ABD Federal Soruşturma Bürosu (FBI), İran ile bağlantılı olduğu bilinen bir tehdit aktörünün, ABD merkezli kuruluşlarda dahil olmak üzere dünya çapındaki diğer kuruluşlardan daha önce çalınan ve sızdırılan verileri kullanarak, gelecekteki saldırılarda aynı kuruluşların tekrar hedef alınabileceğini duyurdu.
FBI, bu tehdit aktörünün belirli bir endüstri yada şirket ile ilgilenmediğini ancak toplu olarak veriler aradığını belirtiyor. Bunun yanında aynı tehdit aktörünün kritik sistemlerin ve tesislerin merkezi olarak izlenmesine olanak veren SCADA sistemlerine, ortak varsayılan şifreleri kullanarak yetkisiz erişim elde etme konusunda da ilgili olduğunu belirtti.
FBI, özellikle daha önce bir siber saldırı sonrası hack forumlarında veya karanlık ağlarda verileri sızdırılan şirketlerin, sızdırılan verilerin kullanılarak tekrardan bir siber saldırı saldırı yaşamaması için gerekli önlemlerin alınmasını istiyor.
Bunlara ek olarak FBI tarafından tehdit aktörünün geçmişteki saldırılarda kullandığı bir dizi taktik, teknik ve prosedür (TTP) yayınladı. Bunlara göre;
— Tehdit aktörleri tarafından hedeflenen Uzak Masaüstü Protokolü (RDP) sunucularının, Web Uygulaması Güvenlik Duvarlarının ve Kentico CMS kurulumlarının güvence altına alınıp, saldırıları en aza indirgemelerini,
— Takip edilecek ve önlemler alınacak CVE kodlarına ilişkin olarak; CVE-2019-10068 (Kentico CMS), CVE-2008-3362 (WP Downloads Manager), CVE-2014-4725 (MailPoet Newsletters), CVE-2014-9735 (ThemePunch Slider Revolution), CVE-2015-1579 (Elegant Themes Divi theme), CVE-2015-4455 (Aviary Image Editor Add-on For Gravity Forms), CVE-2019-9879 (WPGraphQL), CVE-2015-8562 (Joomla CMS), CVE-2018-13379 (Fortinet), CVE-2020-10188 (Telnet), CVE-2020-1472 (Windows Netlogon)
— Konumlarını maskelemek için de VPN kullanmalarını
tavsiye olarak yayınladı.
