Siber Muhbir

ValdikSS takma adını kullanan bir güvenlik araştırmacısı, "Saldırgan, Let's Encrypt hizmetini kullanarak birkaç yeni TLS sertifikası yayınladı ve bunlar şeffaf [ortadaki adam] proxy kullanarak 5222 numaralı bağlantı noktasındaki şifreli STARTTLS bağlantılarını ele geçirmek için kullanıldı" dedi.

"Saldırı, yeniden düzenlenmemiş olan MiTM sertifikalarından birinin süresinin dolması nedeniyle keşfedildi."

Şimdiye kadar toplanan kanıtlar, barındırma sağlayıcısı ağında yapılandırılan trafik yeniden yönlendirmesine işaret ederek, sunucu ihlali veya kimlik sahtekarlığı saldırısı gibi diğer olasılıkları dışlıyor.

Telefon dinlemenin 18 Nisan 2023'ten itibaren altı ay kadar sürdüğü tahmin ediliyor, ancak en az 21 Temmuz 2023'ten 19 Ekim 2023'e kadar gerçekleştiği doğrulandı.

Şüpheli etkinlik belirtileri ilk olarak 16 Ekim 2023'te, hizmetin UNIX yöneticilerinden birinin hizmete bağlandıktan sonra "Sertifikanın süresi doldu" mesajı almasıyla tespit edildi.

Tehdit aktörünün, 18 Ekim 2023'te MiTM olayıyla ilgili bir soruşturma başladıktan sonra faaliyeti durdurduğuna inanılıyor. Saldırının arkasında kimin olduğu hemen belli değil, ancak Alman polisinin talebine dayanan yasal bir dinleme vakası olduğundan şüpheleniliyor.

Bir başka hipotez, her ne kadar olası olmasa da, imkansız olmasa da, MiTM saldırısının hem Hetzner hem de Linode'un iç ağlarına bir izinsiz giriş olduğu, özellikle jabber'ı seçtiğidir. Ru.

Araştırmacı, "Müdahalenin doğası göz önüne alındığında, saldırganlar, hesap şifresini bilmeden, yetkili hesaptan yürütülüyormuş gibi herhangi bir eylemi gerçekleştirebildiler" dedi.

"Bu, saldırganın hesabın listesini, ömür boyu şifrelenmemiş sunucu tarafı mesaj geçmişini indirebileceği, yeni mesajlar gönderebileceği veya bunları gerçek zamanlı olarak değiştirebileceği anlamına geliyor."

Hizmetin kullanıcılarının, son 90 gün içindeki iletişimlerinin tehlikeye girdiğini varsaymaları ve "PEP depolarında yeni yetkisiz OMEMO ve PGP anahtarları için hesaplarını kontrol etmeleri ve şifreleri değiştirmeleri" önerilir.

Gelişme, The Citizen Lab'in mobil ağ operatörleri tarafından uluslararası dolaşım için kullanılan sinyalizasyon protokollerindeki ayrıntılı güvenlik eksikliklerinin, gözetim aktörleri, kolluk kuvvetleri ve organize suç grupları tarafından cihazların coğrafi konumunu belirlemek için kullanılabileceği şeklinde ortaya çıktı.

Dahası, ASN.1 mesajlarının ayrıştırılmasındaki güvenlik açıkları (CVE-2022-43677, CVSS puanı: 5.5), Kullanıcı Düzleminden Kontrol Düzlemine geçmek ve hatta 5G teknolojilerine dayanan kritik altyapıyı bozmak için bir saldırı vektörü olarak silah haline getirilebilir.

Trend Micro araştırmacısı Salim S.I. bu ay yayınlanan bir raporda, "CVE-2022-43677 güvenlik açığı, kullanıcı trafiği aracılığıyla bir Kontrol Düzlemi hizmet reddini (DoS) tetiklemek için free5gc'deki zayıf CUPS uygulamasından yararlanıyor" dedi.

"Paket çekirdeğine yapılan başarılı bir DoS saldırısı, tüm ağın bağlantısını bozar. Savunma, polislik, madencilik ve trafik kontrolü gibi kritik sektörlerde, bağlantının bozulması korkunç sonuçlara yol açabilir. Üretim süreçleri için gerçek zamanlı sensörler kullanan fabrikalarda bu, kusurlu ürünlerin oluşmasına neden olabilir."