Alman bulut dosya paylaşım servisi PowerFolder Drive, bilinmeyen açıklarla saldırıya uğradı; servis dört gün kapalı kaldı, tüm parolalar sıfırlandı
PowerFolder Drive'ı işleten şirket, 6 Kasım'da bir saldırganın yazılımdaki bilinmeyen açıkları kullanarak sunucu yapılandırma dosyalarını hedef aldığını açıkladı. Servis 10 Kasım'da yeni altyapıyla geri döndü; kendi sunucusunu işletenlerin /wopi/ isteklerini engellemesi isteniyor.
Almanya merkezli kurumsal dosya senkronizasyon ve paylaşım servisi PowerFolder Drive, 6 Kasım'da bir saldırının ardından bulut hizmetlerini tamamen kapattı. Born's Tech'in 9 Kasım'da müşterilere gönderilen bildirime dayanarak aktardığına göre, dışarıdan bir saldırgan şirketin yazılımındaki o güne kadar bilinmeyen birden fazla açığı kullandı. Şirket saldırıyı aynı gün fark ettiğini ve etkilenen tüm sistemleri yaklaşık 30 dakika içinde ağdan çektiğini söylüyor.
Bildirime göre saldırganın hedefi sunuculardaki bazı yapılandırma dosyalarıydı. Şirket, depolanan dosya ve klasörlere erişildiğine dair iz bulmadığını, parolaların yalnızca hash olarak tutulduğunu belirtiyor; verilerin şifrelenmediğini ve fidye talebi olmadığını da ekliyor. Yine de tüm bulut hesapları önlem amacıyla etkilenmiş sayıldı.
Dört gün sonra yeni altyapıyla dönüş
PowerFolder'ın haber sayfasındaki 10 Kasım güncellemesine göre PowerFolder Drive ve müşteri portalı yeniden erişilebilir durumda. Sistemler sıfırdan kurulan altyapı üzerinde çalışıyor, tüm erişim bilgileri ve anahtarlar değiştirildi. Eski parolalar, oturumlar ve etkilenen erişim token'ları geçersiz kılındı; kullanıcılar ilk girişte yeni parola belirliyor. Şirket, barındırılan müşteri sistemlerinin sırayla açılacağını ve önümüzdeki 72 saat boyunca sistemleri yoğun izleyeceğini duyurdu.
Şirket olayı Kuzey Ren-Vestfalya veri koruma otoritesine (LDI NRW) ve Almanya'nın siber güvenlik kurumu BSI'ya bildirdiğini, suç duyurusunda bulunduğunu da açıkladı. Açıkların teknik ayrıntıları ve CVE kimlikleri henüz yayımlanmadı.
Kendi sunucusunu işletenler için uyarı
Açıklama yalnızca bulut müşterilerini ilgilendirmiyor. PowerFolder, kendi PowerFolder Server kurulumunu işletenlerin reverse proxy veya firewall üzerinde /wopi/ yoluna gelen tüm istekleri engellemeye devam etmesini istiyor. Bu, şirketin önerdiği geçici önlem (workaround); kalıcı düzeltme için güncel release candidate destek portalından dağıtılıyor. SiberMagazin bu önlemin hangi açığı kapattığını bağımsız olarak doğrulamadı.
Ne yapılmalı?
- PowerFolder Drive kullanıyorsanız ilk girişte yeni ve benzersiz bir parola belirleyin; eski parolayı başka bir serviste de kullandıysanız orada da değiştirin.
- Kendi PowerFolder Server'ınızı işletiyorsanız üreticinin talimatına uygun olarak
/wopi/isteklerinin reverse proxy veya firewall katmanında engellendiğini doğrulayın ve destek portalındaki güncel sürümü change management sürecinizle planlayın. - Reverse proxy loglarında
/wopi/yoluna gelen beklenmedik istekleri geriye dönük inceleyin. Örneğin nginx kullanan bir sunucuda salt okunur kontrol:
grep "/wopi/" /var/log/nginx/access.log- Şirket adına gelen ve parola isteyen e-postalara karşı dikkatli olun; PowerFolder e-postayla parola istemediğini belirtiyor.
- Masaüstü istemcilerini kaldırmayın ve yerel klasörleri silmeyin; istemciler yeniden oturum açıldıktan sonra senkronizasyona kaldığı yerden devam ediyor.
