Açığa çıkarılan hacker sunucusu, üniversitelerdeki QuickLaunch saldırılarını ortaya çıkardı

Cybernews araştırmacıları, üniversite giriş sistemlerine erişme ve öğrenci ile öğretmen verilerine ulaşma girişimlerini ortaya çıkaran açığa çıkarılmış bir hacker sunucusu keşfetti. Ekip, saldırganların bilinen QuickLaunch zafiyetlerini kötüye kullanarak kullanıcı hesapları oluşturduğunu ve özel bilgileri çaldığını belirtti. QuickLaunch, kolejlerin ve üniversitelerin öğrencilerin ve personelin okul sistemlerine nasıl oturum açacağını ve çevrimiçi hizmetlere nasıl erişeceğini yönetmesine yardımcı olan, yapay zeka destekli bir araçtır. En az 42 üniversite potansiyel hedef olarak belirlendi; 40 üniversitenin ise farklı bir tür oturum açma yapılandırması kullandığı listelendi.

Sunucuda Neler Vardı

Açığa çıkarılan sunucu yalnızca saldırı notlarından ibaret değildi. Araştırmacılar, operasyonu desteklediği düşünülen 373 Python betiği ile saldırı yollarını tanımlayan ve sonuçları raporlayan 43 Markdown dosyası buldu. Raporların bir kısmı Mandarin Çincesiyle yazılmış ve gerçek kırmızı takım değerlendirmeleri gibi biçimlendirilmişti; bu da operatörün Çince konuşan biri olabileceğine işaret ediyordu. Araştırmacılar bunun tek başına saldırganın Çin'de bulunduğunu kanıtlamadığını belirtti.

Sunucuda ayrıca ara ve nihai sonuçları içeren JSON, CSV ve metin dosyaları ile bir DeepSeek API anahtarını açığa çıkaran iki ortam dosyası vardı. Bu, iş akışının bazı bölümlerinin Çin yapımı yapay zeka yardımıyla otomatikleştirilmiş olabileceğini gösteriyordu. Saldırganla bağlantılı olması muhtemel bir herkese açık SSH anahtarı da geride bırakılmıştı. Sunucu, 1.079 alan adı üzerinde yaklaşık 32,400 benzersiz kullanıcı kaydı saklıyordu: adlar, e-posta adresleri ve kullanıcı kimlikleri.

Giriş Saldırısı Nasıl İşledi

Sunucudaki kayıtlar, saldırganın QuickLaunch ile onun altındaki WSO2 kimlik yazılımındaki zayıflıkları zincirlediğini gösteriyordu. CVE-2024-7097, QuickLaunch API'si üzerinden yetkisiz kullanıcı hesaplarının oluşturulmasına izin vererek saldırgana bir dayanak noktası sağladı. CVE-2025-5605 ise bellek istatistikleri de dahil olmak üzere dahili sistem bilgilerini açığa çıkardı; bu, hedef sistemin haritalanmasına yardımcı olabilirdi.

Kayıtlar ayrıca QuickLaunch'a özgü bir parola sıfırlama zayıflığına işaret ediyordu; güvenlik soruları hiç kaydedilmemişse bu zayıflık saldırganların en az bir gerçek üniversite hesabını ele geçirmesine olanak tanıyordu. Saldırgan ayrıca WSO2 WS-Federation Passive STS hizmetindeki belgelenmemiş bir sorunu istismar ederek yanlış parolayla bile geçerli bir giriş belirteci elde etmiş görünüyordu. Saldırgan bu belirteci kimlik kanıtı olarak kullanarak dahili kullanıcı verilerine ve en az bir durumda posta kutusu içeriklerine erişim sağladı.

Saldırganlar ayrıca, kampüsün başka bir giriş sistemi olan ve kurum içinde barındırılan ADFS'i kullanan 40 üniversiteyi hedef aldı. Kayıtlar, uç noktalar ve sertifikalar dahil olmak üzere 36 ifşa olmuş federasyon üst verisi örneğini gösteriyordu. Bu tek başına bir ihlali kanıtlamıyordu, ancak saldırganlara sistemleri haritalamak ve sonraki saldırıları planlamak için faydalı istihbarat sağladı.

Riskler ve Zaman Çizelgesi

Araştırmacılar, etkilenen eğitim kurumlarının hesap ele geçirilmesinin ötesinde risklerle karşı karşıya olduğunu belirtti. Üniversiteler, öğrenci ve personelin büyük miktardaki kişisel ve mali verilerini işler; bu veriler kimlik hırsızlığı, mali dolandırıcılık ve sosyal mühendislik için kullanılabilir. Ayrıca genellikle hassas, yayımlanmamış araştırmalar ve fikri mülkiyet de barındırırlar.

Cybernews, açıklama için QuickLaunch ile iletişime geçtiğini bildirdi. Açıklama zaman çizelgesinde, açığa çıkarılan saldırgan sunucusunun 17 Temmuz 2026'da keşfedildiği, QuickLaunch'a ilk bildirimin 5 Ağustos 2026'da yapıldığı ve saldırgan sunucusunun 2 Eylül 2026'da kapalı gözlemlendiği yer alıyordu. 2 Eylül itibarıyla saldırganların sunucuyu kapattığı görülüyordu.

Kaynaklar: Cybernews