Kiteworks, müşterilerinden sunucularını kapatmalarını istedi

İnternet üzerinden büyük dosya ve hassas veri aktarımı sağlayan Kiteworks platformları için müşterilere acil güvenlik uyarısı gönderildi. Şirket, kolluk kuvvetlerinden aldığı tehdit istihbaratının ardından müşterilerine sunucularını geçici olarak kapatmalarını tavsiye etti. Kiteworks, kapatma işleminin hafta sonu başlamadan önce, mümkünse daha erken yapılmasını istedi.

Şirketin müşterilerine gönderdiği bilgilendirmede, bir saldırının çok yakın zamanda gerçekleşebileceği belirtildi. Ancak Kiteworks, kendi sistemlerinin ele geçirildiğine veya müşterilerine yönelik saldırının hâlihazırda gerçekleştiğine dair doğrulanmış bir bulgu paylaşmadı. Tavsiye, mevcut bir ihlale müdahaleden çok, olası bir saldırının önüne geçmek için alınan tedbir olarak sunuldu.

Uyarının arkasında güvenilir tehdit istihbaratı var

Kiteworks Baş Bilgi Güvenliği Sorumlusu Frank Balonis, kolluk kuvvetlerinin bazı Kiteworks sistemlerinin tehdit aktörleri tarafından hedef alınabileceğine yönelik güvenilir bilgi aktardığını söyledi. Şirket bu nedenle müşterileri doğrudan bilgilendirdi ve güvenlik ekipleriyle birlikte değerlendirme yapabilmek için geçici kapatma önerisinde bulundu.

Uyarının hangi kolluk kuvvetinden geldiği açıklanmadı. Saldırının arkasında hangi grubun bulunabileceği veya belirli bir saldırganın hedef gösterilip gösterilmediği konusunda da bilgi paylaşılmadı. ABD Federal Soruşturma Bürosu ile ülkenin siber güvenlik kurumuna konu hakkında yöneltilen soruların yanıtlanmadığı aktarıldı.

Kiteworks, müşterilerine platformun en güncel sürümü olan 9.5.1’e geçmelerini öneriyor. Şirket, bilinen güvenlik açıklarının bu sürümde giderildiğini belirtiyor. Bununla birlikte müşterilere gönderilen e-postada, şirket tarafından henüz bilinmeyen başka açıkların da kötüye kullanılmasından endişe edildiği ifade edildi.

Zero-day ihtimali neden kritik?

Üretici tarafından henüz bilinmeyen ve bir güvenlik güncellemesi yayımlanmadan önce saldırılarda kullanılabilen açıklar, zero-day olarak adlandırılıyor. Bu tür açıklar için savunma hazırlamak daha zor oluyor; çünkü kurumların uygulayabileceği düzeltme, üretici tarafından yayımlanmış bir yama veya güncelleme bulunmayabiliyor.

Kiteworks, sistemlere yetkisiz erişim sağlayabilecek başka yolların bulunup bulunmadığını mevcut aşamada doğrulayamadığını belirtiyor. Şirketin sunucuları kapatma çağrısı da bu belirsizlikten kaynaklanıyor. Güncel sürüme geçiş önerisi bilinen açıkları hedef alırken, geçici kapatma tavsiyesi henüz tespit edilmemiş bir istismara karşı ek koruma sağlamayı amaçlıyor.

Bu karar, dosya transfer platformlarını internet üzerinden erişilebilir biçimde kullanan kurumlar açısından operasyonel sonuçlar doğurabilir. Platformlar üzerinden büyük dosyalar ve hassas veriler aktarıldığı için sunucuların devre dışı bırakılması, kurumların dosya alışverişini geçici olarak durdurmasını gerektirebilir. Kiteworks’in müşterileri arasında sağlık, teknoloji, eğitim, otomotiv ve kamu kuruluşları bulunuyor. Şirket dünya genelinde binlerce müşteriye hizmet verdiğini belirtiyor.

Güvenlik araştırmacısı Kevin Beaumont’un çevrim içi olarak erişilebilen en az bin Kiteworks sistemi tespit ettiği aktarıldı. Bu sayı, doğrudan etkilenen müşteri sayısını göstermiyor ve bir ihlalin gerçekleştiğini kanıtlamıyor. Buna rağmen internete açık kurulumların fazlalığı, platformun olası bir saldırı açısından geniş bir hedef alanı oluşturduğunu gösteriyor.

Şirketin geçmişinde büyük bir dosya transferi saldırısı bulunuyor

Kiteworks, 2021’in sonlarında Accellion markasından yeniden adlandırılmadan önce de büyük bir siber saldırı dalgasıyla gündeme gelmişti. Şirketin dosya transfer uygulamasındaki bir güvenlik açığı, yüzlerce kuruluşun sistemlerine erişilmesine ve verilerinin çalınmasına yol açmıştı.

O dönemde saldırganlar, etkilenen sunuculardan daha önce silinmiş olması gereken verilerin kopyalarını ele geçirmeyi hedefledi. Çalınan bilgiler daha sonra fidye taleplerinde kullanıldı. Saldırganlar, ödeme yapılmaması hâlinde kurumlara ait verileri yayımlamakla tehdit etti. Olay, dosya transfer ürünlerini hedef alan daha geniş bir saldırı kampanyasının parçası olarak değerlendirilmişti.

Mevcut uyarı, geçmişteki saldırıyla doğrudan bağlantılı bir ihlal bulunduğu anlamına gelmiyor. Kiteworks şu aşamada müşterilerinden sistemlerini kapatmalarını, mümkün olan en güncel sürümü kullanmalarını ve yeni bir bilgilendirme gelene kadar kendi güvenlik ekiplerinin yönlendirmelerini izlemelerini istiyor. Şirketin açıklamaları, saldırının gerçekleştiğini değil, olası bir zero-day istismarına karşı önleyici tedbir alındığını gösteriyor.