Çok sayıda antivirus firması ABD ve İngiltere’nin hedefinde

Yaşanan Kaspersky’nin hacklenmesi olayından sonra kriz daha da derinleşiyor. Şimdi de sadece Kaspersky değil, çok sayıda antivirus üreticisinin gizli servislerin takibinde olduğu ortaya çıktı.

Edward Snowden’ın yayınladığı yeni bilgilerde gizli servisleritn antivirus üreticilerine dair ilgisi açıkça görülüyor. Hem ABD’li NSA, hem de İngiliz GCHQ gizli servislerinin antivirus üreticilerinin e-postalarını takip ettiği ortaya çıktı. E-postaları takip eden her iki gizli serviste gelen yeni zararlı yazılım ihbarlarını, zararlı yazılım örneklerini inceleyerek kendi casusluk yazılımlarını ona göre güncelliyor. Amaç antivirus uygulamalarına yakalanmayan zararlı yazılımları hızlı şekilde üretebilmek.

cok-sayida-antivirus-firmasi-abd-ingiltere-hedefinde-2 Çok sayıda antivirus firması ABD ve İngiltere'nin hedefinde

Ortaya çıkan dokümanlarda geçtiğimiz haftalarda hacklenen Kaspersky için “GCHQ’nun sistem ve ağlara sızmayı sağlayan yazılımlarını engelleme çabasına devam ediyorlar. Ama yapılan ters mühendislik çalışması sayesinde antivirus yazılımını exploit ederek bypass etmeyi başardık” şeklinde bahsediliyor. NSA’in “PROJECT CAMBERDADA” adını verdiği operasyonda ise 24 antivirus firmasının gizli servisin takibinde olduğu görülüyor.

Listelenen firmalardan Bitdefender, ESET, Avast, AVG ve F-Secure gibi firmalar yıldızı parlayan hedef olarak seçilenlerden. Merkezi ABD’de bulunan McAfee, Symantec ve İngiliz firma Sophos ise ilginç biçimde listede yok. Sophos, Symantec ve McAfee tüm dünyada kullanılıyor ve gizli servislerin takibinde olmaması düşündürücü. Yine aynı şekilde TrendMicro’da listede bulunmuyor.

Alman parlementosu Bundestag hacklendi

alman-parlementosu-bundestag-hacklendi Alman parlementosu Bundestag hacklendiGeçtiğimiz günlerde hacklenen Alman parlementosu Bundestag’tan çok sayıda veri sızdırıldı.

Bundestag’a yapılan saldırı sonucu siber suçluların iç ağa kadar sızdıkları tespit edildi. İstihbarat birimi dahil olmak üzere çok sayıda birim halen sistemlerde detaylı incelemelerde bulunuyor. Yetkililer iç ağdan çok sayıda verinin de sızdırıldığını doğruladı. Alman parlementosu Bundestag’da 20.000 kullanıcının hesabı bulunuyor.

Saldırıda kullanılan yöntem ise 2014 yılında Alman hükümetine yapılan saldırıyla benzer özellikler gösteriyor. Bu kez veri sızdırmak için kullanılan zararlı yazılım Swatbanker adında bir internet bankacılığı zararlısı. Swatbanker erişilen ağdan çok sayıda veriyi dışarıya çıkarabiliyor. Bunlar arasında spesifik uzantıdaki dosyaların yanı sıra browserda doldurulan formların içeriği, en son ziyaret edilen web siteleri, POST metodu ile gönderilen şifreler gibi detaylar da var.

İncelemelerde saldırganların Alman parlementosunun intranet adresi olan Bundestag.btg alan adını filtreleyerek bu doğrultuda verileri incelediği de göze çarpıyor. Swatbanker zararlısının ise yeni bir varyantı tercih edilmiş. Bu varyantta konfigürasyon dosyası uzaktaki bir C&C sunucusunda değil, zararlı yazılımın üzerine gömülü olarak geliyor. Saldırının arkasında gizli servisler tarafından desteklenen hackerların olduğu hakkında bazı söylentiler dolaşıyor. Rus hackerların, Rus gizli servisi tarafından desteklenerek operasyonu gerçekleştirdikleri iddiaları mevcut.

Kaspersky görülmemiş bir yöntemle hacklendi

kaspersky-gorulmemis-bir-yontemle-hacklendi Kaspersky görülmemiş bir yöntemle hacklendiDünyaca ünlü antivirus ve bilgi güvenliği yazılımları üreticisi Kaspersky şimdiye dek görülmemiş bir operasyonla hacklendi.

Kim olduğu bilinmeyen, Kaspersky iç ağına kadar sızan siber suçluların Duqu benzeri bir zararlı yazılım kullandıkları biliniyor. Kaspersky’nin araştırmalarında saldırının ileride derecede karmaşık olduğunu ve neredeyse görünmez biçimde gerçekleştirildiği ortaya çıktı. Yapılan incelemelerde bu tarz bir operasyonu yapmanın yönetim ve diğer kısımlar dikkate alındığında 10 milyon doların üzerinde bir maliyeti olduğu ortaya çıkıyor.

Saldırganlar iç ağa sızmak için sistemlerde üç ayrı zero day açığından faydalandılar. Dolayısıyla bu saldırılar sırasında bazı izler de bıraktılar. Zararlı yazılım Kaspersky iç ağında MSI (Microsoft Software Installer) kullanılarak dağıtıldı. MSI genellikle sistem yöneticileri tarafından Windows sistemlere uzaktan yazılım kurmak için kullanılıyor. Saldırı sonucu bazı izlere ulaşılsa da, saldırganlar ağ içerisinde hareket ederken hiçbir dosya bırakmayarak, ayar değiştirmedi. Bu da hack olayının tespitini oldukça zor hale getirdi.

Planlama, ileri düzeydeki teknik kapasite göz ealındığında 2011 yılındaki Duqu saldırısını yapan kişilerle aynı olduğu ortaya çıkıyor. Büyük ihtimalle bu zararlı yazılımın da üretilmesinde bir gizli servisin büyük payı var. Kaspersky uzmanlarınca ağlarındaki bu zararlının keşfi ise hayli ilginç. Uzmanlar yeni antivirus ürünlerini kendi ağlarında denerken bazı garipliklerle karşılaşıyorlar. Araştırma derinleştirildikçe kullanılan üç ayrı zero day açığının da yamaları tamamen yapılmış Microsoft sistemlerde kullanıldığını farkediliyor. Kaspersky’nin yaptığı açıklamaya göre saldırganlar sadece bilgi güvenliğiyle ilgili ar-ge çalışmalarının yapıldığı sunucular, satış pazarlama ve hukuk departmanlarını hedef aldı. Amaçlarının ise tam olarak ne olduğu bilinmiyor.

NSA cep telefonu kullanıcılarını hareketinden tanıyacak

nsa-cep-telefonu-kullanicilarini-hareketinden-taniyacak NSA cep telefonu kullanıcılarını hareketinden tanıyacakSadece cep telefonu ekranında gezinen parmaklarınızın hareketleri bile sizi tanımaya yetiyor. NSA’in kullandığı yeni teknik kulağa bilim kurgu gibi gelse de işleyen bir model.

ABD Ulusal Güvenlik Teşkilatı NSA’in ortaya çıkardığı yeni teknoloji akıllı telefon ekranındaki parmak hareketleriniz, yazı yazışınızı analiz ederek sizin kim olduğunuzu tanıyabiliyor. Bu teknolojiyi geliştirmede ise NSA, Lockheed Martin’den yardım alıyor. İsmine “Mandrake” denilen bu teknoloji uzaktan ekran üzerinde gezen parmağınızın hareket hızı, hızlanma anını analiz edebiliyor.

Bu bilgi bir nevi tekil bilgi. Yani kimse akıllı telefon ekranı kullanırken tamamen aynı hız, stil, tarzda kullanmıyor. Belki el yazısında taklit etme ihtimali var fakat akıllı telefon ekranı işleri oldukça komplike hale getiriyor. Aslında teknolojinin dayanağı ABD Hava Kuvvetlerinin 1978 yılında Pentagon için geliştirdiği biyometrik el yazı izi teknolojisine benziyor. Aynı zamanda NSA, akıllı telefon ekranı kullanımının geleneksel şifreden çok daha iyi bir alternatif olduğunu düşünüyor.

NSA’in teknolojiyi operasyonlarında hedef aldığı bazı kişilere karşı kullandığı biliniyor. Diğer yandan ortaya çıkan bilgiler geçmişte Google ve Samsung uygulama mağazalarını hackleyerek casus yazılım yerleştirmeyi düşünen NSA’in bu yapıyı geniş kitleler üzerinde kullanmayı da istediğini gösteriyor.

Sadece NSA değil, FBI’ın da benzer konularda yine Lockheed Martin ile işbirliği var. FBI’ın 1 milyar dolarlık NGI (Next Generation Identification System) adını verdiği sistemi insan yüzü, parmak izi, retina, dövme şeklinden kişileri tanımlayabiliyor. Lockheed Martin’in diğer bir hedefi de ismine Gait denilen kişileri sadece yürüyüşlerinden tanımlayan sistemle birlikte NGI’ı entegre etmek.

Tox ile üç aşamada zararlı yazılım üretmek

Ülkemizde de son dönemde oldukça popüler olan Ransomware zararlı yazılımları üretmek oldukça kolaylaştı. Verilerin şifrelenip para talep edildiği bu yazılımlardan Tox siber yeraltı dünyasına hızlı bir giriş yaptı.

Yeni Ransomware üretme kiti ortaya çıkalı fazla bir zaman olmadı. 19 Mayıs’ta başlayan servis oldukça ilgi görüyor. Yazarları Tox’u şöyle ifade ediyor; “Geliştirdiğimiz virüs Windows işletim sisteminde açıldığında tüm dosyaları şifreliyor. Şifreleme tamamlandıktan sonra ise bir uyarıyla birlikte ücretin ödenmesi için Bitcoin adresini kullanıcıya gösteriyor”

tox-ile-uc-asamada-zararli-yazilim-uretmek_2 Tox ile üç aşamada zararlı yazılım üretmek

Tox üyelik sistemiyle çalışıyor. Siber suçlular kendi viruslerini üretmek için bu servise kayıt oluyorlar. Üstelik bu virusu oluşturmak oldukça basit üç adımdan oluşuyor;

1. Dosyaları şifrelenen kişiden talep edilecek ücret

2. Mesaj

3. Captcha’nın girilmesi

Tox’u yazan kişiler aynı zamanda Tox aracılığıyla alınan paralardan %30 gibi bir yüzde de alıyorlar. Yani şifrelenen dosyalar için 1000$ ücret isteniyorsa bunun 300$ kadar kısmı Tox’u yazanlara gidiyor. Zararlı yazılım anonimliği garanti altına almak için Bitcoin transferlerini Tor üzerinden gerçekleştiriyor. Tox ile üretilen zararlıların antivirusler tarafından tanınma oranı ise hayli düşük. Yazılımı geliştirenler bununla övünüyor.

tox-ile-uc-asamada-zararli-yazilim-uretmek Tox ile üç aşamada zararlı yazılım üretmek

Tox’un ürettiği zararlı yazılım MinGW ile derleniyor. Bulaştığı sistemde dosyaları şifrelerken ise AES şifreleme ve Crypto++ kütüphanesini kullanıyor. Microsoft CryptoAPI ise anahtar üretmek amacıyla tercih edilmiş.

Türkiye’de henüz Tox kullanımına rastlamadık. Fakat ileriki zamanlarda hem Tox, hem de benzer servislerin Türkiye’ye de uyarlanacağını tahmin etmek zor değil.

SCADA sistemlere yönelik tehditler

SCADA terimi “Supervisory Control And Data Acquisition” kelimelerinin baş harflerinden oluşmuştur. Türkçe diline “Kontrol ve Veri Toplama Sistemi” olarak çevirilebilir. Haberleşme cihazları, bilgisayarlar, algılayıcılardan ve diğer tüm aygıtlardan oluşturulmuş hem denetlenebilen hem de kontrol edilebilen sistemleri tanımlar.

SCADA öyle kritik bir alan ki petrol, doğalgaz, nükleer güç, hidroelektrik, gaz yağı, kimyasal madde, boru hatları, elektrik gibi kritik altyapılara dair tüm alanlarda kullanılmakta. Buna rağmen SCADA ürünlerini hazırlayan firmalar güncel bilgi güvenliği tehditleriyle paralel bir gelişim göstermiyorlar. Geçmişte ve bugün siber savaşın önemli bir parçası olan SCADA bileşenleri her zamankinden daha önemli. Keşfedilen güvenlik açıkları ülkelerin ulusal güvenliklerini dahi tehdit edebiliyor.

SCADA sistemlerin normalde internete açık olmaması gerekirken biraz araştırıldığında ilginç veriler ortaya çıkabiliyor.

1997 yılında iki taneyle başlayarak keşfedilen SCADA güvenlik zafiyetleri sayısı yıllar içerisinde ciddi bir ivmeyle artarak devam ediyor.

scada-sistemlere-yonelik-tehditler-1 SCADA sistemlere yönelik tehditler

Üreticilere göre keşfedilen zayıflık sayısına baktığımızda Siemens liderliği elinden bırakmıyor.

scada-sistemlere-yonelik-tehditler-2 SCADA sistemlere yönelik tehditler

Yıllara göre bakıldığında internete açık SCADA sistemlerde dışarıdan tespit edilebilen güvenlik açıkları ciddi bir artış gösteriyor. Şu anda yaklaşık 146.000 kadar internetten erişilebilir SCADA sistem bulunuyor. Bu rakamlara göre Internetten erişilemeyen fakat iç ağdan gelebilecek tehditlere karşı savunmasız sistemlerin de ne derece ciddi sayılarda olacağını tahmin etmek mümkün. Internete açık SCADA sistemlerin çoğu ABD’de, onu büyük SCADA üretici firmaların çıktığı Almanya takip ediyor. Türkiye ise internet açık 1402 SCADA sistem ile alt sıralarda. Fakat bu rakam bile oldukça ciddi.

scada-sistemlere-yonelik-tehditler-3 SCADA sistemlere yönelik tehditler

İncelendiğinde internete açık SCADA sistemlerden 15.000 kadarında güvenlik zafiyetleri olduğu göze çarpıyor. Burada ilk üçü ABD, Fransa, Almanya paylaşırken Türkiye’nin internete açık SCADA sistem sayısına oranla çok daha fazla güvenlik açığına sahip olduğu görülüyor.

scada-sistemlere-yonelik-tehditler-4 SCADA sistemlere yönelik tehditler

Ekran kartına zararlı yazılım, keylogger gizlemek

ekran-kartina-zararli-yazilim-keylogger-gizlemek Ekran kartına zararlı yazılım, keylogger gizlemekGüvenlik araştırmaları yapan bir ekip ismine Jellyfish dedikleri herhangi bir şekilde yazılımla tespit edilemeyen zararlı yazılımı GPU üzerine yerleştirmeyi başardılar.

Günümüz saldırıları gittikçe sofistike hale geliyor. Bunları engellemek zorlaştığı gibi tespit etme aşaması bile artık hayli güç. Ekran kartının grafik işlemci ünitesi GPU üzerine yerleştirilen Jellyfish zararlı yazılımı bunun son örneği. Bu geleceğin zararlı yazılımı ile GPU üzerinde dijital para birimlerini de üretmek mümkün. Tüm bunlar olurken işletim sisteminde çalışan prosesler veya servisler değiştirilip, müdahale edilmediği için zararlının tespiti de yapılamıyor.

Jellyfish zararlısı Nvidia, AMD ve Intel donanımına sahip ekran kartlarında çalışabiliyor. Böyle bir saldırıda zararlı yazılımı GPU’da çalıştırmak gizlenmek için en az riskli yöntem gibi gözüküyor. CPU çok sayıda güvenlik yazılımı tarafından taranırken, Windows Task Manager veya Process Explorer gibi araçlarla da incelenebiliyor. GPU için ise GPU-Z, GPU Load tarzı uygulamalar bulunuyor. Bunların yaptığı ise basitçe ekran kartlarının performanslarını analiz etmek. Eğer bu yazılımları Visual Studio’ya bağlarsanız ancak o zaman o anda GPU’da çalıştırılan kodu monitör etme şansına sahip olabiliyorsunuz.

Eğer bu tarz bir zararlı yazılımın GPU kullanımına, yüküne bakılarak tespit edilebileceğini düşünüyorsanız yanılıyorsunuz. GPU’ya yerleştirilen zararlı yazılımların getirdiği yük yaklaşık %0.1 kadar. GPU’da çalıştırılan kodlar şu an takip edilemez durumda. Muhtemelen NSA, GCHQ gibi gizli servisler yıllardır bu metodu kullanıyorlar. Çalışır bir örneği herkesin önündeyken gelecekte GPU üzerinden yapılacak saldırıların sadece devletler tekelinde olmayacağı kesin gibi gözüküyor.

7 ay boyunca farkedilmeyen kumarhane soygunu

7-ay-boyunca-farkedilmeyen-kumarhane-soygunu 7 ay boyunca farkedilmeyen kumarhane soygunuKredi kartı bilgileri siber suçluların göz diktiği yegane finansal bilgilerden. Bu kez hedefleri Las Vegas’ta bulunan Hard Rock Hotel & Casino.

Siber suçlular detaylı bir çalışma sonucu Las Vegas’ta bulunan Hard Rock Hotel & Casino’ya sızarak detaylı kredi kartı bilgilerini ele geçirdi. Ele geçirilen bilgiler arasında kredi kartı numaraları, isimler ve adresler bulunuyor. Hard Rock saldırıyı 3 Nisan’da tespit edebildiğini ve 3 Ekim 2014 ile 4 Nisan 2015 arası restoran, bar, alışveriş kısımlarında yapılan işlemlerin etkilendiğini belirtiyor.

Konu halen kısmen de olsa gizemini korumakta. Çünkü Hard Rock’ta kullanılan zararlı yazılımın ne olduğuna dair henüz bir bilgi yok. Zararlı yazılım POS cihazlarında kullanılan manyetik kartlara ait hassas verileri ele geçirmekte kullanıldı. 28 Nisan tarihinde ise siber suçlular bir web sitesinden ele geçirilen kredi kartlarını satmaya başladılar.

Geçtiğimiz haftalarda yapılan Mayweather ile Paquiao arasındaki boks maçının biletlerinin ortalama 86.000 USD olduğu göz önüne alındığında Las Vegas’ta kullanılan kredi kartlarının limitlerinin ne kadar yüksek olduğu beli olacaktır. Bu yüksek limitler siber suçlular için de yüksek kazanç anlamına geliyor.

Kredi kartı okuyucuların neredeyse tamamı aynı şifreyi kullanıyor

kredi-karti-okuyucularin-neredeyse-tamami-ayni-sifreyi-kullaniyor Kredi kartı okuyucuların neredeyse tamamı aynı şifreyi kullanıyorPOS cihazları artık hackerların gözde mecralarından. Yazılan özel zararlı yazılımların yanında diğer POS zayıflıkları da gittikçe daha önemli hale geliyor.

Özellikle perakende sektöründe kilit öneme sahip kredi kartı okuyucularının bir çoğunun 1990 yılından beridir aynı yönetici şifresiyle çalıştığı ortaya çıktı. 166816 ve Z66816 olan bu şifreler uzunca süre önce sızdırılmış olsa da neredeyse kimse bu iki şifreyi POS cihazlarından kaldırmış değil.

Bu iki şifreyi kullanarak saldırganlar POS cihazının kontrolünü tamamen ele geçirebiliyor. Makine üzerindeki işlem yapılan müşterilerin kredi kartı bilgilerini çalabiliyor. Geçmişte ABD’nin büyük perakende zincirleri Home Depot ve Target firmalarından da kredi kartı bilgileri ele geçirilmişti.

Bu tarz ödeme cihazlarında tedarik zinciri üreticinin ürettiği cihazları özel distribütörlere satması, onların da bayilerine satması ve nihayetinde perakandeci firmalara satılmasıyla gelişiyor. Fakat bu tedarik zincirinin hiçbir halkasında bu master code özelliğine sahip şifrenin değişmesiyle ilgili çaba gösterilmemiş durumda. Bunda en büyük etken herkesin POS cihazlarıyla ilgili güvenliğin kendilerinin işi olmadığını düşünmesinde yatıyor. Bu zincirdeki zayıf halka sayesinde zararlı yazılıma bile gerek kalmadan POS cihazlarına erişmek mümkün kılınıyor.

Daha önce hacklenerek içerisine zararlı yazılım, keylogger yerleştirilen POS cihazlarıyla yazılarımıza konu olan Verifone konuyu hafife alan açıklamalarda bulundu. “Bugüne kadar master code kullanılarak hacklenen bir POS cihazı olduğuna dair bilgileri olmadığını” söyleyen şirket sözcüsü “POS cihazını satın alan firmaların bu şifreyi değiştirmesini şiddetle öneriyoruz” diyerek konuyu açıkladı.

Rus hackerlar APT28 ile zero day açıklarını istismar ediyor

rus-hackerlar-apt28-ile-zero-day-aciklarini-istismar-ediyor Rus hackerlar APT28 ile zero day açıklarını istismar ediyorİsmine “Operation Russian doll” adı verilen yeni APT saldırısı kapsamında Adobe Flash ve Windows açıklarının kullanıldığı bir operasyon yürütülüyor.

Devlet kurumlarına karşı gerçekleştirilen bu APT saldırısı Rus hackerlar tarafından gerçekleştiriliyor. Hedefler arasında ABD Savunma Bakanlığı ile çalışan kontratlı üreticiler, Avrupalı güvenlik organizasyonları ve Doğu Avrupa devletlerine ait kamu kurumları var.

Aynı zamanda Rus hackerlar EuroNaval 2014, Eurosatory 2014, Counter Terrror Expo ve Farnborough Airshow 2014 gibi Avrupa savunma fuarlarına katılanları da hedef aldı. APT28 saldırısında Adobe Flash (CVE-2015-3043) ve Windows işletim sistemine ait (CVE-2015-1701) açıklar istismar edildi. Adobe açıklık için geçtiğimiz günlerde yama çıkartsa da Microsoft henüz yama yayınlamış değil. Firma da durumu doğrularken yama üzerinde çalıştıklarını belirtiyor.

APT28 saldırıları öyle ciddi ki 2014 yılının Kasım ayında ABD Dışişleri Bakanlığına yapılan saldırıyla veri sızdırılması ve Beyaz Saray’a ait ağa sızılarak Başkan Obama’nın ajandası gibi kritik bilgilere ulaşılması yine bu Rus saldırı ekibiyle bağlantılı. En önemlisi de hacker grubunun 2013 yılında Türkiye’de Milli Güvenlikle ilgili kamuda çalışan ve gizli sayılabilecek şekilde saklanan bazı kişilerin iletişim bilgilerini ele geçirebilmiş olması.

APT28 saldırılarını gerçekleştiren grup Rus hükümetiyle birlikte çalışıyor. Amaç diğer devletler, çok uluslu firmalara ait sırları Rusya’ya aktarmak. 2007 yılından beridir aktif olan grup ileride daha çok sayıda operasyona imza atacak gibi gözüküyor.