DreamHost, saldırganların iki ay boyunca File Manager içinde FTP kimlik bilgilerini ve session token'ları çaldığını doğruladı

Saldırganlar Ağustos'tan Ekim sonuna kadar erişimde kaldı

DreamHost, saldırganların Ağustos'tan 23 Ekim'e kadar, yani faaliyetin fark edilmesinden önce yaklaşık iki ay boyunca web tabanlı File Manager içinde bulunduğunu doğruladı. Haberi özetleyen bir dev.so yazısına aktarıldığı üzere TechCrunch'ın haberine göre saldırganlar bu kalkanı, müşterilere ait FTP ve SFTP kimlik bilgilerini ve webmail için kullanılan session token'larının bir kısmını çalmak için kullandı.

Ortaya çıkan şey neydi

File Manager, DreamHost'un barındırılan hesaplardaki dosyaları yönetmek için sağladığı tarayıcı tabanlı araçtır; bu da onu müşteri ortamının hassas bir parçası yapar. Ortaya çıkan risk iki kategoride toplanıyor: müşterilerin web sunucularına dosya düzeyinde erişim sağlayan FTP ve SFTP girişleri ile webmail session token'larının bir alt kümesi. Haberler token hırsızlığının bazı hesapları etkilediğini belirtiyor; ancak eldeki materyalde kesin kapsam sayısal olarak verilmiyor.

Token'lar neden parolalar kadar önemli

Çalınan parolalar ciddi ama tanıdık bir sorun: değiştirilebilirler ve multi-factor authentication değerlerini düşürür. Çalınan bir session token ise farklı bir mesele. Token, başarılı bir girişten sonra mail servisinin tarayıcıya verdiği şeydir ve geçerli bir token sunmak genellikle giriş adımını tamamen atlar; parola ve birçok kurulumda ikinci faktör dahil. Bu, yalnızca parola değişikliğinin saldırganın bir posta kutusuna erişimini sonlandırmayabileceği anlamına gelir; aktif oturumların açıkça geçersiz kılınması, örneğin tüm cihazlardan çıkış yapılarak, gerekebilir.

Etkilenen müşteriler için önerilen adımlar

Yazı, DreamHost'ta barındırılan ya da DreamHost kullanan müşterileri destekleyen herkes için kısa bir kontrol listesi sunuyor:

• FTP, SFTP ve e-posta parolalarını değiştirin.
• Barındırılan sitelerde ekipten kimsenin bilerek yerleştirmediği dosyalar olup olmadığını denetleyin.
• DreamHost'un sunduğu her yerde multi-factor authentication'ı etkinleştirin.
• Yalnızca sağlayıcının yönetilen kopyalarına güvenmek yerine bağımsız yedekler tutun.
• Kendi loglarınızı izleyin; çünkü yönetilen bir sağlayıcı, kendi ortamınızı izleme yükümlülüğünüzü ortadan kaldırmaz.

Neden önemli

Manşetin asıl sayısı kalış süresi. Büyük bir yönetilen sağlayıcıdaki dosya yönetim aracına iki ay kesintisiz erişim, köklü sağlayıcıların bile aktif bir sızılmayı fark etmeden taşıyabileceğini ve güvenliği tamamen sağlayıcıya bırakmanın üretimde web sitesi çalıştıran hiç kimse için eksiksiz bir yanıt olmadığını gösteriyor.

Çalınan belirli veriler sorunu büyütüyor. FTP ve SFTP kimlik bilgileri müşteri sitelerine malware yerleştirmek, siteleri değiştirmek veya kalıcılık sağlamak için bir yol; posta kutusu erişimi ise birçok servis hâlâ parola sıfırlamalarını e-postayla gönderdiği için daha fazla hesap ele geçirmeye giden klasik bir basamak taşı. İnsanlar parolalarını yeniden kullantığı için etki alanı DreamHost ötesine, aynı girişlerin geçtiği her yere uzanabilir.

Barındırma endüstrisi için bu olay, çok sayıda müşteri sunucusunun önünde kimlik doğrulamasıyla duran web tabanlı dosya yönetim arayüzlerinin değerli hedefler olduğunu ve session token hırsızlığının, kimlik bilgisi ifşasıyla aynı olay müdahalesi ilgisini hak ettiğini hatırlatıyor. Müşteriler için pratik ders net: kimlik bilgilerini değiştirin, aktif oturumları sonlandırın, dosya bütünlüğünü doğrulayın ve yönetilen bir sağlayıcıyı asla kendi yedeklerinizin ve izlemenizin yerine koymayın.