Elastic raporu: infostealer ile çalınan kimlik bilgileri ortalama 8 dakikada kullanılıyor; saldırganlar AI kodlama araçları ve RMM yazılımlarıyla iş görüyor
Elastic Security Threat Command, 27 doğrulanmış infostealer vakasında saldırganların bulaşmadan ortalama sekiz dakika sonra çalınan kimlik bilgileriyle oturum açtığını bildirdi. Raporda Claude Code ve ChatGPT masaüstü uygulamasının ele geçirilmiş cihazlarda komut çalıştırmak için kötüye kullanıldığı vakalar da yer alıyor.
Elastic Security Threat Command'ın yeni raporuna göre infostealer bulaşan bilgisayarlardan çalınan kimlik bilgileri, saldırganlar tarafından ortalama sekiz dakika içinde kullanılıyor. Rakam, müşteri bilgisayarlarında doğrulanan 27 infostealer vakasından çıkarıldı. Help Net Security'nin aktardığı rapor, saldırganların giderek daha çok kullanıcının ya da işletim sisteminin zaten güvendiği yazılımların içinden çalıştığını gösteriyor: imzalı bir uzaktan izleme ajanı, bir tarayıcı güncelleyicisi, bir üretici kurulum dosyası ve Apple'ın betik araçları.
Raporun dikkat çeken bölümü AI uygulamaları. Araştırmacılar, Windows'ta Claude Code'un ve macOS'ta ChatGPT masaüstü uygulamasının saldırganlar tarafından komut çalıştırmak için kullanıldığı vakaları belgeledi. Elastic, bunların saldırgan erişimi ele geçirdikten sonraki kötüye kullanım olduğunu, uygulamalarda bir açık ya da sağlayıcılarda bir ihlal bulunduğunu göstermediğini açıkça belirtiyor.
AI ajanı yeni saldırı yüzeyi
Windows vakasında saldırgan bilgisayara uzaktan bağlanıp Claude Code'u Visual Studio Code eklentisi üzerinden araç hazırlamak ve gizli bir bağlantıyla dış sunucuya ulaşmak için kullandı. macOS vakasında ChatGPT masaüstü uygulaması üzerinden çalıştırılan komutlar önce bir iç altyapı belgesini okudu, ardından kullanıcının kayıtlı parola deposuna erişti. Elastic'ten Mike Nichols'a göre kimlik bilgisi tutan ve internete çıkabilen bir agent, arkasında saldırgan olduğunda onu kuran çalışanla aynı görünüyor; savunmacı için soru "araç onaylı mı" değil, "araç gerçekte ne yapıyor".
Giriş yolları: ClickFix, RMM ve AiTM
- ClickFix tarzı sahte doğrulama sayfaları 27 vakanın 12'sinde giriş noktasıydı; kullanıcı kötü amaçlı komutu kendisi kopyalayıp çalıştırdığı için e-posta eki taramasına takılmıyor. Bir sağlık vakasında tuzağa tıklamadan yaklaşık 16 saniye sonra DLL sideloading ile zararlı çalıştı.
- RMM yazılımları: 23 vakada uzaktan izleme ve yönetim araçlarının kötüye kullanımı doğrulandı; en sık geçen ScreenConnect. Bir kampanya sahte bir dijital davetiyeyle başlayıp ScreenConnect'in gizli kurulumuyla sürdü.
- Bulut hesapları: Tycoon 2FA gibi AiTM phishing kitleri dönem boyunca aktifti. Bazı vakalarda çalınan parola, ikinci faktör istemeyen eski bir kimlik doğrulama yöntemiyle denendi; ayrı bir vakada device code phishing ile kullanıcıya Microsoft giriş sayfasında kod girdirildi ve ardından sanal bir cihaz kaydedildi.
Ne yapılmalı?
- Geliştirici makinelerindeki AI kodlama araçlarını envantere alın; hangi kimlik bilgilerine ve ağ hedeflerine erişebildiklerini kayıt altına alın, EDR'da bu araçların başlattığı süreçleri ayrıca izleyin.
- ClickFix'e karşı kullanıcıları "doğrulama için şu komutu çalıştırın" diyen sayfalar konusunda bilgilendirin; Çalıştır kutusu ve terminal üzerinden gelen beklenmedik komutları izleme kurallarına ekleyin.
- Kurumda onaylı RMM aracı listesi tutun; listede olmayan ScreenConnect ve benzeri kurulumları alarm olarak ele alın.
- Eski (legacy) kimlik doğrulama yöntemlerini ve gerekmiyorsa device code akışını kapatma kararını kimlik ekibiyle change management sürecinden geçirin; infostealer bulgusunda parola değişikliğiyle birlikte açık oturumların da sonlandırıldığından emin olun.
