Flowise'ı Hedef Alan Greeter Saldırısı: 4,972 Gizli Komut Bulundu

Era güvenlik araştırma ekibi, Flowise adlı AI geliştirme platformunu hedef alan Greeter adında bir saldırı çerçevesini tespit etti. Flowise, GitHub'da 55 binden fazla yıldız alan popüler bir araç.

Araştırmacılar yedi tuzak (honeypot) kurarak 4,972 adet "hello" mesajı yakaladı. Her mesaj, Flowise'ın overrideConfig parametresi üzerinden zararlı JavaScript kodunu taşıyordu. Tuhaf olan, bu kötü amaçlı kodun kaydedilen iş akışında hiçbir iz bırakmaması.

4 binden fazla komut analiz edilerek saldırıların amacı ortaya çıktı. Saldırganlar önce hedef sunucuyu tanıyıp yetki kontrolü yapıyor, ardından kimlik bilgileri, SSH anahtarları ve gizli veriler arıyor. Bulut ortamlarında ise AWS, Azure ve Google Cloud Platform'un meta verilerine erişim sağlamaya çalışıyor. Kalıcı erişim için hazırlık yapıp dosyasız (fileless) saldırı teknikleri kullanıyor.

Araştırma, internete açık 4,372 Flowise örneğini buldu. Bunların 46 tanesi hiç kimlik doğrulaması gerektirmiyordu. Bu tür bir bulunan AI uygulaması, tüm bulut altyapısına açılan bir kapı olabiliyor. Saldırganlar bir kere Flowise'a girdikten sonra bulut ortamındaki diğer hizmetlere, veritabanlarına ve hassas verilere ulaşabilir.

Flowise kullananlar için acil önlem: uygulamayı güncel tutmak, overrideConfig parametresini kısıtlamak ve bulut kimlik bilgilerini erişim kontrol listesine almak gerekiyor.