Ders 2.9: Toplu istismar: MOVEit Transfer kampanyası
Mayıs 2023'ün sonlarında Cl0p şantaj grubu Progress MOVEit Transfer'deki sıfırıncı gün SQL enjeksiyonunu (CVE-2023-34362) aynı anda binlerce kuruma karşı kullandı: human2.aspx adlı bir web kabuğu yerleştirdi, bir hesap oluşturdu ve sunucuların korumak için var olduğu dosyaları indirdi; sonra onları yayımlamamak için ödeme istedi. Fidye yazılımına gerek yoktu. CISA ve FBI göstergeleri yayımladı (AA23-158A bülteni). Northwind'in Brightwater'ı entegre etmesi sırasında, o günlerden kalma eski bir MOVEit sunucusunun günlükleri ortaya çıkıyor. Laboratuvarda onları yayımlanmış göstergeler için denetliyor ve neyin çıktığını ölçüyorsun.
17 dk
Bu derste öğreneceklerin
- Toplu istismarı ve veri hırsızlığına dayalı şantajı açıklamak
- IIS günlüklerinde yayımlanmış göstergeleri aramak
- Bir saldırı dizisini yeniden kurmak
- Yerleştirilmiş dosyaları ve sahte hesapları bulmak
- Veri sızdırmayı günlüklerden tahmin etmek
Temel terimler
- Toplu istismar
- Tek bir zafiyetin ulaşılabilir her örneğe karşı otomatik istismarı.
- Veri hırsızlığına dayalı şantaj
- Hiçbir şeyi şifrelemeden veri çalıp yayımlamakla tehdit etmek.
- Ele geçirme göstergesi
- Bir saldırının yayımlanmış kanıtı: dosya adları, hesaplar, yollar, adresler.
- W3C genişletilmiş günlük
- IIS'in günlük biçimi; #Fields satırı her sütuna ad verir.
- İhlal bildirimi
- Kişisel veri ihlallerini otoritelere ve etkilenenlere bildirme yasal yükümlülüğü.
← Yazılım sürümlerini imzalamak · Tüm dersler · Varlık, tehdit, zafiyet ve risk →