DreamHost iki aylık ihlali doğruladı: müşteri FTP ve SFTP bilgileri açığa çıktı

Ne oldu

Büyük bir web barındırma sağlayıcısı olan DreamHost, saldırganların File Manager platformuna yaklaşık iki ay boyunca erişim sağladığı bir veri ihlalini doğruladı. BleepingComputer'ın haberine dayanan dev.to'daki bir güvenlik raporuna göre saldırganlar müşterilerin FTP ve SFTP kullanıcı adları ile şifrelerini çaldı; etkin webmail oturumları da açığa çıktı.

File Manager, DreamHost müşterilerinin barındırılan sitelerindeki dosyalarla çalışmak için kullandığı tarayıcı tabanlı araç; dolayısıyla çalınan bilgiler doğrudan bu siteleri değiştirme yeteneğine dönüşüyor. DreamHost'un etkilenen kullanıcılara bildirim gönderdiği bildiriliyor.

Saldırganların ele geçirdiği veriler

Platformda site işleten herkes için iki kategori öne çıkıyor.

İlki, site yönetiminin günlük anahtarları olan FTP ve SFTP girişleri. Geçerli bir kullanıcı adı-şifre çiftiyle saldırgan kaynak kodu düzenleyebilir, kötü amaçlı scriptler yerleştirebilir — rapor tipik bir payload olarak ödeme kartı skimmerlarına işaret ediyor — ya da dizinlerin tamamı doğrudan silebilir.

İkincisi webmail oturumları. Ele geçirilen bir session token, saldırganın yeniden giriş yapmadan bir posta kutusuna yerleşmesini sağlıyor; bu da multi-factor authentication'ı tamamen bypass ediyor. Buradan yola çıkarak hassas yazışmaları okuyabilir ve şifre sıfırlama bağlantılarını araya alabilirler; tek bir ele geçirilmiş posta kutusu, birbirinden bağımsız hizmetlerde hesap ele geçirmeye dönüşebilir.

İki aylık süre neden önemli

Süre, tartışmasız en endişe verici detay. İki aylık bir dwell time, saldırganların barındırılan ortamların içinde değişiklik yapacak bolca fırsatı olduğu anlamına geliyor; rapor, bu tür değişikliklerin standart izleme araçlarının radarına girmemiş olabileceğine dikkat çekiyor. Göze batan defacement'lerden farklı olarak, ince kod enjeksiyonları uzun süre fark edilmeyebilir.

Doğrulananlar ve bilinmeyenler

Rapor, kesinleşenleri hâlâ açık olanlardan ayırıyor. Doğrulananlar: DreamHost ihlali kabul etti, File Manager platformu hedefti, yetkisiz erişim yaklaşık iki ay sürdü ve kullanıcılara bildirimler sürüyor.

Hâlâ bilinmeyenler ise şunlar: kaç hesabın etkilendiği, saldırganların File Manager'a ilk olarak nasıl girdiği — örneğin bir zero-day güvenlik açığı ile çalınan iç idari bilgiler her ikisi de olasılık olarak dile getiriliyor — ve çalınan bilgiler kullanılarak kaç barındırılan sitenin gerçekten değiştirildiği.

Daha geniş bir dalganın parçası

dev.to raporu, olayı diğer yakın altyapı ve tedarik zinciri ihlalleriyle birlikte ele alıyor. BleepingComputer ayrıca, cPGuard adlı sunucu güvenlik paketinin update altyapısının bir backdoor ve veri çalan scriptler dağıtmak amacıyla ele geçirildiğini ve geliştirici platformu WorkOS'un, bir tehdit aktörünün ARTEX AI adı verilen bir araç kullanarak iç satış uygulamalarına ve müşteri iletişim özetlerine eriştiği bir ihlali açıkladığını bildirdi.

Etkilenen müşteriler için adımlar

DreamHost'ta site barındıran geliştiriciler ve yöneticiler için rapor acil harekete geçilmesini öneriyor:

• Tüm FTP, SFTP ve SSH şifrelerini değiştirin ve aynı şifrelerin başka yerlerde kullanıldığı durumlarda onları da yenileyin.
• İki aylık süre boyunca enjekte edilmiş herhangi bir şeyi yakalamak için üretim dosyalarını bilinen temiz bir temel ile, örneğin Git üzerinden, karşılaştırarak dosya bütünlüğünü denetleyin.
• Ele geçirilmiş token'ları geçersiz kılmak için tüm etkin webmail oturumlarından çıkış yapın.
• Erişim loglarını tanıdık olmayan IP adresleri ve yetkisiz dosya değişiklikleri açısından inceleyin.

Neden önemli

Barındırma bilgileri fiilen üretim kodunun ana anahtarlarıdır ve bu ihlal onları iki ay boyunca saldırganların eline verdi. Bu, etkilenen herhangi bir sitenin sessizce değiştirilmiş olabileceği — skimmerlar, backdoor'lar ya da daha kötüsüyle — ve bu değişikliklerin bugün hâlâ aktif olabileceği anlamına geliyor. Webmail açığının çıkması zararı büyütüyor; çünkü ele geçirilmiş bir oturum hem MFA'yı hem de şifre sıfırlamayı etkisiz kılarak ihlalin barındırma ötesinde, e-postaya bağlı tüm hesaplara yayılmasına izin veriyor. Etkilenen hesap sayısı ve ilk giriş vektörü hâlâ açıklanmadığından, temkinli davranmak isteyen müşteriler açığa çıktığını varsaymalı, bilgilerini değiştirmeli ve dosyalarını temiz bir durumla karşılaştırarak doğrulamalı. Olay ayrıca barındırma ve geliştirici altyapısına yönelik saldırı kümesinin ortasına denk geliyor; bu da sağlayıcıların sistemleri yönetmek için kullandığı araçların kendilerinin de yüksek değerli bir saldırı yüzeyi olduğu hatırlatması.