Citrix Systems Inc. Tanınmış bir uzaktan erişim yazılımı sağlayıcısı olan , yakın zamanda Citrix Bleed olarak bilinen kritik bir güvenlik açığına maruz kaldı. Siber güvenlik araştırmacıları ve Citrix'in çevrimiçi gönderilerine göre kusur, hükümet destekli bilgisayar korsanları ve suç grupları tarafından haftalarca yararlanıldıktan sonra keşfedildi. Geçen ay bir düzeltme yayınlanmış olmasına rağmen bilgisayar korsanları, özellikle yamayı henüz uygulamamış müşterileri hedef alarak bu açıktan yararlanmaya devam etti.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) Siber Güvenlikten Sorumlu Yönetici Yardımcısı Eric Goldstein, ulus devlet grupları ve suç örgütleri de dahil olmak üzere çok sayıda kötü niyetli aktörün Citrix'ten aktif olarak yararlandığını ortaya çıkardı Goldstein ayrıca kusurun potansiyel olarak hassas bilgilerin çalınmasına ve daha geniş ağ erişimine yol açabileceğini vurguladı.
Dünya çapında en kötü şöhrete sahip bilgisayar korsanlığı çetelerinden biri olan LockBit, Citrix Bleed hatasını istismar eden suç gruplarından biri olarak tanımlandı. Küresel bir bankacılık güvenlik konsorsiyumu olan Finansal Hizmetler Bilgi Paylaşımı ve Analiz Merkezi (FS-ISAC), finansal kurumları bu güvenlik açığıyla ilişkili risk konusunda uyaran bir güvenlik bülteni yayınladı. Ayrıca ABD Hazinesi'nin, Çin Sanayi ve Ticaret Bankası'na (ICBC) yapılan son fidye yazılımı saldırısından Citrix güvenlik açıklarının sorumlu olup olmadığını araştırdığı bildiriliyor.
Citrix, Citrix Bleed hatasını ilk olarak 10 Ekim'de keşfetti ve hemen bir yama yayınladı. Ancak daha sonra, yama yayınlanmadan önce çok sayıda Citrix müşterisinin güvenliğinin ihlal edildiği keşfedildi. Siber güvenlik araştırmacıları, ağustos ayı sonlarına kadar uzanan saldırılara dair kanıtlar buldu ve bu durum, bu izinsiz girişlerin bir ulus devlet tarafından casusluk amacıyla gerçekleştirilmiş olabileceğine dair endişeleri artırdı.
Yama uygulamasının aciliyetine ve önerilen diğer eylemlere rağmen binlerce şirket Citrix yazılımlarını hemen güncellemeyi başaramadı. Palo Alto Network'ün Birim 42 ekipleri, en az 6.000 savunmasız IP adresinin tespit edildiğini ve en yüksek cihaz yoğunluğunun ABD, Almanya, Çin ve Birleşik Krallık'ta bulunduğunu tespit etti.
Hem çete adıyla hem de fidye yazılımı üretmesiyle tanınan LockBit, Citrix kusurundan aktif olarak yararlanıyor. Güvenlik araştırmacısı Kevin Beaumont, LockBit'in istismarının aralarında hukuk firması Allen & Overy, havacılık devi Boeing Co.'nun da bulunduğu çok sayıda kurbanı kapsadığını ortaya çıkardı. ve liman operatörü DP World Plc. Bu olaylara yanıt olarak Citrix, kılavuzunu güncelleyerek yalnızca yama uygulamayı değil aynı zamanda tüm aktif ve kalıcı oturumların sonlandırılmasını da önerdi.
Siber güvenlik topluluğu, Citrix Bleed kusurunun "kullanılmasının inanılmaz derecede kolay" olduğu konusunda uyarıyor ve bu da siber ortamda artan tehditleri daha da vurguluyor. Allen & Overy birkaç depolama sunucusunun ihlal edildiğini doğruladı ancak çekirdek sistemlerin etkilenmediğini belirtti. Boeing ve DP World, kendi vakalarında Citrix güvenlik açığından yararlanılıp yararlanılmadığını doğrulamadı.
Citrix Bleed güvenlik açığı istismar edilmeye devam ettikçe, uzaktan erişim yazılımının genel güvenliği ve bu kusurlardan yararlanmaya çalışan bilgisayar korsanlarının artan karmaşıklığı hakkında endişeler ortaya çıkıyor. Etkilenen sistemlere yama uygulamak ve riskleri azaltmak için gerekli güvenlik önlemlerini uygulamak için acil eylem gereklidir.