Etiket arşivi: yavuz yener

Makale & Analiz

New York Times Siber Saldırıları: Erkekseniz teker teker gelin!

Yorum yapın

Habercilikle ilgili iş yapan kuruluşların bilgisayar korsanları tarafından hedef seçilmesi sıklıkla yaşanan bir olay. The Wall Street Journal ve The Washington Post gibi gazeteler Çinli bilgisayar korsanlarının kurbanı olduklarını iddia ettiler. Suriye Elektronik Ordusu da The Financial Times’a ait internet sayfasını ve bazı Twitter hesaplarını ele geçirip haber başlıklarını değiştirmesi ve Beşer Esad lehine tweetler atmasıyla gündeme geldi. Aynı grup Associated Press’i hackleyip “Beyaz Saray’a saldırıldığı ve Başkan Barack Obama’nın yaralandığı” haberlerini paylaşarak Wall Street piyasasında kısa süreli bir şok etkisi yapmasıyla da hatırlanıyor.

İLGİLİ YAZI >> SURİYE ELEKTRONİK ORDUSU HAKKINDA BİLİNMESİ GEREKENLER 

2013 Kabusu

2013 yılı ABD’nin önde gelen medya kuruluşlarından The New York Times (NYT) için adeta bir kabus oldu. İlk olarak 30 Ocak’ta yapılan bir açıklamayla gazete, yaklaşık dört ay boyunca Çinli bilgisayar korsanları tarafından hedef alındığını duyurdu. Gazete muhabirlerinden David Barboza, 25 Ekim’de yayınlanan kapsamlı haberinde dönemin Çin Başbakanı Wen Jiabao’nun hizmet süresinde yakın akrabalarının nasıl milyar dolarlık servet yaptığını anlatmıştı. Barboza’nın kaynaklarının kim olduğunu öğrenmek isteyen bilgisayar korsanları NYT sistemlerine girerek gizli yazışmalara ve dosyalara erişmek istiyorlardı.

İLGİLİ HABER >> MEDYAYA BİR SİBER SALDIRI DAHA: BELÇİKA GAZETESİ HACKLENDİ

Saldırıları fark eden gazete sızmayı tek başına önleyemeyeceğini fark edince bir siber güvenlik firması olan Mandiant’ı yardıma çağırdı. Yapılan incelemede saldırganların kullandıkları yöntemlerin, geçmişte Çin ordusunun kullandıklarına çok benzer olduğu tespit edildi ve saldırı Çinlilere atfedildi. Saldırganlar, sisteme yüklemeyi başardıkları bir zararlı yazılım sayesinde sistem kullanıcılarına ait tüm şifreleri ele geçirmeyi başarmıştı. Bu şifreler sayesinde 53 şirket çalışanının hesabına giren korsanlar, hedeflerini sadece Wen haberini yapan kişilerden seçmişti. Ancak NYT, saldırılar sırasında Wen ailesiyle ilgili yapılan haberin arkasındaki isimlerle ilgili hiçbir hassas bilginin erişilmediğini, indirilmediğini ve kopyalanmadığını belirtti.

17 Mayıs 2013 tarihinde NYT bir başka siber saldırıya maruz kaldıklarını açıkladı. Saldırganlar Distributed Denial of Service (DDos) yöntemini kullanmıştı. Yani pek çok farklı bilgisayardan ev sahibi hizmet sunucusuna gönderilen anlık isteklerle site yoğunlaştırılıp erişilemez hâle getirilmeye çalışıldı. Bu saldırılar, NYT internet sayfasını yavaşlatıp bazı makalelere ve yazılara erişimi kısıtladı.

İLGİLİ HABER >> HACKERLAR FRANSA’DA TV YAYININI KESTİ

Bir başka saldırı ise yaz aylarında geldi. 27 Ağustos’ta yayınlanan bir yazıyla NYT yine bir siber saldırıya hedef olduğunu duyurdu. Bu seferki saldırganlar ise Suriye Elektronik Ordusu’ydu. Gazetenin internet sayfası bir gün boyunca kapalı kaldı. Gün içerisinde uzmanlar sorunu çözmesine rağmen korsanlar hızlı bir şekilde sistemi yeniden çalışamaz hâle getirmeyi başarıyordu. Yaklaşık iki hafta önce de internet sayfasını kapatmak zorunda kalan NYT, o seferki durumu teknik arızalar olarak açıklamıştı. Saldırganlar doğrudan gazeteye saldırmak yerine, alan adı (domain name) kaydını aldığı Avustralyalı şirket Melbourne IT’yi hedef almayı tercih etmişti. Melbourne IT, 350.000’in üzerinde müşterisiyle internetin en büyük alan adı sağlayıcılarından. Burada ilginç olan konu ise, Huffington Post’tan Gerry Smith’in de belirttiği gibi, internetin sağlıklı işleyişi açısından hayati bir öneme sahip olan Melbourne IT gibi bir şirketin nasıl olup da bu şekilde bir zafiyet gösterebildiğiydi. Zira şirketin sorumluluğu üzerine almasından saatler sonra, blog sayfasında yine hacklendiğini gösteren bir mesaj belirmişti.

Siber saldırıların siyasi mesajı

Aslında Çin, 2008 yılından beri sistematik olarak Batılı medya kuruluşlarını hedef alıyor. Buradaki amaçları ise göz korkutmak. Çin, siber gücünü uluslararası alanda etkisini artırmak için kullanmaktan ziyade, içerideki kamuoyunu şekillendirmek ve kontrol altında tutmak için de kullanıyor. Görünürdeki hedef Batılı medya kuruluşları olsa da Çin’in asıl amaçladığı, bu kuruluşlara destek verip bilgi sağlayan kişilerin kimliğini öğrenmek. Bu sayede kontrol edemediği Çinlilere, ‘Bugün Batılılara bilgi verebilirsiniz ama sanmayın ki sizin kim olduğunuzu öğrenemeyeceğim! Gün gelecek, kimliğiniz ifşa olacak ve o gün hesaplaşacağız’ mesajı vererek gelecekte kendisini zor duruma sokacak durumlarla mücadele etmeyi istiyor.

İLGİLİ HABER >> İRAN-ABD ARASINDA SİBER SAVAŞI BELGELERLE ORTAYA ÇIKTI

Diğer taraftan 2013 yılı, Suriye diktatörü Beşer Esad açısından işlerin kötüye gittiği, uluslararası baskıların arttığı ve Şam yönetiminin Suriyeli muhaliflere karşı devam eden askerî mücadeleyi kaybetmek üzere olduğu bir yıldı. Böyle bir dönemde Suriyeli bilgisayar korsanları, Batı kamuoyunu etkileyip Esad’ı sempatik göstermek istiyordu. Zira NYT’ta ve Financial Times’ta yaptıkları paylaşımlarda, Suriye’deki iç savaşın aslında ‘farklı bir boyutu’ olduğunu ve işlerin hiç de Batılı medya kuruluşlarının anlattığı gibi olmadığını iddia etmişlerdi.

Sonuç olarak medya kuruluşları, sahip oldukları kamuoyunu şekillendirme gücü açısından pek çok kez bilgisayar korsanlarının hedefi oldu. Sadece yalnız kurtlar tarafından değil teröristler ve suç örgütleri tarafından da belli medya kuruluşlarının sıklıkla hedef alındığını görüyoruz. Bu tip oluşumların amacı temelde maddi çıkar değil karşı taraf hakkında istihbarat elde etmek veya kurbanlarının saklamayı tercih ettikleri bilgileri ele geçirmek. Bu tip saldırıların gelecekte de artarak devam edeceğini beklemek yanlış olmayacaktır.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]
Siber Saldırılar

Ruhumuza Seslenen Tuzak: SENİSEVİYORUM Virüsü

Yorum yapın

Bir sosyal mühendislik harikası olan ILOVEYOU virüsü, daha milenyumun başında sıradan bilgisayar kullanıcılarının hayatını kabusa çevirmekle hatırlanıyor. Melankolik olduğunuz dönemlerde gelen kutunuza tanıdığınız/hoşlandığınız bir isimden gelen ve gerçek olamayacak kadar güzel görünen e-maillere aman dikkat!

Zararlı yazılımın çalışma prensibi şöyle: Gelen kutunuza ILOVEYOU başlıklı bir e-mail düşer. Merak edip de açtığınız zamansa mesajda ‘LOVE-LETTER-FOR-YOU.txt.vbs’ (Aşk mektubu, sana) adlı bir ek dosyanın yüklü olduğunu fark edersiniz. Windows bilgisayarlar, varsayılan olarak dosya uzantılarını gizlediği için pek çok kişi ekteki dosyayı sıradan bir metin dosyası olarak görür. Metin dosyalarının ise komut çalıştırması mümkün olmadığından, pek çok kullanıcı zararsız bir yazılımla karşı karşıya olduğunu düşünerek ekteki dosyayı indirip çalıştırır.

İLGİLİ YAZI >> DÜNYA ŞOKTA! 30 ÜLKEDEKİ SABİT SÜRÜCÜLERE CASUS YAZILIM YERLEŞTİRİLMİŞ!

Dosya indirildikten sonra harekete geçen virüs, aynı anda birkaç işe birden koyulur. İlk olarak yüklü olduğu bilgisayarın hard-diski üzerindeki görsel dosyaların üzerine yazarak (overwrite) bu dosyaların kaybına ve kullanılamaz hale gelmesine sebep olur. Ayrıca virüs kullanıcının hard-diski üzerindeki farklı klasörlere kendini kopyalar. Diğer taraftan Microsoft Outlook programına erişerek kullanıcının adres defterini ele geçirir. Bir sonraki aşamada ise adres defterindeki tüm kişilere ‘ILOVEYOU’ başlıklı ve ‘LOVE-LETTER-FOR-YOU.txt.vbs’ ekli e-mailler gönderir. Bu sayede virüsün hızla yayılması sağlanır.

Windows işletim sistemi yüklü bilgisayarlar için tasarlanan virüs, şirket hesapları üzerinden hızlıca yayılmasıyla biliniyor. Virüs ilk olarak 5-6 Mayıs 2000 tarihlerinde Filipinler’de görülmeye başlamıştı. Buradaki şirket hesaplarına bulaştıktan sonra yayılması ise çok kolay oldu. Çünkü gönderilen mesajlar adres defterinde kayıtlı bir kişiye gönderiliyor ve virüsün yayılmasında karşı tarafın duyduğu güvenden faydalanılıyordu. Filipinler üzerinden batıya doğru yayılan virüs 10 gün gibi kısa bir süre içinde, internete erişimi olan bilgisayarların yaklaşık yüzde 10’una bulaştı.

Virüsün dayandığı sosyal mühendislik boyutu, başarısının arkasındaki ana sebeplerden. Kurbanın ilgisini çekebilecek bir başlık tercihi (Seni seviyorum), kişiye adeta duymak istediği şeyi söylüyor. Bunu destekleyici nitelikte bir ek dosya (Aşk mektubu) ise mesajın inandırıcılığını artırıyor ve gerçeklik imgesini kuvvetlendiriyor. Burada şüphe edilmesi gereken bir durum olduğunu fark eden tecrübeli kullanıcılar dahi, sıradan bir metin dosyasıyla karşı karşıya olduklarını görüp ikna olabiliyor.

Diğer taraftan 2000 yılı şartları, internet kullanıcılarının tecrübesiz olduğu bir dönemi yansıtıyordu. Bugün pek çoğumuz, tanıdığımız bir kişiden geliyor gözükse dahi şüpheli görünen e-mailleri açmıyoruz. Zaten Google, Yahoo ve Microsoft gibi e-posta servisi sağlayıcıları bu tür dosyaları otomatik bir şekilde spam olarak tanımlıyor ve ona göre muamele ediyor. Zararlı yazılımların e-posta hesapları üzerinden yayılması bugün çok daha zorlaşmış durumda ve her yeni güncellemeyle güvenlik özellikleri daha da gelişiyor. Ancak 2000’li yılların başında durum çok farklıydı.

İLGİLİ YAZI >> E-MAİLİNİZİN MAHREM OLDUĞUNU MU SANIYORSUNUZ? TEKRAR DÜŞÜNÜN

 

Genel trendin aksine bu zararlı yazılımın yazarları Filipin polisi tarafından tespit edildi: Onel de Guzman ve suç ortağı Reomel Ramones. Fakat ikili yasal olarak bir suç işlememişti. Evrensel ceza hukuku prensiplerine göre bir eylemin suç olarak nitelendirilebilmesi için yasal olarak düzenlenmiş ve cezanın da yine kanunen belirlenmiş olması gerekmektedir. Bugün siber suçlar konusu pek çok ülkede yasal olarak düzenlenmiş durumda; ancak 2000 yılı Filipinlerinde durum o kadar iç açıcı değildi. Dolayısıyla Guzman ve Ramones, Filipin ceza sisteminde zararlı yazılımlarla ilgili bir suç tanımlaması olmadığı için serbest bırakıldı. Ne Guzman ne de Ramones suçlarını itiraf etmişti. Tabii ki bu yaptıklarının somut yaptırımları olacaktı. Örneğin Guzman’ın, şifre kopyalayabilen bir truva atı virüsünün ticarileştirilebilmesi üzerine yazdığı tezi üniversite yönetimi tarafından reddedilip Guzman okulu bırakmaya zorlandı. Ancak ikili, yazdıkları virüsün sebep olduğu 10 milyar dolarlık zarardan sorumlu tutulamadılar. Zaten bu parayı bir ömür boyu karşılayabilmeleri mümkün değildi. İki genç maceracının kodladığı virüs, pek çok ateşli silahtan ve güdümlü füzeden daha fazla zarara neden olmuştu.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ[wysija_form id=”2″]

Makale & Analiz, Siber Saldırılar

Sobig: ‘Gelen Kutunuzun’ Korkulu Rüyası

Yorum yapın

Bir sabah e-posta kutunuza “Re: Approved” (Yanıt: Onaylandı), “Re: Your Application” (Yanıt: Başvurunuz), “Re: Thank you!” (Yanıt: Teşekkürler) tarzında bir mesaj düştüğünü hayal edin. Ne yapardınız? Aslında internet kullanıcısı olarak hepimiz her hafta, hatta her gün bu tür e-mailler alıyoruz. Artık çoğu internet kullanıcısı bu tür mesajların virüs içerdiğini ve açılmaması gerektiğini biliyor ve ona göre davranıyor. Zaten bugün Google, Yahoo, Microsoft gibi elektronik posta servisi sağlayan büyük şirketler, spam olarak adlandırdığımız bu tür e-mailleri çoğunlukla otomatik olarak tespit ediyor ve e-mail hesabınız içerisinde farklı bir klasörde muhafaza ediyor, bir süre sonra da siliyor. Dolayısıyla genelde gelen kutunuza düşen spam mesajlarından sizin haberiniz dahi olmuyor.

İLGİLİ YAZI>> GELMİŞ GEÇMİŞ EN GENİŞ ÇAPLI SALDIRI: SHADY RAT

Oysa Sobig solucanı, Ocak 2003’te ilk ortaya çıktığında kimse dünyanın en tehlikeli siber saldırılarından biriyle karşı karşıya olduğunun farkında değildi. 2003 senesi boyunca çeşitli formlarda yayılmaya devam eden solucan, kısa zamanda büyük siber saldırılar tarihine geçecekti.

2000’li yılların başı, internetin aslında belli bir altyapıya erişip kullanıcı kitlesini genişlettiği bir dönemdir. Artık devletlerin, büyük şirketlerin ve belli maddi imkanlara sahip bir kesimin erişim sağlayabildiği internet kitlesel bir hâl almaya başlamıştır. Bir taraftan sayısız haber sitesi, mesajlaşma sayfası, randevu sitesi, online alışveriş mağazaları ortaya çıkarken diğer taraftan Friendster, Hi5, Linkedin, MySpace gibi bugünkü anlamıyla sosyal medyanın tohumlarını atan ağlar siber alanda kendini göstermeye başlamıştır. Bunun da ötesinde internetin küresel kullanımı hız kazanmıştır. Örneğin 2005 yılında dünya çapında 1 milyar olan internet kullanıcılarının sayısı 5 sene içerisinde iki kat artarak 2010 yılında 2 milyarın üstüne çıkmıştır. Sobig saldırıları, işte bu patlama döneminin başlangıcında meydana gelmiştir.

İLGİLİ YAZI >> ESTONYA SALDIRILARINA ÇOK BOYUTLU BİR BAKIŞ

Solucanın yayılması 

Sobig solucanını içeren ilk e-mailler Ocak ayında yayılmaya başladı. Bu mesajlar, big@boss.com adresinden gelmiş gibi görünüyor ve okuyucunun ilgisini çekebilecek başlıklar taşıyordu. Her mailin ekindeyse Sobig dosyaları bulunuyordu. İlerleyen dönemlerde sırasıyla Mayıs ayında Sobig.B, Mayıs ayı sonunda Sobig.C, Haziran ortasında Sobig.D ve Haziran sonunda Sobig.E versiyonları keşfedilen solucanın en çok bilgisayar etkileyen versiyonu ise Ağustos ayında ortaya çıkan Sobig.F formuydu.

Spam mesajını alan kullanıcılar e-maili açtıktan sonra ‘Lütfen detaylar için ekteki dosyaya bakınız’ türünden bir yazıyla karşılaşıp ekteki dosyaya yönleniyorlardı. Ekteki dosyalar ise oldukça sıradan başlıklar taşıyan ve kullanıcıları şüpheye sokmayacak türdendi. Örneğin uygulama, detaylar, belge, film, teşekkürler gibi oldukça olağan gözüken dosya adları tercih ediliyordu. Ekteki dosyaya tıklayan kullanıcılarsa virüse yakalanıyorlardı.

Sobig virüsü sadece Windows işletim sisteminin yüklü olduğu bilgisayarları hedef alıyordu. İşletim sistemleri ürün pazarında küresel çapta hâkim konumda olan Microsoft şirketi, kullanıcılarının maruz kaldığı saldırıların muhatabı olacaktı. Sobig sadece basit bir solucan olarak çalışmıyor, aynı zamanda bir Truva atı gibi faaliyetlerini gizleyebiliyordu.

Bir bilgisayara bulaştıktan sonra solucan, .htm, .html, .txt gibi uzantılara sahip olan dosyaları arıyor ve bu dosyalardaki kayıtlı e-mail adreslerine ulaşmaya çalışıyordu. Buradan elde ettiği adresleri kendi oluşturduğu sntmls.dat adlı bir dosyaya kaydeden solucan aynı zamanda kendi SMTP motoruna sahipti. Bu sayede veri tabanını kuvvetlendiren solucan yeni kullanıcıları ve hesapları, gönderdiği spam maillerle hedef alabiliyordu.

İLGİLİ YAZI >> BİR BİLİM KURGU ROMANINDAN FAZLASI: GUGUK KULŞU YUMURTASI

O dönemin şartlarını düşünecek olursak internet kullanıcılarının büyük bir çoğunluğu spamlara karşı tecrübesizdi. Sıradan görünen bir mesajı okuyup ekine tıklamakta pek bir sakınca görmüyorlardı. Bu tecrübesizlik, virüsün hızlıca yayılmasına olanak sağlayacak ve Microsoft’un zor günler yaşamasına sebep olacaktı.

Sobig solucanlarının etkisi çarpıcı oldu. Örneğin BBC bilgisayarlarına bulaşan solucanlar yüzünden İngiliz medya devinin pek çok takipçisinin ve çalışanının e-mailleri yeni spamların hedefi haline geldi. Bu dönemde dünya çapında gönderilen spamların üçte ikisinin Sobig olduğu hesaplanmıştır. Sobig solucanları sadece bulaştıkları bilgisayarlara zararlı yazılım bulaştırmakla kalmıyor, aynı zamanda küresel internet trafiğinin de yoğunlaşıp yavaşlamasına sebep oluyordu. Örneğin internet hizmeti sağlayıcısı AOL, o dönemde yaptığı bir açıklamada, taramış olduğu 40,5 milyon adet e-mailin yarısından çoğunda Sobige rastladığını ifade etmişti.

İLGİLİ YAZI >> RAS-GAS SALDIRISI SİBER KIYAMET ALAMETİ Mİ?

Diğer taraftan Sobig, ciddi bir ekonomik zarara da sebep oldu. Yapılan tahminler farklılık gösterse de küresel ekonominin yaklaşık 37 milyar dolarlık bir zarara uğradığını iddia edenler var. CNN, Ağustos ayı itibarıyla sadece Amerika’da 50 milyon dolarlık bir zarardan bahsediyor ki bu daha gerçekçi bir tahmin. Yine de Sobig, dünyanın ekonomiye maliyeti en yüksek olan siber saldırılarından biri olarak not edilebilir.

Sobig’i kimin yazdığı konusu bugün hala belirsizliğini koruyor. Her kimse yazar, Sobig.F’i 10 Eylül 2003’te kendisini deaktive edecek şekilde kodlamıştı ve o tarihte solucanın spam faaliyetleri sona erdi. Diğer taraftan Microsoft, Sobig’in kodunu yazan kişinin kimliğine ve tutuklanmasına yardım edecek kişilere 250,000 dolar vereceğini ilan etti. Ancak bu para ödülü dahi saldırganın yakalanmasını sağlayamadı.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]

 

 

 

 

 

Makale & Analiz, Siber Saldırılar

‘Gelmiş geçmiş en geniş çaplı siber saldırı: Shady RAT’

Yorum yapın

İlk defa 2011 yılında McAfee’nin hazırladığı bir raporla kamuoyunun haberdar olduğu Shady RAT (Remote Access Tool) saldırıları, gelmiş geçmiş en geniş çaplı siber saldırı olma ünvanını rahatlıkla hak ediyor. Bu çapta bir saldırıda dahi saldırganların kimlikleri tespit edilememiş olsa da McAfee’nin hazırladığı rapor, ekonominin her sektöründe faaliyet gösteren herhangi bir şirketin, benzer siber saldırılara maruz kalabileceğini vurguluyor.

McAfee, Shady RAT’in ilk izlerinin 2009 senesinde, bir savunma şirketinin uğradığı saldırıların forenzik analizinin yapıldığı dönemde keşfedildiğini belirtiyor. McAfee, saldırganların komuta-kontrol serverlarından birisine erişim edindiğini ve saldırı loglarını bu serverlar üzerinden analiz ettiğini belirtiyor.

Rapora göre hedef alınan bir firmada saldırıların fark edilip gerekli önlemlerin alınması hâlinde dahi sızmanın, ilk başladığı andan itibaren yaklaşık bir ay boyunca devam ettiği belirtiliyor. Sızmanın kısa sürdüğü kurbanlar arasında Uluslarararası Olimpiyat Komitesi, Vietnamlı bir teknoloji şirketi, Asyalı bir ülkenin ticaret örgütü, Kanadalı bir devlet kurumu, Amerikalı bir savunma şirketi ile Amerikalı bir muhasebe firması bulunuyor. Ancak rapor, bu sızmaların kısa sürmesini sadece kurbanların siber savunmadaki başarısıyla değil, saldırganların bazı örneklerde zaten kısa bir saldırı amaçlamasıyla da açıklıyor. Diğer taraftan sızmaların 20-28 ay boyunca tespit edilemediği pek çok örnek de var.

Örgütlü bir şekilde saldırdığı anlaşılan hackerların temel hedefleri devletler, örgütler, büyük firmalar, savunma şirketleri ve hatta uluslararası Olimpiyat komiteleri. ABD, Japonya, Tayvan, Birleşik Krallık, Hindistan, Güney Kore, Vietnam ve Kanada büyük zarara uğrayan devletler arasında yer alıyor. Bunun dışında Birleşmiş Milletler ve Uluslararası Olimpiyat Komitesi gibi uluslararası örgütler de saldırıların kurbanı.

McAfee’nin temel iddiası, saldırıların 2006 senesinde başladığı, büyük bir yoğunlukla devam ettiği ancak 2009, 2010 yıllarında yavaşladığı yönünde. Örneğin 2007’de saldırılar yüzde 260 oranında artarken 29 örgüte yayılmış. 2006-2011 arasındaki süreçte toplam 72 örgütün ve 14 ülkenin saldırılardan etkilendiği iddia ediliyor. Bu 72 örgütünse 49 tanesinin ABD’de bulunduğu belirtiliyor.

Kurbanlar arasında enerji ve ağır sanayiiden 6, elektronik ve haberleşme sektöründen 13, savunma sektöründense 13 şirket var. Sistemlerine sızılan yerler arasında ayrıca bir enerji araştırma laboratuvarı ile Koreli çeşitli çelik ve inşaat firmaları bulunuyor.

Shady RAT’in gerçek boyutlarını kestirebilmek mümkün değil. McAfee raporu tam olarak hangi kuruluşların ne ölçüde etkilendiğini söylemiyor. Ancak tespit edilenden çok daha fazla sızma olduğuna yönelik iddialar var.

Raporun yazarı Dmitri Alperovitch, ‘akla gelebilecek tüm sektörlerde önemli büyüklükteki ve değerli fikrî mülkiyeti ile ticari sırları olan bütün şirketlere sızıldığına (veya sızılacağına) ikna olmuş durumdayım’ sözleriyle siber tehditlerin ulaştığı boyut hakkında ilgilileri uyarmaya çalışıyor. Alperovitch analizlerinde oldukça iddialı. Dünyanın en büyük 2000 şirketini ikiye ayıran Alperovitch, bunları ‘sızma olduğunu bilenler’ ve ‘sızma olduğunu bilmeyenler’ olarak kategorize ediyor.

Alperovitch, geçmişte Batı enerji sektörlerinin hedef alındığı Night Dragon Operation ile Operation Aurora siber casusluk faaliyetlerini de soruşturmuş bir isim. Tüm bu saldırıların neden tek bir saldırgan tarafından gerçekleştirildiğinin kabul edildiği sorusuna Alperovitch net bir yanıt vermiyor. Ancak raporda da belirtildiği gibi bu çaptaki bir saldırıyı devletdışı bir aktörün tek başına üstlenebilmesi mümkün değil. Zaten böyle bir saldırıyla elde edilecek sonuçlar bakımından yapılacak kâr-maliyet analizi, ancak bir devletin bu tür bir saldırı gerçekleştirme sorumluluğunu üstlenebileceğini gösteriyor.

Rapora göre en dikkat çekici konu, saldırganın sırlara ve fikrî mülkiyete olan devasa açlığı. Saldırıları sıradan bir siber suç olayından ayıran temel fark belki de bu motivasyon. Zaten Advanced Persistent Threat olarak adlandırılan bu tür saldırılar, saldırganın hedefine ulaşmak için sahip olduğu yüksek motivasyona işaret ediyor. Ayrıca raporun yazarlarına göre Birleşmiş Milletler ve Uluslararası Olimpiyat Komitesi gibi kuruluşların hacklenmesi ekonomik menfaat getirmeyeceğinden temelde bir devlete işaret ediyor. ASEAN örgütüne yapılan saldırılar da raporu benzer bir sonuca götürüyor.

Diğer taraftan raporun içindeki belirsizlikler dikkat çekici. Örneğin sızma gerçekleştirilen bilgisayarların kime ait olduğu hâlâ bilinmiyor. Örneğin binlerce şirket çalışanının bilgisayarlarını hackleyebilirsiniz ancak bunların hiç birisi, tek bir yönetici bilgisayarının hacklenmesi kadar kritik önemde olmaz. Rapor hangi firmaların net olarak hedef alındığını belirtmiyor. Saldırganların kim olabileceğine dair de tahmin yürütmüyor. İçinde pek çok belirsizlik barındıran böyle iddialı bir raporun neden yayınlandığı sorusu net bir cevap bulabilmiş değil. Bilindiği üzere McAfee önemli bir güvenlik şirketi. Siber güvenlik ve anti-korsan yazılımlar üzerine yaptıkları çalışmalar yakından takip ediliyor. Rapor, tek tek firma ismi vermemesinin sebebini daha çok saldırıya uğrayan firmaların olumlu/olumsuz reklam yapmamakla açıklayarak geçiştiriyor. Oysa bu raporla McAfee en çok kendi reklamını yapmış görünüyor. Rapor boyunca sık sık tekrarlanan bir düşünce var: ‘Şirketler, devletler ve uluslararası örgütler! Hepiniz bir siber saldırının kurbanısınız ancak çoğunuz bunun farkında bile değilsiniz!’ Yani bu tehditlerden korunmak istiyorsanız bize gelmelisiniz çünkü biz sizi koruyabiliriz.

Sonuç olarak Shady RAT, iddiaların boyutu itibarıyla gelmiş geçmiş en büyük siber saldırı olma niteliğini hak ediyor. Hem ekonomiden, hem devletlerden hem de uluslararası örgütlerden kendisine pek çok kurban seçen hackerlar, organize bir siber saldırının ulaşabileceği boyutları gözler önüne seriyor. Advanced Persistent Threat türünden saldırılar, saldırganın sahip olduğu yüksek motivasyon nedeniyle senelerce sürebiliyor. Saldırgan, sızdığı sistemde tatmin olmazsa kendisine hemen başka bir hedef seçebiliyor. Hem veri hırsızlığı hem de fikrî mülkiyet hırsızlığı yapılıyor. İşin ilginç yanı, rapor, çalınan bu bilgilerle korsanların ne yaptığının bilinemediğini belirtiyor. Özellikle uluslararası piyasalarda rekabetin hat safhada olduğu ve şirket sırlarının, plan ve stratejilerinin ekonomik başarı açısından çok kritik öneme sahip olduğu günümüzde şirketler, hiç beklemedikleri bir anda, sırf bilgisayar korsanlarına çaldırdıkları bilgiler nedeniyle devasa kayıplara uğrama riskiyle karşı karşıya.

HAFTALIK SİBER BÜLTEN RAPORUNA ULAŞMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]

 

 

 

 

Makale & Analiz

Bir Bilim-Kurgu Romanından Fazlası: Guguk Kuşu Yumurtası 

Yorum yapın

Günümüzde hayatın hemen her alanını işgal eden ve neredeyse bir ‘doğal hak’ hâline geldiği konuşulan internetin geçmişi 1970’lerdeki ARPANET’e kadar götürülebilir. ARPANET’in açılımı Advanced Research Projects Agency Network idi ve araştırmacıları belli noktalar üzerinden birleştirerek dış müdahalelerden etkilenmeyecek bir ağ oluşturmayı amaçlıyordu. İlginçtir ki, ilk bilgisayar virüslerinin ortaya çıkışı da bunu takip eden dönemde görüldü.

Diğer taraftan, bugün internet gelişip genişledikçe siber saldırıların içeriği de karmaşıklaşıyor. Büyük çaplı saldırıların çoğu ciddi bir istihbarat çalışmasını ve sosyal mühendisliği gerektiriyor. Ancak bundan yaklaşık 30 sene önceki dönemde çok daha basit tasarımlı virüslerle ve siber saldırılarla etkisi büyük saldırılar gerçekleştirilebiliyordu.

Bilinen ilk siber saldırı örneklerinden olan Cuckoo’s Egg (guguk kuşu yumurtası) saldırısı gerçekleştiğinde tarih Ağustos 1986’ydı. Bu dönemi hatırlayalım. Soğuk Savaş devam ediyordu ve Amerika’da Ronald Reagan Başkan’dı. Beyaz Saray, 1980’li yılların başından beri Reagan Doktrini adı altında Sovyetler’in küresel etkisini kırmak adına açık veya örtülü operasyonlar yürütüyor, Sovyet karşıtı gerillaları destekliyordu. Détente yıllarının görece huzuru geride kalmıştı. Diğer taraftan Sovyetler Afganistan işgalinin sonuçlarıyla baş etmeye çalışıyordu. Üç sene içinde art arda üç yaşlı lider değiştiren Sovyetler’de yeni Parti Sekreteri Mihail Gorbaçov 1985 senesinde seçilmişti. Gorbaçov, sonrasında perestroika (yeniden yapılanma) ve glasnost (açıklık) olarak bilinen reform çalışmalarını başlatacaktı.

Saldırının fark edilmesi 

Clifford Stoll adlı Amerikalı uzay bilimci, Lawrence Berkeley Ulusal Laboratuvarı’nda (LBUL) çalışıyordu. LBUL’de sistem yöneticisi olan Stoll, 1986 Ağustos’unda bir arkadaşının kendisini uyarmasıyla harcamalarda 75 sentlik bir açık olduğunu fark etti. Birisi LBUL sistemini kullanıyor ancak karşılığında ödemesi gereken ücreti ödemiyordu.

Stoll, harcamalardaki bu açığın kaynağını takip ederken dikkatli davranmayı ve pasif kalmayı tercih etti. Öncelikle saldırgan, LBUL sistemlerinin kullandığı movemail adlı bilgisayar programındaki bir açıklıktan faydalanıyordu. Sonrasında Stoll, saldırıların telefon hattına bağlı bir modemden geldiğini ve bu hattın da Virginia eyaletinde bulunan bir savunma şirketine ait olduğunu tespit etti. Artık Stoll, bu hat üzerinden gelen tüm saldırıları takip ederek hackerın davranışlarının kaydını almaya başlayabilirdi.

ÖNEMLİ SİBER SALDIRILARLA İLGİLİ DİĞER YAZILAR İÇİN TIKLAYINIZ

Anlaşılan sistemdeki bu hacker, ‘nükleer’ veya ‘SDI’ (serial digital interface) etiketi taşıyan dosyaları arıyordu. Hareket ettiği tek sistem LBUL değildi. Yeri geldiğinde Amerikan askerî üslerinin sistemlerine de yetkisiz giriş yapabiliyordu. Girdiği sistemlerde şifre klasörlerini kopyalıyor ve Truva atları yerleştirerek şifreleri ele geçirmeye çalışıyordu. Stoll aynı zamanda hackerın, karşısına çıkan şifreleri kolaylıkla kırabildiğini fark etti. Anlaşılan, askerî üslerin sistemlerinde bile yeterince güvenlik önlemi bulunmuyordu. Diğer taraftan, hacker genelde gündüz vakitlerinde saldırılar gerçekleştiriyordu. Ancak normal şartlar altında bu yoğunlukta gerçekleşen saldırıların, bağlantı ücretleri açısından değerlendirilince gece vakitlerinde gerçekleşmesi beklenirdi. Buradan hareketle Stoll, saldırganın Atlantik okyanusunun doğusunda yaşadığı tahmininde bulundu.

İhtiyacı olan tüm verileri edinen Stoll için artık harekete geçme zamanı gelmişti.  Hackerın girdiği tüm sistemlerde ‘nükleer’ ve ‘SDI’ gibi anahtar kelimeleri aradığını bildiği için LBUL sisteminde ‘SDInet’ adlı bir hesap açtı ve içerisini yeterince ikna edici bilgilerle doldurdu. Bu yönteme daha sonra ‘honeypot’ (bal küpü) adı verilecekti. Tuzak bir bilgiyi sisteme yerleştiren Stoll, hackerın ağda online kalmasını sağlayarak izini sürmeyi başardı.

Tüm izler, saldırıların uydu aracılığıyla Batı Almanya’dan geldiğini gösteriyordu. Alman yetkililerin de özverili çalışmaları sayesinde saldırıların gerçek kaynağı tespit edildi. Saldırgan, Batı Almanya’nın Hannover kentinde yaşayan hacker Markus Hess’ten başkası değildi. Hess’in hedefi ABD askerî ve eğitim kurumlarıydı. Buradan elde ettiği kritik bilgileri Rus istihbarat kuruluşu KGB’ye satıyordu.

Hess’in kimliği tespit edildikten sonra Alman otoriteler gereken adımları atarak Hess’i tutukladılar. 1990’lardaki yargılama aşamasında Stoll da tanık olarak dinlendi. Hess, nihayetinde casusluk dolayısıyla suçlu bulundu ve hapse mahkum edildi. Ancak sonrasında şartlı tahliye ile serbest bırakıldı.

Takip eden dönemde Stoll, yaşadıklarını kurgusallaştıracak ve bir roman olarak yayınlayacaktı. Gerçekten de 1989’da yayınlanan roman ‘Guguk Kuşu Yumurtası: Bilgisayar Casusluğu Labirenti Boyunca Bir Ajanın İzini Sürmek’ (The Cuckoo’s Egg: Tracking a Spy Through the Maze of Computer Espionage’) siber savunma açısından önemli bir eser olacak ve hızla artmakta olan siber tehditlerin tam tam seslerini ilgililerine duyurmaya başlayacaktı.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]