Kötücül Yazılımlar: Virüsler, Solucanlar, Truva Atları, Fidye Yazılımları

Kötü amaçlı yazılım (zararlı yazılım), kasıtlı olarak hasara yol açmak, yetkisiz erişim sağlamak veya sistemleri kesintiye uğratmak üzere tasarlanmış her türlü yazılımdır. Siber suçluların ve devlet destekli aktörlerin başlıca aracıdır.

Virüs, kendisini meşru programlara veya dosyalara ekleyen bir kötü amaçlı yazılımdır. Yayılmak için kullanıcı eylemi gerekir (bulaşmış bir dosyayı açmak). Çalıştırıldığında kendini çoğaltır ve dosyaları bozabilir, veri çalabilir veya arka kapılar açabilir.

Solucan, insan etkileşimi olmadan ağlara yayılan ve kendini çoğaltan bir kötü amaçlı yazılımdır. Ağ hizmetlerindeki güvenlik açıklarından yararlanır. Ünlü örnekler: WannaCry (SMB), Conficker ve Morris Solucanı.

Truva atı, kendisini meşru yazılım gibi gösterir. Virüslerin aksine kendini çoğaltmaz; onu yüklemesi için kullanıcıya güvenir. Yüklendikten sonra arka kapılar oluşturabilir, veri çalabilir veya ek kötü amaçlı yazılımlar (indiriciler) indirebilir.

Fidye yazılımı, kurbanın dosyalarını şifreler ve şifre çözme anahtarı karşılığında ödeme ister. Modern fidye yazılımı operatörleri şifrelemeden önce verileri dışarı da aktarır (çifte şantaj) ve fidye ödenmezse verileri yayımlamakla tehdit eder.

Örnekler: LockBit, REvil, Conti, WannaCry.

Casus yazılım, kullanıcı etkinliklerini — tuş vuruşlarını, ekran görüntülerini ve tarama geçmişini — gizlice izler ve saldırgana gönderir. Reklam yazılımı, çoğunlukla ücretsiz yazılımlarla birlikte gelen istenmeyen reklamlar gösterir. Her ikisi de diğer kötü amaçlı yazılım türleriyle birleştirilebilir.

Bir kök kullanıcı takımı, işletim sistemi çekirdeğini veya önyükleyiciyi değiştirerek kendi varlığını ve diğer kötü amaçlı yazılımların varlığını gizler. Kök kullanıcı takımlarını tespit etmek son derece zordur; çünkü onları bulmak için kullanılan araçların kendisini etkisizleştirirler. Tespit için çoğu zaman çevrimdışı tarama gerekir.

Bir bot ağı, saldırgan (bot yöneticisi) tarafından uzaktan kontrol edilen virüslü makinelerden (botlardan) oluşan bir ağdır. Botlar DDoS saldırıları, istenmeyen ileti kampanyaları, kimlik bilgilerini otomatik deneme ve kripto para madenciliği için kullanılır. Mağdurlar çoğu zaman cihazlarının güvenliğinin ele geçirildiğinden habersizdir.

Dosyasız kötü amaçlı yazılım, dosyaları diske yazmadan tamamen bellekte (RAM) çalışır ve geleneksel dosya tabanlı antivirüslerden kaçar. Çoğu zaman PowerShell veya WMI gibi meşru sistem araçlarını kullanır. Tespit için bellek analizi ve davranış izleme gerekir.

Yaygın bulaşma yolları:

• Kimlik avı e-posta ekleri
• Webden yapılan kötü amaçlı indirmeler
• Güvenliği ele geçirilmiş web siteleri üzerinden otomatik indirme
• Otoparklara bırakılan USB aygıtları
• Güncellenmemiş yazılım güvenlik açıklarından yararlanma

Savunma katmanları:

• EDR — davranışsal tespit ve müdahale
• E-posta filtrelemesi — teslim etmeden önce ekleri yalıtılmış ortamda çalıştırır
• Yama yönetimi — istismar fırsatlarını kapatır
• En az ayrıcalık — kötü amaçlı yazılımın verebileceği zararın kapsamını sınırlar
• Yedekler — fidye yazılımından kurtarma için çevrimdışı kopyalar

Kötü amaçlı yazılım kategorileri arasında virüsler (kullanıcı eylemi gerektirir), solucanlar (kendini yayar), Truva atları (kılık değiştirmiş yazılımlar), fidye yazılımları (fidye karşılığında dosyaları şifreler), kök kullanıcı takımları (OS içinde gizlenir) ve dosyasız kötü amaçlı yazılımlar (bellekte çalışır) bulunur. Savunma; EDR, e-posta filtrelemesi, yama uygulama, en az ayrıcalık ve yedekler gibi katmanlı denetimler gerektirir.