ABD siber güvenlik ajansı CISA, kimya tesislerindeki envanteri kayıt altına alan Kimyasal Güvenlik Değerlendirme Aracı (CSAT) ortamının, bilgisayar korsanlarının Ivanti cihazına bir webshell yerleştirmesinin ardından Ocak ayında ihlal edildiği ve hassas güvenlik değerlendirmeleri ve planlarının potansiyel olarak açığa çıktığı konusunda uyarıda bulundu.
CSAT, tesislerin yüksek riskli bir tesis olarak kabul edilip edilmediklerini belirlemek için kullanılan bir platform. Bu özellikle terörizm için kullanılabilecek kimyasalların kısıtlanması ve takip edilmesi açısından oldukça önemli. Eğer herhangi bir kurum veya kimya şirketinin elindeki kimyasal malzeme envanteri yüksek riskli olarak değerlendirilirlerse, CSAT platformu onlardan tesis hakkında hassas bilgiler içeren bir güvenlik açığı değerlendirmesi (SVA) ve saha güvenlik planı (SSP) anketi yüklemelerini istiyor.
Mart ayında The Record, CISA’nın ajansın Ivanti cihazının istismar edilmesinin ardından bir ihlal yaşadığını ve olayı araştırırken iki sistemi çevrimdışı hale getirdiğini bildirdi. CISA olayla ilgili ayrıntıları paylaşmazken, The Record’un kaynakları olayın Altyapı Koruma (IP) Ağ Geçidi ve Kimyasal Güvenlik Değerlendirme Aracı (CSAT) olduğunu söyledi. Şimdi ise CISA ihlali doğruladı.
CISA, CSAT Ivanti Connect Secure cihazının 23 Ocak 2024 tarihinde ihlal edildiğini ve bir tehdit aktörünün cihaza bir web kabuğu yüklemesine izin verdiğini doğruladı. Tehdit aktörü daha sonra bu web kabuğuna iki gün boyunca birkaç kez erişti. CISA ihlali keşfettikten sonra, tehdit aktörü tarafından gerçekleştirilen eylemleri ve potansiyel olarak hangi verilerin açığa çıktığını araştırmak için cihazı çevrimdışı duruma getirdi.
CISA, hangi güvenlik açıklarından yararlanıldığını paylaşmamış, bunun yerine tehdit aktörlerinin Ivanti Connect Secure ve Policy Secure Gateway cihazlarındaki birden fazla güvenlik açığından yararlandığına ilişkin bir CISA belgesine atıfta bulunmuş durumda.
CISA ayrıca kimya tesislerinin envanterini tarayan CSAT uygulamasındaki tüm verilerin AES 256 şifreleme ile şifrelendiğini ve CSAT verilerinin çalındığına dair herhangi bir kanıt bulunmadığını belirtirken, ihtiyatlı davranarak şirketleri ve bireyleri bilgilendirmeye karar verdiklerini açıkladı. CISA veri ihlali bildiriminde, “CISA, CFATS programından etkilenen tüm katılımcıları, bu bilgilere uygunsuz bir şekilde erişilmiş olabileceği konusunda ihtiyatlı davranarak tarafları bilgilendirmektedir” deniliyor.
Potansiyel olarak açığa çıkmış olabilecek veriler arasında ise Top-Screen anketleri, Güvenlik Zafiyeti Değerlendirmeleri, Site Güvenlik Planları, Personel Kefalet Programı gönderimleri ve CSAT kullanıcı hesapları yer alıyor. CISA herhangi bir kimya tesisine ait kimlik bilgilerinin çalındığına dair herhangi bir kanıt olmadığını belirtirken, tüm CSAT hesap sahiplerinin aynı şifreyi kullanan tüm hesaplarının şifrelerini sıfırlamalarını tavsiye ediyor.