Rapid7'nin 3. Çeyrek Tehdit İstihbarat Raporu, güvenlik açıklarının istismar edilme hızında benzeri görülmemiş bir hızlanma olduğunu ortaya koydu. Buna göre saldırganlar, yüksek riskli güvenlik açıklarına, bunların kamuoyuna duyurulmasından itibaren ortalama üç gün içinde saldırı düzenlerken, bu açıkların %71'i yalnızca ilk hafta içinde istismar edildi.
Kritik Açık Yarışı ve Fidye Yazılımlarının Hakimiyeti
Veriler, bu açıkların yaklaşık %79'unun çok yüksek risk kategorisine girdiğini veya güvenlik çevrelerinde «Kutsal Kase» (Holy Grail) olarak bilinen sınıfta yer aldığını gösterdi. Bu durum, önceden kimlik bilgilerine sahip olmayı veya yerel kullanıcı etkileşimini gerektirmeden uzaktan yürütmeye olanak tanımasından kaynaklanıyor. Bu hızlanma; koruma ve siber savunma ekiplerini, güncellemeleri uygulamak ve açıkları geniş çaplı ihlallere dönüşmeden kapatmak için yoğun bir zaman baskısı altına sokuyor.
Aynı zamanda fidye yazılımları, küresel çapta en acımasız ve etkili tehdit konumunu sürdürdü; iş hizmetleri, imalat ve sağlık sektörleri en çok saldırıya maruz kalan hedefler listesinin başında yer aldı. ABD, kaydedilen saldırıların %60'ı ile hedef alınan ülkelerin başında gelirken, onu %7 ile Almanya, %5'er oranla İtalya ve Kanada izledi. Devlet sektörüne yönelik saldırılar, bir önceki çeyreğe göre %15 oranında dikkat çekici bir artış kaydetti.
Önde Gelen Fidye Çeteleri ve Hedef Dağılımı
Siber suç arenasındaki aktörler açısından, başarılı saldırılar listesinin başında iki ana grup yer aldı. «The Gentlemen» çetesi 342 olaydan sorumlu olduğunu açıklarken, onu hemen ardından 339 olayla «Qilin» çetesi izledi. Aktif listenin geri kalanında ise yaklaşık 99 saldırıyla «INC Ransom», 98 saldırıyla «DeadLock» ve 95 açıklanan saldırıyla «Krybit» gibi gruplar yer aldı.
Aktif listenin geri kalanında ise yaklaşık 99 saldırıyla «INC Ransom», 98 saldırıyla «DeadLock» ve 95 açıklanan saldırıyla «Krybit» gibi gruplar yer aldı.
Siber Operasyonlarda Yapay Zekanın Gerçek Durumu
Teknik çevrelerde yapay zeka destekli saldırganların tamamen hakimiyet kurduğuna dair hakim kınamanın aksine, raporun sonuçları yapay zeka araçlarının takip edilen toplam olayların yalnızca %8'inde operasyonel bir unsur olarak ortaya çıktığını gösterdi. Yapay zeka araçlarının takip edilen toplam olayların yalnızca %8'inde operasyonel bir unsur olarak ortaya çıktığını gösterdi. Yapay zeka araçlarının takip edilen toplam olayların yalnızca %8'inde operasyonel bir unsur olarak ortaya çıktığını gösterdi. Yapay zeka araçlarının takip edilen toplam olayların yalnızca %8'inde operasyonel bir unsur olarak ortaya çıktığını gösterdi. Analizler, saldırıların doğrudan insan kararlarıyla yönetilmeye devam ettiğini gösterdi; kaydedilen tüm vakalarda insan unsurunun hedefi ve uygulama mekanizmasını belirlediği, yapay zekanın rolünün ise uygun teknikleri seçmek, hedefleri ayıklamak ve belirli bir adım başarısız olduğunda otomatik kurtarma gibi saldırı zincirinin «orta taktiksel aşamasını» otomatikleştirmekle sınırlı olduğu görüldü.
Rapid7, açıkların keşfedilmesi ve kod denetimi için yapay zeka kullanım hızı ile (ki bu gerçek anlamda hızlanmaktadır) sahadaki verilerde henüz geniş çaplı bir olgu olarak ortaya çıkmayan karmaşık istismar operasyonlarının yürütülmesinde doğrudan kullanımı arasında ayrım yapılması gerektiğini belirtti. Bu bağlamda saldırganlar, hizmet sağlayıcı yapay zeka modellerine gömülü koruma mekanizmalarını ve tespit sistemlerini atlatmak için çoklu oturum istemleri (Multi-session Prompting) yoluyla komutları ve girdileri parçalara ayırma gibi hilelere başvuruyor.
Gelişmiş Tehdit Aktivitesi ve İlk Erişim Pazarı
Rapor, başta hükümet kurumları olmak üzere savunma, ulaşım, medya ve enerji sektörlerine odaklanan 15 farklı Gelişmiş Kalıcı Tehdit (APT) grubu ve siber casusluk çetesinin faaliyetlerini kaydetti. Bu gruplar arasında Rusya ile bağlantılı (Sandworm) ve (Void Blizzard), Çinli (APT31) grubu ve Güney Kore'deki altyapıları hedefleyen Linux ortamları için önceden kaydedilmemiş kötü amaçlı bir yazılım paketi kullandığı belgelenen Kuzey Koreli (Lazarus) grubu yer aldı.
«Karanlık Web» platformları düzeyinde, İlk Erişim Brokerleri (Initial Access Brokers) faaliyetlerinin hakimiyeti devam etti. Yapılan duyurular, eksiksiz bankacılık kimlik bilgilerinden şirket ağları içinde kalıcı bir yer edinmeye kadar değişen sızma yolları sağladığını gösterdi; gözlemlenen gönderilerin %65'inden fazlası Uzak Masaüstü Protokolü (RDP) erişimi veya dahili ağlara erişim satmaya odaklandı. Bu durum, savunucuların gelecekteki saldırı vektörlerini tespit etmek için yatırım yapması gereken hayati ve erken bir göstergeyi temsil ediyor.
Bu, Siber Savunma Ekipleri İçin Ne Anlama Geliyor?
Bu dönüşüm, teknik kuruluşlar içinde savunma önceliklerinin derhal yeniden düzenlenmesini zorunlu kılmaktadır. Bu manzarayla başa çıkmanın gereklilikleri aşağıdaki gibi özetlenebilir:
- Açıkların giderilme süresinin kısaltılması: Aylık yama modeli, internete yönelik açıklar için artık yeterli değil; yeni oran (3 gün), güncellemelerin uygulanmasının ve açıkta kalan hizmetler için anında engelleme prosedürlerinin otomatize edilmesini gerektiriyor.
- Yapay zeka arayüz tüketiminin izlenmesi: Akıllı araçların yetkisiz kullanımını erken tespit etmek için ağ içindeki alışılmadık cihazlardan veya süreçlerden gelen API isteklerinin takibi.
- Uzak erişim noktalarının güçlendirilmesi: İlk erişim brokerlerinin ağları sömürmesini ve bunları fidye yazılımı çetelerine satmasını engellemek için RDP bağlantı noktalarının izlenmesinin güçlendirilmesi ve çok faktörlü kimlik doğrulamanın uygulanması.