Roundcube Zafiyeti: Üniversitelerin Kritik Verileri Tehlikede

Önde gelen araştırma kurumları, siber saldırganların hedefinde yer alıyor. Özellikle ABD ve Kanada üniversitelerinin fizik ve mühendislik departmanları, Roundcube güvenlik açığı üzerinden siber saldırıya maruz kaldı. Şüpheli Çin bağlantılı bir tehdit aktör kümesinin, açık kaynaklı webmail yazılımındaki kritik güvenlik zafiyetlerini kullanarak kimlik bilgisi sızdırma ve kalıcı erişim elde etme çabaları dikkat çekiyor. Bu saldırılar, ulusal güvenlik açısından hassas bağlantıları veya ileri düzey astrofizik ve parçacık fiziği çalışmaları yürüten akademisyenleri ve yöneticileri hedef alıyor.

Tehdit Aktörünün Hedefleri ve Yöntemleri

Proofpoint tarafından UNK_MassTraction adıyla takip edilen bu yeni tehdit kümesi, Mayıs 2026’dan bu yana aktif durumda. Grubun odağında, ABD ve Kanada’daki üniversitelerin fizik ve mühendislik departmanları bulunuyor. Özellikle ulusal güvenlik projeleriyle ilişkili veya astrofizik ile parçacık fiziği gibi kritik alanlarda araştırmalar yapan akademisyenler ve yöneticiler, bu saldırıların ana hedefi haline gelmiş durumda. Bu seçici hedefleme, saldırganların belirli bir bilgi veya erişim türünün peşinde olduğunu gösteriyor.

Saldırılar, kimlik avı e-postaları aracılığıyla başlatılıyor. Bu e-postalar, hem ele geçirilmiş gönderici hesaplarını hem de zayıf DMARC politikaları nedeniyle taklit edilebilen alan adlarını kullanarak alıcılara ulaşıyor. Kullanılan genel yemler, tehdit aktörlerinin mevcut görünürlüklerinin ötesinde daha geniş bir hedef kitleye ulaşmayı amaçladığını ortaya koyuyor. Saldırı zinciri, hedeflenen departmanların güvenlik açığı bulunan Roundcube sürümlerini çalıştırdığının önceden keşfedilmesiyle başlıyor; bu da saldırganların kapsamlı bir ön keşif faaliyeti yürüttüğünü kanıtlıyor.

Kritik Güvenlik Açıklarının İstismarı

Saldırının ilk aşaması, Roundcube’daki artık yamalanmış, kritik bir çapraz site betik çalıştırma (XSS) güvenlik açığı olan CVE-2024-42009‘un (CVSS skoru: 9.3) istismarı ile başlıyor. Bu güvenlik açığı, alıcının e-postayı Roundcube istemcisinde açmasıyla tetikleniyor. Başarılı bir istismar sonucunda, saldırganlar kurbanın web tarayıcısı bağlamında rastgele JavaScript kodu yürütme yeteneği kazanıyor. Bu durum, mail sunucusuna ilk erişim noktasını oluşturarak, daha derin saldırılar için zemin hazırlıyor.

CVE-2024-42009 aracılığıyla yürütülen kötü amaçlı yazılım yükü, IceCube olarak adlandırılıyor. IceCube, tarayıcıda depolanan kimlik bilgileri, iki faktörlü kimlik doğrulama (2FA) bilgileri ve çerezleri sızdırmak için tasarlanmıştır. Ayrıca, tarayıcı dili, ekran boyutu ve form alanı değerleri gibi sistem hakkında keşif bilgileri toplar. Toplanan bu hassas veriler, bir HTTP POST isteği aracılığıyla harici bir kontrol sunucusuna gönderilerek, saldırganlara kurbanın hesaplarına erişim sağlayan kritik bilgiler sunar.

Kalıcı Erişim ve Veri Sızdırma Mekanizmaları

Saldırı zincirinin bir sonraki adımı, ele geçirilen oturumun CSRF belirteci (token) kullanılarak Roundcube’daki post-kimlik doğrulama sonrası uzaktan kod yürütme (RCE) güvenlik açığı olan CVE-2025-49113‘ün (CVSS skoru: 9.9) istismar edilmesiyle gerçekleşiyor. Bu kritik zafiyetin kullanılmasıyla saldırganlar, mail sunucusunda kalıcı bir dayanak noktası elde etmeyi hedefliyor. Bu aşamada, bellekte VShell veya SquareShell olarak adlandırılan bir web shell konuşlandırılıyor.

PHP gadget shell komutu aracılığıyla konuşlandırılan web shell, `plugins/newmail_notifier/mail_preview.php` uç noktasından uzaktan erişilebilir durumdadır ve saldırganlara sunucu üzerinde rastgele kod yürütme imkanı tanır. Bu, saldırganların sunucuyu tamamen kontrol etmelerini ve istedikleri veriyi sızdırmalarını veya daha fazla kötü amaçlı yazılım yerleştirmelerini mümkün kılar. Web shell kurulumu herhangi bir nedenle başarısız olursa, saldırı zinciri alternatif bir shell betiği yükleme mekanizmasına geri dönerek kalıcı erişimi sağlamaya çalışır. Bu durum, saldırganların ne kadar kararlı ve çok katmanlı bir yaklaşımla hareket ettiğini gösteriyor.

Saldırı Zincirinin Gelişmiş Taktikleri ve Tespitten Kaçınma

UNK_MassTraction kümesinin saldırı zinciri, basit bir kimlik avı girişiminin ötesine geçen gelişmiş taktikler içeriyor. Saldırganlar, Roundcube sunucularını hedef ağlara giriş için bir pivot noktası olarak kullanmayı amaçlıyor. Bu, ele geçirilmiş bir webmail sunucusunun, iç ağdaki diğer sistemlere yatay hareketlilik için bir köprü görevi görebileceği anlamına geliyor. Operatörler, enfeksiyon zincirlerini özellikle tespit edilmekten kaçınacak şekilde tasarlayarak, güvenlik önlemlerini atlatma konusundaki yeteneklerini sergiliyorlar.

Saldırı öncesindeki detaylı keşif faaliyetleri, hedeflenen departmanların Roundcube ortamları hakkında bilgi toplanmasını içeriyor. Bu ön hazırlık, hangi Roundcube sürümlerinin N-gün güvenlik açıklarına karşı savunmasız olduğunu belirlemeyi sağlıyor. Bu sayede, saldırganlar gönderdikleri kimlik avı e-postalarının doğrudan bu bilinen güvenlik açıklarını tetikleyecek ve etkili olmasını sağlayacak şekilde kişiselleştirilmiş saldırılar gerçekleştirebiliyorlar. Bu düzeydeki hazırlık, tehdit aktörlerinin hedeflerine yönelik ciddi bir araştırma ve geliştirme çabası harcadığını gösteriyor.

Kurumlar İçin Acil Önlemler ve Korunma Stratejileri

Üniversiteler ve benzeri araştırma kurumları, bu tür gelişmiş siber tehditlere karşı sürekli teyakkuzda olmalı. Öncelikle, Roundcube gibi kritik webmail yazılımlarının ve diğer tüm sistemlerin en güncel sürümlerine sahip olmaları ve yayımlanan güvenlik yamalarını derhal uygulamaları zorunludur. Özellikle CVE-2024-42009 ve CVE-2025-49113 gibi kritik zafiyetlerin yamalandığından emin olunmalıdır. Bu tür “N-day” zafiyetlerin istismarı, saldırganlar için en kolay giriş noktalarından birini oluşturur.

Güçlü DMARC politikalarının uygulanması, alan adı sahteciliğini önlemek ve kimlik avı e-postalarının dağıtımını engellemek için hayati öneme sahiptir. Kullanıcılar için düzenli güvenlik farkındalığı eğitimleri, özellikle kimlik avı e-postalarını tanıma ve şüpheli bağlantılara tıklamama konusunda bilgilendirme, savunma hattının önemli bir parçasıdır. Ayrıca, iki faktörlü kimlik doğrulama (2FA) kullanımının yaygınlaştırılması ve ağlarda anomalileri tespit edebilecek gelişmiş izleme ve tespit sistemlerinin devreye alınması, potansiyel saldırıları erken aşamada durdurmak için kritik adımlardır. Kurumlar, bu çok katmanlı savunma yaklaşımını benimseyerek hassas verilerini koruma altına alabilirler.