Boeing, ödeme yapmayı reddedince LockBit 45 GB veriyi sızdırdı

 (itbrew.com)
1 puan yazan GN⁺ 2023-11-21 | 1 yorum | WhatsApp'ta paylaş
  • Boeing'in parça ve dağıtım işinin bir bölümünü hedef alan siber olay, 45 GB verinin yayımlanmasıyla sonuçlandı ve fidye yazılımı tehdidinin gerçek bir sızıntıya dönüştüğü bir örnek oldu
  • Rusya bağlantılı bilgisayar korsanı grubu LockBit, 27 Ekim'de saldırının sorumluluğunu üstlendiğini iddia etti ve Boeing süre içinde iletişime geçmezse hassas verileri yayımlayacağı uyarısında bulundu
  • Boeing olayı kabul etti, ancak 2 Kasım'da Cybersecurity Dive'a gönderdiği e-postada bu sorunun uçuş güvenliğini etkilemediğini belirtti
  • Yayımlanan materyaller arasında Citrix dosyaları, güvenlik kontrolleri ve e-posta yedekleri yer aldı; güvenlik analisti Dominic Alvieri de kurumsal e-postaların sızdırıldığını söyledi
  • MalwareHunter Team, materyallerin Boeing'in 2006'da satın aldığı Aviall'dan gelmiş göründüğünü değerlendirdi; iki şirketin sistemlerinin son 17 yılda ne kadar entegre olduğu, ihlalin kapsamını belirleyebilir

LockBit'in Boeing verilerini yayımlaması

  • Fidye yazılımı grubu LockBit, 27 Ekim'de Boeing saldırısının sorumluluğunu üstlendiğini iddia etti
    • Boeing süre içinde iletişime geçmezse hassas verileri yayımlayacağını veri sızıntısı sitesinde paylaştı
    • 10 Kasım son tarihi geçtikten sonra yaklaşık 45 GB Boeing şirket verisini çevrimiçi olarak yayımladı
  • Boeing aynı gün hacklendiğini kabul etti
    • 2 Kasım'da Cybersecurity Dive'a gönderdiği e-postada, “parça ve dağıtım işinin bir bölümünü etkileyen bir siber olaydan” haberdar olduğunu söyledi
    • Aynı e-postada bu sorunun uçuş güvenliğini etkilemediğini belirtti
  • Sızdırılan materyaller arasında bulut bilişim şirketi Citrix'e ait dosyalar, güvenlik kontrolleri ve e-posta yedekleri bulunuyor
    • Güvenlik analisti Dominic Alvieri, The Register'a kurumsal e-postaların sızdırılan materyaller arasında yer aldığını söyledi
    • Alvieri, tüm veri setini baştan sona incelememiş olsa da Boeing e-postalarının ve bazı materyallerin kötü niyetli amaçlar için faydalı göründüğünü değerlendirdi

Aviall ihtimali ve ihlalin kapsamı

  • MalwareHunter Team, sızdırılan materyalleri inceledikten sonra bunların Aviall'dan gelmiş göründüğünü değerlendirdi
    • Aviall, Boeing'in 2006'da satın aldığı bir parça dağıtım şirketi
  • İhlalin ciddiyeti, son 17 yıl içinde Aviall ve Boeing sistemlerinin ne kadar entegre olduğuna bağlı
    • İki şirketin ağları büyük ölçüde birleştirilmediyse ve LockBit yalnızca Aviall ağını ele geçirdiyse, bunun Boeing için “sadece kötü” düzeyinde bir sorun olduğu değerlendiriliyor
    • Ağ entegrasyonunun yüksek olması durumunda, ihlalin ciddiyeti şu ana kadar bilinenden daha büyük olabilir

İlgili okumalar

1 yorum

 
GN⁺ 2023-11-21
Hacker News yorumları

  • Savunma sanayiinde çalışan biri olarak bakınca, 45 GB şifrelenmemiş e-posta ticari açıdan neredeyse değersiz ve ulusal güvenlik açısından da büyük bir olay değil.
    Aksine şirketten ya da devletten çok tek tek çalışanlar için daha büyük bir tehdit olma ihtimali yüksek.
    Başka bir deyişle, bu verinin değeri olsaydı fidye yazılımı grubu bunu ücretsiz yayımlamazdı.

    • “Değeri olsaydı ücretsiz yayımlamazlardı” yorumu tamamen yanlış ve varsayımdan ibaret.
      Ödeme yapılmamasının en makul nedeni kolluk kuvvetlerinin devreye girmiş olması; kolluk kuvvetleri fidye ödenmesini sevmez, hatta tamamen yasaklamayı bile değerlendirdi.
      Bu, verinin değersiz olduğu anlamına hiç gelmez; içinde Citrix cihaz kimlik bilgileri var ve Boeing güvenlik duruşunu iyileştirmezse gelecekteki ihlallere yol açma ihtimali yüksek.
    • Savunma sanayiinin kapsamı da geniş; güvenlik nedeniyle ayrıntı vermesi zor olmuş olabilir.
      Ancak mesleğini öne sürdükten sonra bireylerin önemli olmadığı, yalnızca ticari aktörlerin önemli olduğu yönünde konuşmak, bazı savunma bağlantılı görevlerle uyuşmayabilir.
    • Birkaç yıl önce iş hesabım 50 GB sınırına takıldığı için temizlik yapmak zorunda kalmıştım; şimdi de yine 20 GB kullanıyorum.
      Kurum içinde alt seviye bir mühendis olmama rağmen otomasyon sistemlerinden ve Confluence’tan gelen e-postalar, pek spam sayılmasa da zaman zaman faydalı olabilen devasa miktarda bildirim üretiyor.
      E-posta 500 TB olsaydı endişelenmeye değerdi ama 45 GB tek bir hesabın ele geçirilmiş olması gibi görünüyor.
      Şirket geneline ya da tüm departmana gitmiş ilginç birkaç gizli e-posta olabilir, ama genel olarak pek değerli görünmüyor; bu yüzden Boeing’in ödeme yapmama kararının doğru olduğunu düşünüyorum.
    • Bundan o kadar emin olmak zor.
      Parola çalan suçlular da bazen hesabın içine dalıp daha büyük kazanç elde etmek yerine, düşük fiyata toplu satış yapıp elden çıkarmaya çalışır.
      Bu olayda da amaç, başka yüksek değerli hedeflere ciddi olduklarını göstermek olabilir.
    • Bu olayla Enron’dakine benzer, doğal dil işleme için bir e-posta derlemi daha ortaya çıkabilir gibi geliyor.

  • Dışarıdan birinin 45 GB’a erişmesi işin kolay kısmı; şimdi bunu kullanmak için Boeing ölçeğinde bir şirket ve tedarikçi tabanı kurmak gerekir.

    • Tedarikçi sözleşme pazarlıkları karmaşıklaşabilir.
      “Aynı cihaz için sen birim başına 50 dolar fazla ödüyorsun” gibi şekillerde kullanılabilir.
    • Verinin türüne bağlı olarak gerçek bir güvenlik sorunu olabilir.
    • Sadece bu da yetmez.
      Parçaları kopyalasanız bile ülke dışına çıkarılmasına izin verilmesi için muhtemelen özgün tedarik zinciri ve sertifikasyon sisteminin bir parçası olmak gerekir.
    • Airbus’ın kendi LLM’ini eğitmek için bir derlemeye ihtiyacı vardı; artık olmuş oldu.

  • Hafızam çok net değil ve basit bir Google aramasında da kolayca çıkmıyor ama böyle bir sızıntının hedef şirkete büyük çaplı sorun çıkardığı bir örnek var mı diye düşünüyorum.
    Son 2 yılda benzer sızıntılar epey oldu, ama piyasa ve kamuoyu genel olarak kayıtsız kalmış gibiydi.
    Elbette 45 GB büyük bir miktar ve içinde gerçekten berbat şeyler olsaydı Boeing’in fidyeyi ödeyip kimseye söylemeyeceğini sanıyorum.
    Boeing için gerçekten olumsuz bir sonuç doğar mı? Zafiyet olması bir leke, ama ödeme yapmamış olması birçok kişiye olumlu görünebilir.

    • Sony Kuzey Kore tarafından hacklendiğinde, sızdırılan maaş verileri aynı işi yapan kadınların erkeklerden daha az ücret aldığını ortaya koymuştu.
      O sızıntının devamında ne sonuçlar doğduğunu pek bilmiyorum.
      https://slate.com/human-interest/2014/12/sony-pictures-hack-...
    • Rakipler bu veriyi görmek isteyecektir, ama dosyaları karıştırdıklarını dünyaya duyurmayacaklardır.
      Bir gün Airbus Boeing’den önce yeni bir uçak üretse ya da kârlı bir sözleşme alsa bile, bunun doğal biçimde mi gerçekleştiğini yoksa bu veriden edinilen bilgi sayesinde mi olduğunu sonsuza dek bilemeyebiliriz.
    • Kişisel e-postam bile son yıllarda sağlayıcı değiştirmiş olmama rağmen 10 GB’ın üzerinde.
      45 GB muazzam bir miktar da olabilir, birkaç kişiye ait pazarlama sunumlarından ibaret de olabilir.
    • İnsanlar kurcalamaya başlarsa sorun olabilir, ama çoğu kişinin buna zamanı da hevesi de yok; hukuki riski de göze almak istemeyeceklerini düşünüyorum.
    • Dahili e-postaların tasarım belgelerinden çok daha değerli olacağını düşünüyorum.
      Sorumluluk zincirinin son halkasındaki kişinin, MCAS’in çalışmadığı kendisine söylendiğinde gerçekte ne dediğini görmek isterdim.
      İlk yaklaşık 150 ölümden sonra hasar kontrolü için bunu hangi ifadelerle paketlediklerini ve sonraki olaya nasıl tepki verdiklerini de merak ediyorum; patlamış mısır makinesini çalıştırmaya değer.

  • Fidye yazılımı grubunun anlaşmayı bozup verileri olduğu gibi yayımladığı bir olay daha yeni olmamış mıydı?
    Böyle yaparlarsa kendi iş modellerini kendileri öldürmüş olurlar.
    X şirketi, bir suç örgütünün sözünü tutacağına güvenemiyorsa en başta neden para ödesin?
    Boeing zaten veri ihlalinin artçı maliyetlerini ödemek zorunda kalacak; suçlulara ayrıca para ödemesi için bir neden yok.

    • Fidye yazılımına karşı ilginç bir strateji kapısı açılıyor ama bu çok etik dışı ve yasa dışı; ancak bir devlet aktörünün uygulayabileceği türden bir yöntem.
      1. Hedefi hackleyip verileri rehin almak
      2. Fidyeyi aldıktan sonra verileri olduğu gibi yayımlamak
        Böyle yapılırsa gerçek fidye yazılımı gruplarının güvenilirliği ciddi biçimde düşer.
        Bunu daha etik hale getirmek için verilerin önemsiz ya da şifrelenmiş olması gerekir.
        Yine de medya bunu haber yapar ve kamu algısı değişebilir.
        Daha iyi yöntem, hacklenen “hedef” ile gizlice koordine olup tüm olayı zararsız bir gösteriye dönüştürürken veri rehin alma teşvikini azaltmaktır.
    • Bu, ortak varlıkların trajedisi.
      Kötü fidye yazılımı aktörlerini tespit edip dışlayacak merkezi bir yargı sistemi kurulmalı.
    • Böyle şeyler hep oluyor.
      İlk fidye, hedef verilerin şifre çözme anahtarını almak içindir; ikinci fidye ise şifresi çözülmüş verilerin yayımlanmasını engellemek içindir.

  • Bu dökümde “işe yarar” bir şey var mı?
    Haberde Citrix ve e-postalardan bahsediliyor ama bu her şey olabilir.

    • Kimin işine yarayacağına bağlı.
      E-posta dökümleri ve diğer veriler, ek ihlaller ya da çalışanlara yönelik saldırılar için işe yarayabilir.
      İç güvenlik ekipleri her şeyi inceleyecektir ama gözden kaçan bir şeyler olabilir; kişisel bilgiler farkında olunsa bile dolandırıcılık için kötüye kullanılabilir.
      Çin gibi devletler ya da Boeing’in havacılık ve savunma alanındaki rakipleri için, zaten erişimleri yoksa bu bir altın madeni olurdu.
      Boeing ulusal güvenlik ve uzayla ilgili çok iş yapıyor.
    • Artık yayımlandığına göre birileri eninde sonunda indirip kontrol edecektir.
      İnternete düşen şeyler neredeyse hiç kaybolmaz.

  • ABD fidye ödemeyi yasa dışı hale getirmeli ve fidye ödeyen ya da onaylayan kişilere hapis cezası vermeli.
    Böyle bir yasa olursa şirketler ödeme riskini göze almaz; bu yüzden fidye yazılımı gruplarının ABD şirketlerini hedef alma olasılığı azalır.

    • Zaten yasa dışı olabilir[1][2].
      Yine de bu, şirketlerin para ödemesini engellemiyor.
      Bir hastaneyse, kanun metnini ihlal etmek ile çok sayıda insanın ölmesine izin vermek arasında tartmak zorunda kalır.
      [1] https://www.gma-cpa.com/technology-blog/paying-ransom-on-a-r...
      [2] https://cbs12.com/news/cbs12-news-i-team/hospital-ransomware...
    • Fidye ödenmedi; sadece ABD dışında bulunan bir siber güvenlik şirketine yedi haneli bir danışmanlık ücreti ödendi ve o şirket de bir şekilde sihirli biçimde sorunu çözdü.
    • “Bana 10 bin dolar vermezsen, yetkililere senin 100 bin dolar fidye ödediğini söylerim.”
      “Tamam, işte para.”
      “Teşekkürler. Bir 10 bin dolar daha vermezsen az önceki işlemi yetkililere söylerim.”
    • Böyle bir yasağın mantıklı olmadığı durumlar da var.
      Örneğin birkaç hafta önce hacklenen estetik cerrahi kliniği, hastalarının tıbbi kayıtları ile ameliyat öncesi ve sonrası fotoğraflarının sızmasını engellemek için en azından denemeye değer bulabilir.
      Fidye ödemeyi yasa dışı hale getirmek, tüm hastaların tıbbi geçmişlerinin ve fotoğraflarının sızmasına yol açabilir; bu da bir kâbus olur.

  • Bunun Boeing açısından bir ITAR ihlali sayılıp sayılmayacağını merak ediyorum.

    • Neden öyle düşünüyorsun?

  • Hükümet, şirketlerin fidye yazılımı gruplarına ödeme yapmasını yasa dışı hale getirsin.
    O zaman fidye yazılımının iş modeli ortadan kalkar; şirketler de olası sorunları parayla çözmeyi ummak yerine gerçek güvenliğe odaklanmak zorunda kalır.
    Toplum kısa vadeli acıya katlanıp uzun vadede daha iyi bir çözüme kavuşmuş olur.

    • Böyle bir önlemi aşmanın yolları şimdiden yaygın gibi görünüyor.
      Şirketler pahalı “uzmanlar” ve “danışmanlar” tutar; onlar da sessizce fidye yazılımı grubuna para öder.

  • Rusya ile bağlantılı bir siber örgütse, içindeki hassas bilgiler zaten her hâlükârda kamuya açık bilgi sayılmalı.
    O halde neden para ödensin?