Rootkit'ler, Casus Yazılımlar ve Tuş Kaydediciler

Birçok kötü amaçlı yazılım türü görünür hasar yoluyla varlığını belli ederken, bir kötü amaçlı yazılım sınıfı saldırganların hedeflerini sessizce gerçekleştirirken kullanıcılardan, yöneticilerden ve güvenlik araçlarından gizli kalmak üzere özel olarak tasarlanmıştır. Rootkit'ler, casus yazılımlar ve tuş kaydediciler kötü amaçlı yazılım yelpazesinin gizlilik odaklı ucunu oluşturur. Etkililikleri, algılanmadan kalıcılık göstermelerine bağlıdır — kimlik bilgilerini ve verileri sessizce dışarı aktararak aylarca veya yıllarca etkin kalabilirler. Gizlenme tekniklerini anlamak, adli inceleme ve standart taramaların gözden kaçırdıklarını bulabilecek algılama araçlarını seçmek için hayati önem taşır.

Bir rootkit, saldırganın varlığını gizlemek için işletim sistemini veya düşük düzeyli yazılımı değiştirir. Terim, Unix'teki 'root' (en yüksek ayrıcalık) + 'kit' (araçlar kümesi) sözcüklerinden gelir. Rootkit'ler, standart sistem inceleme araçlarından file'ları, kayıt defteri anahtarlarını, Processes'leri ve ağ bağlantılarını gizlemek için işletim sistemi işlevlerini araya girerek ele geçirir. Rootkit çalıştıran bir Process Task Manager'da görünmeyebilir, ağ bağlantıları netstat içinde gösterilmeyebilir ve file'ları dizin listelerinde yer almayabilir — çünkü bu araçların tümü işletim sistemine rootkit'in ele geçirdiği API'lerle sorgu gönderir. Rootkit'leri bulaşmış işletim sisteminin içinden algılamak son derece zordur.

Rootkit'ler, sistemde nerede çalıştıklarına göre sınıflandırılır. Kullanıcı modu (uygulama düzeyi) rootkit'leri kullanıcı alanında çalışır ve API çağrılarını kancalar; algılanmaları ve kaldırılmaları en kolay olanlardır. Çekirdek modu rootkit'leri işletim sistemi düzeyinde ayrıcalıklarla çalışır ve çekirdek veri yapılarını değiştirir — son derece gizlidir ve kurulmak için bir sürücüye veya çekirdek açığından yararlanmaya ihtiyaç duyar. Bootkit (MBR rootkit), Master Boot Record'u veya Volume Boot Record'u etkiler ve işletim sisteminden önce yüklenir — çalışma sırasında işletim sistemi tarafından görünmez. Hypervisor rootkit'leri (VM tabanlı), işletim sisteminin altında yer alır ve özgün işletim sistemini sanal makine olarak çalıştırır — teorik olarak konuk sistemin içinden algılanamaz.

Rootkit'ler işletim sisteminin kendi raporlama mekanizmalarını ele geçirdiği için algılama, bulaşmış işletim sisteminin dışından bakmayı gerektirir. Teknikler arasında şunlar bulunur: cross-view analysis (çekirdek veri yapılarını doğrudan memory'de API'lerin bildirdikleriyle karşılaştırma — tutarsızlıklar gizli öğeleri açığa çıkarır), bütünlük doğrulaması (kritik sistem file'larının özetlerini güvenilir bir kaynaktan alınan bilinen iyi temel değerlerle karşılaştırma), çevrimdışı tarama (temiz bir USB'den önyükleme yapıp sürücüyü tarama) ve önyükleme zincirinin değiştirilmediğini kriptografik olarak doğrulayan TPM onaylamalı Secure Boot. Araçlar arasında GMER, Malwarebytes Anti-Rootkit ve Linux için chkrootkit/rkhunter bulunur.

Casus yazılım, kullanıcı etkinliklerini gizlice izler ve kullanıcıdan habersiz veya kullanıcının onayı olmadan bilgileri saldırgana iletir. Tarama geçmişini, arama sorgularını, ekran görüntülerini, uygulama kullanımını ve konum verilerini yakalayabilir. Bazı casus yazılımlar, ebeveyn denetimi veya çalışan izleme amacıyla 'izleme yazılımı' adıyla ticari olarak pazarlanır (ancak yasallık yargı bölgesine göre değişir). Kötü amaçlı casus yazılımlar suçlular ve ulus devletler tarafından hassas ticari verileri, kişisel bilgileri ve fikrî mülkiyeti sessizce dışarı aktarmak için kullanılır. Casus yazılımlar genellikle ücretsiz yazılımlarla birlikte PUP'lar (Potentially Unwanted Programs) olarak gelir ve kaynağın belirlenmesini zorlaştırır.

Stalkerware, yakın ilişkideki partnerleri gizlice izlemek üzere tasarlanmış casus yazılımdır ve istismarcılara partner gözetleme araçları olarak pazarlanır. Konumu, aramaları, metin mesajlarını ve sosyal medyayı kaydeder. Ticari casus yazılım (NSO Group'un Pegasus'u, Candiru ve FinFisher gibi), hükümetlere ve kolluk kuvvetlerine satılır — çoğunlukla gazetecileri, aktivistleri ve muhalifleri hedef alır. Pegasus, kullanıcı etkileşimi olmadan kurulmak için sıfır tıklamalı iPhone açıklarından yararlanmıştır. Coalition Against Stalkerware ve güvenlik araştırmacıları, stalkerware algılamasını yaygın AV ürünlerine eklemek için çalışmıştır. Algılama genellikle Amnesty International'ın Mobile Verification Toolkit (MVT) gibi araçlarla cihazın adli analizini gerektirir.

Bir tuş kaydedici, kullanıcının yazdığı her tuş vuruşunu kaydederek parolaları, mesajları, kredi kartı numaralarını ve yazılan diğer tüm verileri yakalar. Yazılım tabanlı tuş kaydediciler farklı düzeylerde çalışır: kullanıcı modu kancaları (SetWindowsHookEx API), çekirdek modu sürücüleri (daha gizli) veya şifrelemeden önce tarayıcı form gönderimlerini araya girerek yakalayan form yakalama kancaları. Donanım tuş kaydedicileri, klavye ile Computer arasına takılan fiziksel aygıtlardır — yazılım tabanlı algılamaya karşı tamamen görünmezdir. Tuş vuruşlarını daha sonra alınmak üzere dahili memory'de saklarlar. Yüksek güvenlikli alanları koruyan kuruluşlar, yetkisiz aygıtlar olup olmadığını görmek için donanım portlarını düzenli olarak incelemelidir.

Form yakalama araçları, tarayıcı formlarında gönderilen verileri şifrelenmeden ve ağ üzerinden gönderilmeden önce araya girerek yakalar — kullanıcı adlarını, parolaları ve kredi kartı numaralarını giriş anında ele geçirir. Kötü şöhretli bir bankacılık Trojan'ı olan Zeus (Zbot), tarayıcı Processes'lerine enjekte edilen form yakalama kancalarını kullanmıştır. HTTPS tarafından engellenen ağ düzeyi dinleyicilerin aksine form yakalama araçları uygulama düzeyinde çalışır ve şifrelemeyi etkisiz hale getirir. Genellikle InternetReadFile gibi tarayıcı işlevlerini kancalar veya tarayıcı Process memory'sine enjekte olurlar. Modern EDR araçları, form yakalama etkinliğine işaret eden Process enjeksiyonu ve tarayıcı API kancalama kalıplarını algılar.

Adware, istenmeyen reklamlar görüntüler ve işletenleri için gelir oluşturmak amacıyla tarayıcı trafiğini başka yerlere yönlendirebilir. Diğer kötü amaçlı yazılımlara göre daha az yıkıcı olsa da Adware, sistem performansını düşürür, gizliliği tehlikeye atar ve kötü amaçlı sitelere yönlendirerek veya daha tehlikeli yazılımlarla birlikte gelerek güvenlik riskleri oluşturur. PUP'lar (Potentially Unwanted Programs), kullanıcıların kasıtlı olarak yüklememiş olabileceği ve genellikle aldatıcı kurulum iletişim kutuları aracılığıyla ücretsiz yazılımlarla birlikte sunulan yazılımlardır. PUP'lar gri bir alanda yer alır — kesin olarak kötü amaçlı olmayabilirler, ancak kaynakları tüketir, gizliliği tehlikeye atar ve daha tehlikeli bulaşmalar için bir geçit oluştururlar.

Kötü amaçlı yazılım yeterli ayrıcalıklarla yüklendiğinde, kimlik bilgisi dökümü yanal hareket için bellekte veya diskte depolanan kimlik bilgilerini çıkarır. Windows LSASS işlemi, tek oturum açma için kimlik bilgilerini bellekte depolar. Mimikatz gibi araçlar, LSASS belleğinden düz metin parolaları veya NTLM karmalarını döker. Savunmacılar buna; Credential Guard (Windows 10 ve sonraki sürümlerde, LSASS'ı güvenli bir kapsayıcıda yalıtmak için Virtualization-Based Security kullanır), Protected Users grubuna üyelik (kimlik bilgilerinin önbelleğe alınmasını önler) ve sistem dışı işlemlerden LSASS belleğine erişim algılandığında uyarı veren EDR kurallarıyla karşı koyar.

Çalışan bir sistemden rootkit kaldırmaya çalışmak risklidir — rootkit kendisini etkin biçimde gizler ve kaldırma girişimlerini algılayabilir. Rootkit düzeltme işlemi için en iyi uygulama, adli kanıtlar korunduktan sonra sistemi güvenilir bir temel imajdan yeniden imajlamaktır. Sistemin tamamen yeniden imajlanması hemen mümkün değilse: güvenilir bir harici ortamdan (çevrim dışı tarayıcı içeren USB) önyükleme yapın, işletim sistemi yüklenmeden önce rootkit algılama araçlarını çalıştırın, tüm bulguları belgeleyin ve mümkün olan en kısa sürede yeniden imajlama planı hazırlayın. Bootkit'ler için, imzasız önyükleyicileri engellemek üzere UEFI ile birlikte Secure Boot kullanın ve işletim sistemini yeniden yüklemeden önce MBR'ye sıfır yazmayı değerlendirin.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: rootkit'ler, işlemleri, dosyaları ve ağ bağlantılarını gizlemek için işletim sistemi API'lerini etkisizleştirir; bu nedenle bulaşmış işletim sisteminin içinden yapılan algılama güvenilmezdir ve çevrim dışı tarama ya da farklı görünümlerin karşılaştırılarak incelenmesi gerekir. Casus yazılımlar ve tuş kaydediciler, kimlik bilgilerini ve verileri sessizce dışarı sızdırır; bunlar ağ izleme ve EDR işlem incelemesiyle algılanabilen davranış göstergelerine sahiptir. LSASS'ı hedefleyen Mimikatz gibi kimlik bilgisi dökümü araçları ise Windows Credential Guard ve Protected Users grup ilkeleriyle etkisizleştirilebilir. Sırada dosyasız kötü amaçlı yazılımları ve sistemin yerleşik araçlarından yararlanma saldırılarını inceleyeceğiz.