Makine hızındaki saldırılarda veri hırsızlığı 15 dakika içinde başlayabiliyor

Exaforce’un analizine göre saldırganlar bir ortama eriştikten sonraki 15 dakika içinde ortamı taramaya veya veri çekmeye başlayabiliyor. Şirketin güvenlik platformu ve MDR analistleri üç saldırı örüntüsünü inceledi. Şirket, bu vakaların veriye ve davranışlara dayalı tespitin neden önemli olduğunu gösterdiğini belirtiyor.

Bir vakada, GitHub Desktop kullanıldıktan sonra geliştiricinin GitHub OAuth token’ı Mac anahtar zincirinde 95 gün kaldı. Exaforce’a göre 19 Haziran’da başka biri bu token’ı kullanarak iki düzineden fazla Avrupa şehrindeki konut interneti proxy’leri üzerinden yaklaşık 15 saniyede 76 depoyu çekti. Exaforce, platformunun etkinliği beş dakika içinde işaretlediğini ve analistlerin veri hırsızlığını doğruladığını, ancak müdahale edilene kadar saldırganın 638 deponun 472’sindeki verileri aldığını söylüyor. Şirkete göre GitHub token’ın kullanımına ilişkin uyarı vermedi.

Analizde ayrıca kötü amaçlı yapay zekâ yükleyicilerini kullanan tuzaklar ve çalışanları gerçek MFA istemlerini onaylamaya yönelten sesli oltalama saldırıları anlatılıyor. Exaforce, bir vakada saldırganların onaydan 2,5 ila 7 dakika sonra toplu indirme başlattığını ve 140.000 dosyayı dışarı aktarıp ardından fidye istediğini belirtiyor. Başka bir vakada şirket, çalınan bir token bir saniye içinde iki farklı ülkeden yeniden kullanıldıktan sonra hesap geçmişini inceleyerek Okta ve Microsoft oturum açma kayıtlarını ilişkilendirdiğini söylüyor.

Exaforce, kuruluşların bu saldırıların hızına yanıt verebilmek için davranış temelli tespit ve otomatik müdahale kullanması gerektiğini savunuyor. Örnekler ve sonuçlar, şirketin ele aldığını söylediği olaylara ilişkin kendi anlatımıdır.