Hack faaliyetleri dün öğleden sonra başladı bizim müşterilerden 3-4 tanesi iletişime geçti durumu bildirdi anası belli babası elli olan saldırgan kişi yada kişiler sisteme not bıraktığı için crpytolocker virüsü olduğu hemen anlaşıldı, logları incelediğimde saldırganın 127.0.0.1 ip adresi üzerinden vmware arayüzüne ulaştığı firewall kurallarını devre dışı bırakıp ssh'yi aktif ettiğini ve ssh üzerinden işlemleri gerçekleştirdiğini tespit ettik. İlk başta hep soyoustart/ovh sunucularda sorun olduğunu görünce soyoustart/ovh taraflı bir açık mı var diye düşünürken farklı verimerkezlerindeki sunuculara da girildiği bilgisi geldi 4 buçuk gibi scaleway/online.net ceo'su tweet attı, onlara ait sunuculardan da binlercesi ele geçirilmişti. Tam emin olduktan sonra 6 gibi ilk konuyu açtım fakat pek kimsenin dikkatini çekmedi ilerleyen saatlerde yayılma daha da artınca gündem oldu.

https://www.r10.net/site-server-admi...k-uyarisi.html

İlerleyen saatlerde fransa devletinin güvenlik departmanı bu açığı resmi olarak duyurdu, ardından diğer verimerkezleri de uyarı geçti. Tabi bu zamana kadar onbinlerce sunucuya sızılmıştı. Ardından yurtdışındaki network ve güvenlik uzmanları açığın 427 portunda çalışan ve donanım istatistik verisi gönderen openslp servisinde olduğunu açıkladı. Açık geçen aylarda kapatılmış fakat açığın ciddiyeti açık için güncel bir exploit yazılmasıyla anlaşıldı.

Neyse ki flat-vmdk dosyası şifrelenemediği için kurtarma şansı var, @mselim üstad sağolsun döküman paylaşarak büyük bir iyilik yapmıştır sektöre. Bu olayla birlikte yedeklemenin ne kadar önemli olduğu da anlaşılmıştır, birçok müşterimiz 1-2 sene önce yedek almış hatta hiç yedek almayanlar var. Bu kadar fazla cesaret beni korkuttu.

Herkese geçmiş olsun.