiriciler, yazılım ürünlerinde eski kütüphaneler veya modüller kullanmaktan kaçınmalıdır.
- Kullanıcılar, yazılımlarını düzenli olarak güncelleyerek temel siber güvenlik önlemlerini takip etmelidir.
Haber Kaynağı: Cyber Security News
