Etiket arşivi: backdoor

Siber Güvenlik

2022’ye damga vuran en kritik 5 siber tehdit!

Yorum yapın

2022’ye damga vuran en kritik beş siber tehdit!Geçtiğimiz yıl siber güvenlik ekipleri en çok hangi siber tehditlere karşı test yaptı? Test sayıları açısından 2022’nin en endişe verici tehditlerine göz atmak, siber güvenlik ekiplerini belirli tehditlere karşı ne kadar savunmasız olduklarını kontrol etmeye neyin yönelttiğine dair bir bakış açısı sunuyor.

En endişe verici beş tehdidinden dördünün doğrudan devlet bağlantılı olduğu göz önüne alındığında, siber güvenlik ekipleri için en yakıcı tehdit endişelerinin temelinde jeopolitik gerilimler olduğu ortaya çıkıyor. 

İşte 1 Ocak- 1 Aralık 2022 tarihleri arasında İsrailli siber güvenlik firması Cymulate ile dayanıklılığı doğrulamak için en çok test edilen tehditler:

MANJUSAKA’DA ÇİN BAŞ ŞÜPHELİ

Cobalt Strike ve Sliver framework (her ikisi de ticari olarak üretilmiş ve iyi niyetli hackerlar için tasarlanmış ancak tehdit aktörleri tarafından kötüye kullanılmış) kötü niyetli aktörler tarafından yaygın olarak kullanılma potansiyeline sahip yazılımlar. Rust ve Golang dillerinde yazılmış olan ve kullanıcı ara yüzü Basit Çince olan bu yazılım Çin menşelidir.

Manjusaka, Rust’ta Windows ve Linux implantları taşıyor ve özel implantlar oluşturma imkanı ile birlikte hazır bir C2 sunucusunu ücretsiz olarak kullanıma sunuyor.

Manjusaka en başından beri suç amaçlı kullanım için tasarlandı. Ücretsiz dağıtıldığı ve Cobalt Strike, Sliver, Ninja, Bruce Ratel C4 gibi ticari olarak mevcut simülasyon ve emülasyon çerçevelerinin kötüye kullanımına olan bağımlılığı azaltacağı için 2023’te suç amaçlı kullanımı artabilir. Manjusaka’nın geliştiricilerinin devlet destekli olduğuna dair herhangi bir kanıt olmasa da Çin yine baş şüpheli durumda.  

POWERLESS ARKA KAPI

Powerless Backdoor, PowerShell denetleyicisinden kaçınmak için tasarlanmış bir arka kapı tehdidi. Geçtiğimiz yıl özellikle İran ile bağlantılı tehditler arasında en popüleri olarak dikkat çekti.  Yetenekleri arasında tarayıcı için bilgi hırsızlığı ve keylogger indirmek, verileri şifrelemek ve şifresini çözmek, rastgele komutlar çalıştırmak ve bir süreç sonlandırma işlemini (kill process) etkinleştirmek yer alıyor.

İran’a atfedilen anlık tehditlerin sayısı 8’den 17’ye yükselmiş. Ancak, 14 Eylül’de ABD Hazine Bakanlığı Yabancı Varlıkların Kontrolü Ofisi’nin (OFAC) İranlı siber aktörlere yönelik getirdiği yaptırımlardan bu yana Tahran’a atfedilen tek bir saldırıya kadar düşerek önemli ölçüde yavaşladı.

2022’de daha kötüsüne hazır mısınız?

Ülkedeki mevcut siyasi gerilimlerin 2023’teki saldırıların sıklığını etkileyeceği düşünülüyor. Ancak bu aşamada bunların artıp azalmayacağını değerlendirmek zor.

ABD EYALETLERİNİ HEDEF ALAN APT 41

Halihazırda 2021’de çok aktif olarak işaretlenmiş olan APT41, 2022’de yavaşlama belirtisi göstermedi. Çin destekli bir saldırgan grup faaliyeti olarak bilinen APT41’e yönelik araştırmalar, ABD eyalet hükümetlerini hedef alan kasıtlı bir kampanyanın kanıtlarını ortaya koyuyor.

APT 41 Acunetix, Nmap, SQLmap, OneForAll, subdomain3, subDomainsBrute ve Sublist3r gibi keşif araçları kullanıyor. Ayrıca kimlik avı, watering hole ve tedarik zinciri saldırıları gibi çok çeşitli saldırı türleri başlatıyor ve kurbanlarını başlangıçta tehlikeye atmak için çeşitli güvenlik açıklarından yararlanıyor. Son zamanlarda, web sitelerinde SQL enjeksiyonları gerçekleştirmek için ilk saldırı vektörü olarak halka açık SQLmap aracını kullandıkları görülmüştür.

Geçtiğimiz yıl kasım ayında, APT 41 (ARIUM, Winnti, LEAD, WICKED SPIDER, WICKED PANDA, Blackfly, Suckfly, Winnti Umbrella, Double Dragon) ile ilişkili halihazırda uzun olan takma isimler listesine Earth Longhi adlı yeni bir alt grup katıldı. Earth Longhi’nin Tayvan, Çin, Tayland, Malezya, Endonezya, Pakistan ve Ukrayna’da birden fazla sektörü hedef aldığı tespit edildi.

2022 tarihli Microsoft Dijital Savunma Raporu’na göre, “Çin kaynaklı saldırıların çoğu, daha önce güvenlik topluluğu tarafından bilinmeyen ve “yazılımdaki kendine özgü yamalanmamış açıklar” olan “sıfırıncı gün açıklarını” bulma ve bunları toplama yeteneğinden güç alıyor. Çin’in bu güvenlik açıklarını toplaması, Çin’deki kuruluşların keşfettikleri güvenlik açıklarını başkalarıyla paylaşmadan önce hükümete bildirmelerini gerektiren yeni bir yasanın hemen ardından artmış görünüyor.”

SAVUNMA SEKTÖRÜNE LOLZARUS KİMLİK AVI SALDIRISI

LolZarus olarak adlandırılan bir kimlik avı saldırıları kapsamında, ABD’deki savunma sektörüne iş başvurusu yapanlar hedef alınıyor. Söz konusu saldırılar ilk olarak Qualys Threat Research tarafından tespit edilmiş ve Kuzey Koreli tehdit aktörü Lazarus’a (AKA Dark Seoul, Labyrinth Chollima, Stardust Chollima, BlueNoroff ve APT 38) atfedilmiş. Kuzey Kore’nin Keşif Genel Bürosu’na bağlı olan bu grup hem siyasi hem de mali motivasyona sahip ve en çok 2016’da Sondy’ye yapılan yüksek profilli saldırı ve 2017’de WannaCry fidye yazılımı saldırısı ile tanınıyor.                                                                                                                                   

LolZarus kimlik avı kampanyası, Lockheed_Martin_JobOpportunities.docx ve salary_Lockheed_Martin_job_opportunities_confidential.doc adlı en az iki kötü niyetli belgeye dayanıyor.  Bu belgeler, kullanılan API’yi yeniden adlandırmak için takma adlara sahip makroları kötüye kullanıyor ve saldırı düzenlenmesini otomatik hale getirme noktasında ActiveX Frame1_Layout’a güveniyor. Makro daha sonra WMVCORE.DLL Windows Media dll dosyasını yükleyerek kontrolü ele geçirmeyi ve Komuta & Kontrol sunucusuna bağlanmayı amaçlayan ikinci aşama kabuk kodu yükünü göndermeye yardımcı oluyor.

Bu yıl CISA tarafından dile getirilen diğer iki Kuzey Kore saldırısı arasında Maui fidye yazılımı kullanımı ve kripto para hırsızlığı faaliyeti yer alıyor. Lazarus alt grubu BlueNoroff, bu yıl kripto para birimi uzmanlığının dışına çıkarak kripto para birimiyle bağlantılı SWIFT sunucularını ve bankaları da hedef almış görünüyor. Cymulate, 1 Ocak 2022’den bu yana yedi acil tehdidi Lazarus ile ilişkilendirdi.

INDUSTROYER2

Ukrayna ile Rusya arasında baş gösteren çatışma nedeniyle yüksek alarm durumu, yüksek voltajlı elektrik trafo merkezlerini hedef alan bir siber-fiziksel saldırı girişimini engellemek suretiyle etkinliğini gösterdi. Bu saldırı, 2016’da Ukrayna’daki elektrik santrallerini hedef alan ve Kiev’in bir bölümünün elektriğini yaklaşık bir saat boyunca keserek asgari düzeyde başarılı olan Industroyer siber saldırısının anısına Industroyer2 olarak adlandırıldı.

Industroyer2’nin özelleştirilmiş hedefleme düzeyi, belirli trafo merkezleri için benzersiz parametrelerden oluşan statik olarak belirlenmiş yürütülebilir dosya setlerini içeriyordu.

Ukrayna’nın siber dayanıklılığı ne yazık ki kinetik saldırılara karşı güçsüz ve Rusya artık elektrik santrallerini ve diğer sivil tesisleri yok etmek için daha geleneksel askeri yöntemleri tercih etmiş görünüyor. ENISA’ya göre Ukrayna-Rusya çatışmasının bir yan etkisi de hükümetlere, şirketlere ve genel olarak enerji, ulaşım, bankacılık ve dijital altyapı gibi temel sektörlere yönelik siber tehditlerin yeniden ortaya çıkması.

Sonuç olarak, bu yılın en endişe verici beş tehdidinden dördünün doğrudan devlet bağlantılı olduğu ve beşincisinin arkasındaki tehdit aktörlerinin bilinmediği göz önüne alındığında, siber güvenlik ekipleri için en yakıcı tehdit endişelerinin temelinde jeopolitik gerilimlerin olduğu görülüyor.

Devlet destekli saldırganlar tipik olarak çoğu şirket tarafından erişilemeyen siber kaynaklara erişebildiğinden, karmaşık saldırılara karşı önleyici savunma, güvenlik doğrulamasına ve bağlam içi güvenlik açıklarını belirlemeye ve kapatmaya odaklanan sürekli süreçlere odaklanmalıdır.

Sektörel

CTF Nedir? Hangi platformlardan ücretsiz CTF’lere katılabilirsiniz? 

Yorum yapın

CTF adıyla bilinen Capture The Flag organizasyonları, siber güvenlikle ilgilenenlerin yeteneklerini test etmek amacıyla oluşturulan yarışmalar ve platformlar grubudur. Amaç bayrağı yakalamak ve makinede yönetici hesabı ele geçirmektir 

CTF TÜRLERİ

CTF ler kendi aralarında sahip olduğu özelliklere göre bazı alt kategorilere ayrılırlar. 

JEOPARDY

Jeopardy, CTF’leri çeşitli kategorilerde birkaç soru barındırır. Katılımcı takımlar her çözülen soru için puan kazanır. Bu türün en ünlüsü DefCon bünyesinde düzenlenen CTF’dir. 

ATTACK – DEFENSE

Burada her takımın savunmasız hizmetlere sahip kendi ağı vardır. Katılan ekiplerin yarışmada sahip olduğu hizmetleri düzeltmek ve genellikle exploit geliştirmek için zamanı vardır. Böylece organizatörler yarışma katılımcılarını local bir ağda birbirine bağlar ve CTF başlar! Savunma noktaları için kendi servislerinizi korumalı ve yarışmada başarılı olmak için saldırı noktalarında rakiplerinizi hacklemelisiniz.

CTF PLATFORMLARI

Aşağıda internet üzerinden kendi başınıza ya da bir takım oluşturarak katılabileceğiniz CTF’leri bulabilirsiniz. 

Hackthebox https://www.hackthebox.com/

Tryhackme https://tryhackme.com/paths

vulnhub https://www.vulnhub.com/

ctf101 https://ctf101.org/

pwnlab https://pwnable.xyz/challenges/

ctftime https://ctftime.org/

backdoor https://backdoor.sdslabs.co/challenges/2013-BIN-50

Crackmes https://crackmes.one/

hackthissite https://www.hackthissite.org/

hacking lab https://hacking-lab.com/

io http://io.netgarage.org/

microcorruption https://microcorruption.com/login

Over The Wire https://overthewire.org/wargames/

xss game https://xss-game.appspot.com/

hacker101 https://ctf.hacker101.com/

google ctf https://capturetheflag.withgoogle.com/

ctf viblo https://ctf.viblo.asia/landing

reversing http://reversing.kr/

pwn challenge http://pwn.eonew.cn/

MysteryTwister! https://mysterytwister.org/home/welcome/

defend the web https://defendtheweb.net/

ctfd https://ctfd.io/

cyber talents https://cybertalents.com/

cyberskyline https://cyberskyline.com/

priviahub https://priviahub.com/

kontra https://application.security/

rootme https://www.root-me.org/?lang=en

webhacking https://webhacking.kr/chall.php

root the box https://root-the-box.com/

attack defense https://attackdefense.com/

pentesterlab     https://pentesterlab.com/

Bug Bounty programı kalp hastası bebeğe umut oldu

 

YARIŞMALAR

STM

STM Savunma Teknolojileri, Mühendislik ve Ticaret A.Ş, her yıl siber güvenlik alanında farkındalık yaratmak ve nitelikli insan kaynağı yetişmesine katkı sağlamak amacıyla Capture The Flag – Bayrağı Yakala (CTF) yarışması düzenliyor. CTF’te mücadele edecek beyaz şapkalı hacker yarışmacılar; kriptoloji, tersine mühendislik, web ve mobil uygulamalar gibi dallarda belirlenen hedeflere diğer yarışmacılardan önce ulaşmak için sistemlerdeki güvenlik açıklarından yararlanarak bayrağı yakalamaya çalışır.  

DEFCON CTF 

Dünyanın en geniş katılımlı hacker konferansı olarak tanımlanan DEFCON, ABD’de düzenleniyor. Defcon, ilk olarak 1993 yılında Las Vegas’ta küçük bir parti olarak başladı ve günümüze kadar devam etti, Defcon genelde temmuz ayının son haftasında veya ağustos ayının ilk haftasında Las Vegas’ta düzenleniyor.

HACKTHEBOX APOCALIPSE

Her yıl Hackthebox tarafından online olarak düzenlenen  bu yarışma temelden zora saldırıdan savunmaya herkes için siber güvenlik yarışmasıdır. 

HACK ISTANBUL

Cumhurbaşkanlığı Dijital Dönüşüm Ofisi himayelerinde, Teknofest bünyesi altında, Türkiye Teknoloji Takımı Vakfı ile birlikte HackIstanbul CTF (Capture The Flag) yarışması düzenlenmektedir. HackIstanbul CTF, yeteneklerini sergilemek için dünya çapında binlerce hacker’a kapılarını açan bir yarışmadır.

Dijital Güvenlik

Juniper veri ihlali ile ortaya çıkan ‘arka kapı’ tehlikesi

Yorum yapın

2015 yılında Noel’e sayılı günler kala teknoloji şirketi Juniper Networks Inc. verilerinin ihlal edildiği konusunda kullanıcıları uyardı. Şirket kısa bir açıklama ile ağ güvenliği ürünlerinden birinde “yetkisiz bir kod” keşfettiklerini, hackerların şifreli iletişimleri deşifre etmesine ve böylece müşterilerin bilgisayar sistemlerine üst düzey erişim kazanmasına izin verdiğini söyledi.

Konuyla ilgili daha fazla ayrıntı olmamakla birlikte Juniper saldırının ciddi sonuçları olacağını açıkça belirtti ve kullanıcıları bir an önce yazılım güncellemesi indirmeye çağırdı.

Olayın üzerinden beş yıldan uzun bir süre geçerken Juniper’de yaşanan ağ ihlali, aralarında telekomünikasyon şirketleri ve ABD askeri kuruluşlar da dahil olmak üzere son derece hassas müşterilere ait verilerin ihlal edilmesiyle sonuçlanan bir saldırı olarak hala gizemini koruyor. 

Ağa izinsiz bir şekilde giren bu saldırganların kimlikleri henüz açıklanmadı ve Juniper dışında herhangi başka bir kurban olup olmadığı henüz kesinleşmiş değil. Ancak olayla ilgili önemli bir ayrıntı uzun zamandır biliniyor. Juniper’in 2015’teki uyarısından birkaç gün sonra bağımsız araştırmacılar tarafından ortaya atılan bu ayrıntı ABD istihbarat teşkilatlarının yabancı düşmanları izlemek için kullandıkları yöntemler hakkında soru işaretleri oluşturuyor.

Hedefteki Juniper ürünü, NetScreen adlı popüler bir güvenlik duvarı cihazı. İşte bu cihaz, Ulusal Güvenlik Ajansı (NSA) tarafından yazılmış bir algoritma içeriyordu. Güvenlik araştırmacılarına göre algoritma kasıtlı bir kusur diğer bir deyişle bir arka kapı içermekteydi. Bu arka kapının Amerikan casuslarının Juniper’in denizaşırı müşterilerinin iletişimini dinlemek için kullanmış olabileceği düşünülüyor. NSA ise algoritma hakkındaki iddiaları reddediyor.

Juniper saldırısı Kongre’den gelen soruların muhatabı durumunda. Zira hükümetlerin teknoloji ürünlerine arka kapılar yerleştirmesinin tehlikeleri sık sık altı çizilen bir mesele. 

“ARKA KAPILAR DÜŞMAN ÜLKELER TARAFINDAN SUİİSTİMAL EDİLEBİLİR”

Oregonlu Demokrat Senatör Ron Wyden Bloomberg’e yaptığı açıklamada, “Devlet kurumları ve yozlaşmış politikacılar arka kapıları kişisel cihazlarımıza yerleştirmeye devam ettikçe, politika yapıcılar ve Amerikan halkının arka kapıların rakiplerimiz tarafından nasıl suiistimal edilebileceğini düşünmeleri gerekiyor” dedi. Wyden geçtiğimiz yıl 10’dan fazla senatörün imzasının yer aldığı bir mektupla Juniper’den ve NSA’dan olayla ilgili açıklama talep etmişti. 

SolarWinds fırtınası kasırgaya dönüştü : Rus hackerlar Microsoft’un kaynak kodlarına erişmiş

Bu çerçevede, Bloomberg bilgisayar ağı ekipmanı üreticisi California merkezli Juniper’in ilk etapta neden NSA algoritmasını kullandığı ve saldırının arkasında kimin olduğu soruları dahil olmak üzere önemli yeni ayrıntılar elde etti.

JUNIPER MÜHENDİSLERİ TEHLİKENİN FARKINDAYDI

Eski bir üst düzey ABD istihbarat yetkilisine ve üç Juniper çalışanına göre Juniper, şirketin mühendislerince bir güvenlik açığı olduğunu bilinmesine rağmen, 2008’den itibaren NetScreen cihazlarına NSA kodunu kurdu. Aynı kaynaklara göre bunun nedeni, şirketin ana müşterisi ve NSA’nın bağlı olduğu Savunma Bakanlığı’nın daha güvenilir alternatifler bulunmasına rağmen sisteme dahil edilmesinde ısrar etmesiydi. Çalışanlar, talebin bazı Juniper mühendisleri arasında endişe yarattığını, ancak nihayetinde kodun hatırı sayılır bir müşterinin gönlünü almak için eklendiğini söyledi.  Savunma Bakanlığı, Juniper ile olan ilişkisi hakkında açıklama yapmayı reddediyor.

Juniper’in soruşturmasına katılan iki kişiye ve Bloomberg’in elde ettiği bir belgeye göre, Apt 5 adlı Çin hükümetine bağlı bir hacker grubunun üyeleri 2012’de NSA algoritmasını ele geçirdi. Hackerler algoritmayı değiştirdi, böylece NetScreen aygıtları tarafından oluşturulan sanal özel ağ bağlantılarından gelen şifrelenmiş veri akışlarını deşifre edebildiler. İddialara göre 2014’te tekrar saldırdılar ve NetScreen ürünlerine doğrudan erişmelerini sağlayan ayrı bir arka kapı eklediler.   

“ARKA KAPI ÇİNLİ APT 5 GRUBU TARAFINDAN SUİİSTİMAL EDİLDİ” 

Önceki raporlar saldırıları Çin hükümetine bağlarken, Bloomberg ilk kez hacker grubunu ve taktiklerini belirledi. Siber güvenlik firması FireEye’a göre, geçtiğimiz yıl APT 5’ın düzinelerce şirkete ve devlet kurumuna sızdığından şüpheleniliyor. FireEye, hackerların uzun zamandır ABD, Avrupa ve Asya’daki savunma ve teknoloji şirketleri gibi nihai hedeflere sızılmasını sağlamak için şifreleme ürünlerine güvenlik açıkları tanımlamaya çalıştıklarını ekledi. 

Juniper, 2012 ve 2014’te gerçekleşen ağ ihlallerini tespit ettikten sonra, saldırıların ciddiyetini anlayamadı veya aralarındaki bağlantıyı fark edemedi. O dönemde şirket, hackerların e-posta sistemine eriştiğini ve virüslü bilgisayarlardan veri çaldığını tespit etti. Ancak araştırmacılar izinsiz girişlerin ayrı bir olay olduğuna ve kurumsal fikri mülkiyet hırsızlığıyla sınırlı olduğuna dair yanlış bir inanışa kapıldılar.  

Juniper, Bloomberg’den gelen sorulara cevap vermeyi reddediyor. Şirket, ScreenOS adı verilen ve Netscreen ürünleri için geliştirilen işletim sistemi hakkında 2015’ten beri dile getirdiği yorumları yineleyen bir açıklama yaptı:  “Birkaç yıl önce, dahili bir kod incelemesi sırasında Juniper Networks, ScreenOs’ta işini bilen bir saldırganın NetScreen cihazlarına idari erişim sağlamasına ve VPN bağlantılarının şifresini çözmesine izin verebilecek yetkisiz kodlar keşfetti. Bu güvenlik açıklarını tespit ettikten sonra, bir soruşturma başlattık ve etkilenen cihazlar için yamalı sürümler geliştirmek ve yayınlamak için çalıştık. Ayrıca, etkilenen müşterilere derhal ulaştık ve sistemlerini güncellemelerini ve yamalı sürümleri zaman kaybetmeden uygulamalarını şiddetle tavsiye ettik.”

Siber Saldırılar

ABD’yi sarsan hacklemenin anatomisi: İşte SolarWinds saldırısının 8 maddelik özeti

Yorum yapın

Geçtiğimiz hafta siber güvenlik camiası FireEye’ın ofansif güvenlik için kullanılan Red Team gereçlerinin çalındığı saldırının etkilerine odaklanmışken, bu saldırının nasıl gerçekleştiğini araştıran FireEye, çok daha büyük bir saldırıyı ortaya çıkardı.   

Pazar günü (13 Aralık) FireEye, SolarWinds saldırısı olarak anılacak olan ve kendisinin de kurbanları arasında olduğu siber saldırının ilk detaylarını yayınladı.  

Tüm hafta boyunca konuşulan ve her gün en az iki ya da üç yeni gelişmenin yaşandığı siber saldırının ayrıntılarını ve bugüne kadar ortaya çıkan bilgileri sizler için derledik:   

1- SolarWinds nedir? 

SolarWinds, 1999’da Oklahoma’da iki kardeş tarafından kurulan ABD’de bulunan bir yazılım şirketi olan ,. Donald ve Davind Yonce kardeşler şirketi 2006’da bir sene sonra yüklü bir miktar yatırım alacakları Texas, Austin’e taşıdılar. 3 binden fazla çalışanı olan SolarWinds’in geçtiğimiz yıl açıkladığı geliri yaklaşık 1 milyar doları buluyor. 

2. Şirket ile saldırının bağlantısı nedir?  

Saldırganlar, SolarWinds’in ürettiği ağ izleme ve yönetme platformu Orion’u hedef aldılar. Ürün için güncelleme yazılımı sağlayan servise zararlı yazılım yerleştiren saldırganlar böylece ürünün yeni güncellenmesini yükleyen Orion kullanıcılarının ağlarına sızma gerçekşetirebildi. 

Saldırıda istismar edilen arka kapı açıklığına teknoloji şirketleri -nedense- farklı isimler vermeyi tercih etti. FireEye’ın SUNBURST olarak adlandırdığı açıklığa, Microsoft Solorigate ismini vermeyi seçti. Fakat medyada saldırı SolarWinds saldırısı olarak anılmaya devam etti.  

 

3. Saldırıdan kimler etkilendi?  

SolarWinds’in toplam 300 binden fazla müşterisinin 33 bine yakını Orion müşterisi. Şirket yaptığı açıklamada zararlı yazılım yüklenmiş güncellemeyi 18 bin kullanıcının yüklediğini, dolayısıyla saldırıdan bu müşterilerin öncelikli olarak etkilenmiş olabileceğini belirtti. Saldırının hedefli bir saldırı olduğunu gösteren önemli noktalardan biri, sakat Orion güncellemesi yüklenen hedeflerden sadece bazılarında malware’in aktive edilmesi oldu.  

Perşembe günü CISA’nın yaptığı açıklamada saldırganların operasyon için kullandıkları başka yollar da bulunduğunu bunların ortaya çıkartılması için çalışmaların devam ettiği belirtildi. Yani her geçen gün saldırıdan etkilenen kurumların sayısı artabilir. Bu zamana kadar başta FireEye ve Microsoft gibi özel kurumların dışında, ABD Hazine Bakanlığı, Ticaret Bakanlığı, Dışişleri Bakanlığı ve Ulusal Nükleer Güvenlik Ajansı, Enerji Bakanlığı, Anayurt Bakanlığı gibi kritik kamu kurumları da hedefler arasında. Microsoft 40 müşterisinin de saldırıdan etkilendiğini belirtti.  

 

4. Saldırının arkasında kim var? 

Saldırının boyutları ortaya çıkar çıkmaz, ABD hükümet seviyesinde harekete geçti. Kısa bir süre sonra Ulusal Güvenlik Konseyi bir araya geldi. FBI tarafından hacklenen devlet kurumlarında araştırma başlatıldı ve basına ‘soruşturmaya yakın kaynakların verdiği bilgiye dayanarak’ saldırının arkasında Rusya’nın olduğuna dair haberler sızdırıldı. Teknik olarak hangi delillere dayandırıldığı açıklanmayan bu suçlamalar yapılırken, konuyla ilgili rapor hazırlayan teknoloji firmaları da faillerin ‘devlet destekli’ olduğu üzerinde durdular.  Basına yansıyan bilgilerde Rusya’nın dış istihbaratından sorumlu SVR operasyonun arkasındaki kurum olarak işaret edildi. SVR, Sovyet döneminden sonra kapatılan KGB’nin yerini alan kurum olarak biliniyor.  ABD Dışişleri Bakanı da saldırıdan dolayı Rusya’yı suçladı. 

5. Saldırı ne kadar zamandan beri devam ediyor?  

İlk açıklamalar zararlı Orion güncellemelerinin mart ayından bu yana müşterilere gönderildiğini gösteriyordu. Fakat bu haber yazılırken ortaya çıkan bir bilgi, operasyonun çok önceden tasarlandığını ve ‘deneme sürüşlerinin’ yapılmaya başlandığını gösteriyor. Tecrübeli gazeteci Kim Zetter’ın haberine göre, saldırganların SolarWinds sistemine sızmaları 2019 ekimine kadar gidiyor. Bu tarihte sisteme sızan tehdit unsurları, Orion müşterilerine zararlı dosyalar gönderiyor fakat bunların içerisinde arka kapı açıklığı bulunmuyor.  Saldırganların zaman baskısı olmadan operasyonu geliştirdiğini gösteren bu gelişme aynı zamanda tehdit unsurlarının şansa yer bırakmadan asıl operasyon öncesinde bir deneme yaptığını da gözler önüne seriyor. İlk denemeden 5 ay sonra arka kapı açıklığı olan zararlı yazılım yüklü diğer dosya da Orion kullanıcılarına gönderiliyor.  

6. Tedarik Zinciri Saldırısı ne demek?  

ABD’de birçok kurumu etkileyen saldırı bir tedarik zinciri olarak nitelendiriliyor. Peki nedir tedarik zinciri saldırısı? Saldırganların farklı kurumların kullandığı aynı üreticiden çıkmış ürünlere sızarak, kurumları direkt olarak hedeflemeden 3. taraf üzerinden sistemlerine sızabildikleri saldırılara tedarik zinciri saldırısı deniyor.  

Diğer bir deyişle sistemlerine entegre ettikleri yazılım ve/veya donanım ile kurumlar saldırılara açık hale geliyorlar. Bunun en önemli örneklerinden bir tanesi İran’ın Natanz’daki nükleer tesisine dışarıdan aldığı bir parçaya yerleştirilen arka kapı açıklığıyla düzenlenen Stuxnet saldırısı oldu.    

 

7. Saldırının şirkete etkisi ne oldu?  

Konuyla ilgilenen medya kuruluşları, saldırının etkilerine odaklanırken aslında saldırının ilk mağduruna yeterli ilgiyi göstermedi. SolarWinds şirketinin sattığı ürünlerden birinin (bilindiği kadarıyla) hacklenmesiyle başlayan saldırıda en büyük mağdurlardan biri tabi ki SolarWinds şirketi oldu. Şirketin borsada işlem gören hisseleri yüzde 50’ye yakın bir kayıp yaşadı.  

Gözden kaçırılmaması gereken bir noktada, şirketin bu fırtınaya kaptan değişimi sırasında yakalanması. 14 yıldır şirkette çalışan ve 11 yıldır da şirketin CEO’luğunu yapan Kevin Thompson 7 Aralık’ta, yani saldırının ortaya çıkmasında bir hafta önce, emekliliğe ayrıldı. Yerine geçecek olan Sudhakar Ramakrishna ise görevi 4 Ocak’ta teslim alacak. Saldırının tam bu tarihte ortaya çıkması ‘zamanlama manidar’ yorumlarına neden oldu.  

 

8. Stratejik açıdan bu saldırı ne ifade ediyor? 

ABD’nin bütün enerjisini ve odağını başkanlık seçimlerine verdiği bir dönemde operasyonun hazırlığının tamamlandığı anlaşılıyor. 2016 yılındaki seçimlerin öncesinde ve sırasında hack-leak operasyonları ve fake news ile gerçekleşen seçime müdahalenin tekrarlanmasını bekleyen ABD güvenlik eliti seçim güvenliği ile yatıp kalkarken, Rus istihbaratı adeta boş arazilerde rahatça at oynatmışa benziyor. Online dezenformasyon ve seçime hazırlanan adayların ekiplerinin siber güvenliği önceliklendirilirken bu kadar sıra dışı ve sofistike bir saldırıda ABD açıkta kalmış oldu. Tüm bunlara rağmen ABD’nin siber güvenliği sınıfta kaldı değerlendirmesi doğru bir sonuç ortaya koymayacaktır. Seçime yönelik siber operasyonlarla müdahale girişimleri olmuş olsa da, kamuoyu bunları ancak başarılı olduğu zaman öğrenebiliyor. Şayet böyle bir müdahale girişimi olduysa ve NSA ile Siber Komutanlık bunu başarıyla savuşturduysa bir kaç ay içerisinde bu operasyonun detaylarının bir şekilde basına sızması beklenebilir. 

Benzer bir örnek için: 

ABD’nin IŞİD’i hackediği operasyon: Teknolojiyle Psikolojik Harbin birleşimi: Glowing Symphony

 

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Vault7

İşte CIA’in suikastçi yazılımları!

Yorum yapın

Wikileaks tarafından sızdırılan 12 Mayıs 2017 tarihli Vault 7 belgesi CIA’in Microsoft Windows platformu için özel olarak hazırladığı iki zararlı yazılıma dair detaylar sunuyor.

AfterMidnight (Geceyarısından Sonra) ve Assassin (suikastçi) kod adlı iki zararlı yazılım, CIA’ye hedef bilgisayarın kontrolünü ele geçirmesine imkan veren bir backdoor (arka kapı açıklığı) işlevi görüyor.

Wikileaks’e göre AfterMidnight kod adlı hackleme aracı, CIA ajanına hedefindeki sisteme zararlı payload’u (görev yükü) yükleme ve çalıştırmasına imkan veriyor. Ana payload, Windows DLL (Dinamik Bağlantı Kütüphanesi) dosyası gibi davranarak Gremlins adı verilen küçük ‘payload’ları çalıştırır. ‘Gremlin’ler, hedefteki yazılımın işlevini bozma, hedef sistemdeki bilgileri toplama ya da diğer ‘gremlin’ler için hizmet sağlama kabiliyetine sahip.

İlgili haber>> CIA, Windows’a “Angelfire” ile saldırmış

AfterMidnight, hedef bilgisayara bir kez yüklendikten sonra yapılandırılmış dinleme istasyonuna geri bildirim yaparak yerine getirilmesi gereken yeni görev olup olmadığını kontrol eder. Eğer varsa bütün yeni ‘gremlin’leri belleğe yüklemeden önce gerekli bütün bileşenleri indirip depolar. Yerel belleğin tamamı, dinleme istasyonu kodu ile şifrelenmiş. AfterMidnight’ın, dinleme istasyonuyla irtibat kuramaması halinde herhangi bir payload’u çalıştırması mümkün değil.

İkinci zararlı Assassin ise Microsoft Windows işletim sistemi kullanan uzak bilgisayarlarda basit bir bilgi toplama platformu sağlayan  otomatik bir eklenti. Hedefteki bilgisayara sızıldıktan sonra Assassin eklentiyi bir Windows işlem prosesinde çalıştırıyor. Assassin de tıpkı AfterMidnight gibi dinleme istasyonuna görev almak ya da teslim etmek için sinyal gönderiyor.

Siber Bülten abone listesine kaydolmak için doldurunuz!