390.000 WordPress Hesabı Çalındı! Yıl Boyunca Süren Saldırılar Sonunda Aydınlatıldı
WordPress kullanıcıları, yeni bir siber saldırı dalgasıyla hedef alındı. MUT-1244 adlı hacker, bir yıl süren geniş çaplı bir saldırı kampanyasıyla 390,000’den fazla WordPress hesabının bilgilerini ele geçirdi. Saldırı, sahte bir WordPress kimlik doğrulama aracı üzerinden gerçekleşti.
Datadog Security Labs tarafından yapılan araştırmaya göre, bu saldırı yalnızca WordPress kimlik bilgilerini değil, aynı zamanda SSH özel anahtarlarını ve AWS erişim bilgilerini de içeriyor. Etkilenenler arasında güvenlik araştırmacıları, penetrasyon test uzmanları ve diğer siber güvenlik profesyonelleri bulunuyor.
MUT-1244, sahte bir WordPress kimlik doğrulama aracı olan “yawpp” üzerinden kullanıcıları hedef aldı. Bu araç, yeraltı piyasalarından satın alınan çalıntı kimlik bilgilerini doğrulamak isteyen tehdit aktörlerini kandırdı. Kullanıcılar bu aracı çalıştırdığında, kimlik bilgileri ve diğer hassas veriler saldırganların eline geçti.
Araştırmalar, saldırganların GitHub üzerinden trojanlaştırılmış PoC (kanıt-of-konsept) istismar kodları sunduğunu ortaya koydu. Sahte GitHub depoları, güvenlik açıklarını hedefleyen istismar kodları arayan kullanıcıları kandırdı. Bu depolardaki zararlı içerikler, şu yöntemlerle yayıldı:
- Backdoor’lu yapılandırma dosyaları,
- Zararlı PDF dokümanları,
- Python tabanlı zararlı yazılımlar,
- Zararlı npm paketleri
Bu içerikler aracılığıyla saldırganlar, hedef sistemlere zararlı yazılımlar yükledi. Ayrıca, ikinci aşama yükler yardımıyla veriler, Dropbox ve diğer dosya paylaşım platformlarına aktarıldı.
Saldırganlar, siber güvenlik topluluğunun güvenini kötüye kullanarak beyaz şapka (white hat) ve siyah şapka (black hat) hackerları aynı anda hedef aldı. Çalınan veriler arasında SSH anahtarları, AWS erişim bilgileri ve komut geçmişleri gibi kritik bilgiler yer aldı.
Datadog Security Labs, saldırının halen aktif olduğunu ve yüzlerce sistemin hâlâ tehdit altında olduğunu belirtti. Araştırmalar, saldırganların WordPress kimlik bilgilerini doğrulama aracını kullanarak kullanıcıların güvenini kazandığını ve bu sayede büyük bir veri hırsızlığı gerçekleştirdiğini ortaya koydu.
Bu saldırı, siber güvenlik dünyasında güvenilir araçların ve kaynakların dikkatlice doğrulanması gerektiğini bir kez daha gösterdi. Özellikle WordPress kullanıcılarının, kimlik bilgilerini yalnızca resmi platformlar üzerinden doğrulamaları ve güncel güvenlik önlemleri almaları kritik önem taşıyor.
