SAP sistemler için bu ayın 20’sinde patch güncellemesi yayımlandı. Bu yama güncellemesi, SAP GUI client’inde oluşan bir güvenlik açığını kapatmak için geliştirildi. Firmanın da doğrulamasıyla anlaşılıyor ki: SAP server’ına uzaktan erişim bazı zararlı kodlarla mümkün hale geldi. Durum ilk başta Hollanda’daki firmalar tarafından rapor edildi, ardından ERPScan isimli Hollandalı firma konuyla ilgili rapor hazırladı, şimdi de SAP yayımladığı güncellemelerle bu durumun önüne geçmeye çalışıyor. Raporda spesifik olarak hangi SAP sistemlerin etkilendiği belirtilmiyordu, ancak güncellemeyi alan sistemlere bakınca, kolayca anlaşılabilir:
- SAP GUI – Windows 7.20 ve 7.30
- SAP GUI – Windows 7.40 Core SP012 ve 7.50 CORE SP000
Saldırı biçimleri biraz spesifik. Saldırganların, ilk adımda SAP’nin server’ını hedeflemesi gerekiyor. NetWeaver gibi. Bahsi geçen NetWeaver platformundaki Java kodlarını ve ABAP iş uygulamalarını çalıştıran programlar saldırganlar tarafından manipule edilebiliyor. Bu kodların içerisine çeşitli ransomware, malware ve trojan gibi zararlı yazılımlar sızdırabildiler. SAP çözümlerinde bunun gibi bilinen en az 3,500 sistem açığı bulunuyor. Bu çeşit saldırıyı tehlikeli ve anlaşılamaz kılan bir diğer detay ise, saldırganın sisteme sızdırdığı kodlar da ABAP prensibiyle çalışıyor. Uygulamalar çalıştıkça da malware olarak geliştirilen ABAP kodları çalıştı.
Bir diğer taraftan, aynı şekilde ve aynı tarzda sistemlerde ransomware’lerin de çalıştırıldığı da doğrulandı. ERPScan’in ilk raporunda ransomware’in çalıştığı yazmıyordu ancak sonradan anlaşıldığı üzre, SAP’nin bu platformlarında ransomware tehlikesi de bulunuyor. Bu ransomware’in etkin hale gelmesi için, SAP GUI kullanıcısının sisteme giriş yapması gerekiyor. Log in’den sonra tabanda çalışan malware kodları karşı tarafından fidye yazılımlarını indirmeye başlıyor. Bu indirme süresi ise minimum 5 dakika olarak belirlendi. Bununla birlikte, sadece fidye virüsleri değil, saldırganlara diğer saldırı biçimleri yapmasına da izin veriyor bu açık. İş yerlerinin kritik iş süreçleri, iş verileri, sistemdeki konfigürasyon dosyaları da saldırgan tarafından ele geçirilebilir duruma getiriliyor.
340,000’den fazla SAP müşterisi riskte
Milyonlarca kullanıcı, binlerce SAP GUI çalıştıran iş istasyonları tehlikede. Firmanın yayımladığı patch güncellemeler ise, downtime gerektiriyor. Haliyle firmaların biraz tereddütte olduğu bir patch olduğu gözlemlendi.
Kaynak : 