Yazılar

FBI hackerları yakalamak için milyonlarca dolar ödül dağıtıyor

fbi-hackerlari-yakalamak-icin-milyonlarca-dolar-odul-dagitiyorFBI ünlü çok arananlar listesini güncelledi. Ödül olarak dağıtılacak toplam rakam 4.3 milyon dolara ulaştı.

Siber suçlar hem kamu hem de özel sektör için ciddi bir tehdit olmaya devam ettikçe güvenlik güçleri daha radikal çözümler peşinde koşmaya devam ediyor. FBI tehlikeli siber suçlulardan oluşan çok arananlar listesi ile yüzlerce milyon dolar zarar veren suçluları yakalamayı umuyor.

Listedeki siber suçluların yakalanmasına yardım edecek, bilgi verecek kişilere toplamda 4.3 milyon dolar ödül veriliyor. Listede toplamda 15 kişi bulunuyor ve bunların tamamı erkek. Listede bulunup haklarında verilen bilgi karşılığı ödül sunulmayan 5 kişi bulunuyor. Bu 5 kişi Çin’de bulunuyor ve “People’s Liberation Army” üyesi. Yani Çin devleti için çalışan bir hacker ordusuna üyeler.

FBI’ın en çok arananlar listesindeki 5 kişiye göz atalım;

1. Evgeniy Mikhailovich Bogachev – 3 milyon dolar

Bogachev bugüne kadar çok sayıda türevi de çıkan, geniş kitlelerce kullanılan ve milyonlarca kullanıcıya zarar veren Zeus internet bankacılığı trojanını yazan kişi. Bu zararlı yazılım banka hesaplarından para sızdırma, şifre ve diğer kişisel bilgileri ele geçirmeye yarıyor. FBI için en önemli hedef halinde.

2. Nicolae Popescu – 1 milyon dolar

Popescu otomobil satışı yapılan sitelerde düzenlediği sahte açık arttırmalarla tanınıyor. Bu şekilde düzenlediği sahte satışlarla yaklaşık 3 milyon dolar kazandı. 2012 yılında çetesinden altı kişi tutuklansa da kendisi halen aranıyor. Romanya’da olduğu tahmin ediliyor.

3. Alexsey Belan – 100.000 dolar

Belan 2012, 2013 yıllarında Nevada ve California’da faaliyet gösteren iki e-ticaret sitesini hackleyerek tüm verilerini sızdırmıştı. Bu sızdırdığı verileri ise başka siber suçlulara sattı.

4. Peteris Sahurovs – 50.000 dolar

Sahurovs’un yöntemi reklam bannerları aracılığı ile sahte bir otel zincirinin reklamını yapmaktı. Tıklanarak web sitesine gidildiğinde ise ziyaretçilere zararlı yazılım bulaştırıyor ve 50 dolarlık bir fidye istiyordu. İstenen rakamın az olması kurbanları parayı ödeyerek kurtulmaya yöneltiyordu. Bu şekilde yaklaşık 2 milyon dolar kazandı.

5. Shaileshkumar Jain – 50.000 dolar

Jain kurbanlar web sitelerini ziyaret ettiğinde ufak pencereler açarak sistemlerine zararlı yazılım bulaştığı mesajını gösteriyordu. Bu şekilde aslında hiçbir fonksiyonu olmayan sahte yazılımların satışını gerçekleştiriyordu. 2006-2008 yılları arasında bu şekilde yaklaşık 100 milyon dolar kazandı.

Alman parlementosu Bundestag hacklendi

alman-parlementosu-bundestag-hacklendiGeçtiğimiz günlerde hacklenen Alman parlementosu Bundestag’tan çok sayıda veri sızdırıldı.

Bundestag’a yapılan saldırı sonucu siber suçluların iç ağa kadar sızdıkları tespit edildi. İstihbarat birimi dahil olmak üzere çok sayıda birim halen sistemlerde detaylı incelemelerde bulunuyor. Yetkililer iç ağdan çok sayıda verinin de sızdırıldığını doğruladı. Alman parlementosu Bundestag’da 20.000 kullanıcının hesabı bulunuyor.

Saldırıda kullanılan yöntem ise 2014 yılında Alman hükümetine yapılan saldırıyla benzer özellikler gösteriyor. Bu kez veri sızdırmak için kullanılan zararlı yazılım Swatbanker adında bir internet bankacılığı zararlısı. Swatbanker erişilen ağdan çok sayıda veriyi dışarıya çıkarabiliyor. Bunlar arasında spesifik uzantıdaki dosyaların yanı sıra browserda doldurulan formların içeriği, en son ziyaret edilen web siteleri, POST metodu ile gönderilen şifreler gibi detaylar da var.

İncelemelerde saldırganların Alman parlementosunun intranet adresi olan Bundestag.btg alan adını filtreleyerek bu doğrultuda verileri incelediği de göze çarpıyor. Swatbanker zararlısının ise yeni bir varyantı tercih edilmiş. Bu varyantta konfigürasyon dosyası uzaktaki bir C&C sunucusunda değil, zararlı yazılımın üzerine gömülü olarak geliyor. Saldırının arkasında gizli servisler tarafından desteklenen hackerların olduğu hakkında bazı söylentiler dolaşıyor. Rus hackerların, Rus gizli servisi tarafından desteklenerek operasyonu gerçekleştirdikleri iddiaları mevcut.

Çin ve Rusya ulusal güvenlik için teknoloji firmalarına rest çekti

cin-ve-rusya-ulusal-guvenlik-icin-teknoloji-firmalarina-rest-cekiyorArtık Çin’e satılacak donanım ve yazılım ürünlerinin kaynak kodları Çin hükümetine teslim edilecek.

Çin hükümeti devreye aldığı yeni regülasyonlar sayesinde kritik kurumlara satılan yabancı ürünlerin kaynak kodlarını talep ediyor. Örneğin bir Çin bankasına satışı yapılan yabancı yazılımın kaynak kodu devlete teslim edilecek ve bu kod üzerinde olabilecek arka kapılara karşı kaynak kod analizi gerçekleştirilecek.

Çin hükümetinin yayınladığı doküman yaklaşık 22 sayfadan oluyor. Yeni regülasyonlar 2014 yılı sonunda kabul edilerek yürürlüğe girdi. Burada amaç kritik önemdeki sektörlerde Çin’in siber güvenlik altyapısını güçlendirmek. Diğer yandan bu yeni kurallar bütünü ABD’li firmaları büyük fırsatlar içeren Çin pazarına girememek konusunda endişelendiriyor. ABD Ticaret Odası yaptığı açıklamada Çin’li yetkilileri diyaloga çağırarak bu durumun Çin’in büyük oranda milli ürünleri kullanması ile sonuçlanacağını belirtti.

Tek çekince bu değil. Diğer bir çekince ise satışı yapılacak donanım/yazılımların kaynak kodları teslim edildikten sonra Çin’in siber savaş komutanlığı olan PLA’in bunları inceleyerek zero day güvenlik açıklarını tespit etme ihtimali. Bu durumda ABD ürünlerinin kaynak kodlarını inceleyen Çin, ABD’de bu ürünlerin kullanıldığı ağlara izinsiz erişebilir. ABD’li üreticiler ise teslim edecekleri kaynak kodlarının Çin’li teknoloji firmalarına sızdırılabileceği için endişeli görünüyor. ABD ile aynı ürünlerin ucuz versiyonlarını üretmekle ünlü oldukları için ABD’li üreticiler teknolojilerinin kopyalanmasını istemiyorlar. Çin’in hedefi 2019 yılına gelindiğinde ulusal güvenliği ilgilendirebilecek altyapıların %75’inde Çin menşeili ürünler kullanmak.

Rusya’da Çin’in benzeri bir planı devreye sokarak 1 Ocak 2015 itibarı ile yabancı ürünlerin kritik altyapılarda kullanılmasının önüne geçme kararı aldı. Hatta bu adımı ileri götürerek bazı kritik toplantılarda hazırlanan tutanakların bilgisayar yerine mekanik daktilolar ile kağıda dökülmesi kararı almıştı.

Türkiye ise ulusal güvenlik açısından ABD, Fransa, İsrail ve Çin’li üreticilere teslim gözüküyor. En kritik altyapılarda bile ana bileşenler ağırlıklı olarak bu dört ülkedeki üreticiler tarafından hazırlanıyor.

Android telefon ile ATM cihazı hacklemek

android-telefon-ile-atm-cihazi-hacklemek-2Siber suçlular ATM cihazlarını hackleyerek akıllı telefon yardımıyla para çekmek için yeni yöntemler keşfediyor. ATM cihazlarına fiziksel olarak bağlanan telefon, uzaktan verilen komutlarla ATM cihazını yöneterek istenilen anda, istenilen şartlarda kartuşlarda bulunan paranın çekilebilmesine olanak sağlıyor.

Bu iş için gerekli olanlar boyutça ufak bir Android çalıştıran cep telefonu, USB kablosu ve USB devre kartı. Bu saldırı tekniği şu an için sadece NCR marka ATM cihazlarında başarıyla çalışıyor. Şu ana kadar NCR’ın haberdar olduğu kadarıyla bu saldırı türü kullanılarak 2 ATM soygunu gerçekleştirildi.

Firma bu gelişmeler üzerine bir firmware güncellemesi yayınlayarak cihazlardaki para kartuşları ile sistem arasındaki iletişimin şifrelemesini iyileştirdi. Güncellemenin diğer bir yaptığı ise bir kere bu versiyona geçildikten sonra geriye dönülememesi. Geriye dönülmesi halinde tekrar güvenlik riski meydana geliyor.
android-telefon-ile-atm-cihazi-hacklemek
NCR’ın konu ile yaptığı yorum saldırının oldukça ucuz, basit ve etkili olduğu yönünde. Eğer hangi komutları vereceğinizi biliyorsanız ATM’leri hacklemek oldukça basit. ATM cihazlarının halen gelişime ihtiyacı olduğu açık.

 

Rus hacker grubu Anurak hızla ilerliyor

rus-hacker-grubu-anurak-hizla-ilerliyorOnlarca milyon dolar, kredi kartları ve gizli bilgiler yeni bir hacker grubunun eline geçti.

Rus hacker grubu Anurak 2013’den beridir aktif olarak saldırılarda bulunuyor. Anurak başta bankalar ve ödeme sağlayıcılar olmak üzere perakende sektörü, medya kuruluşlarını hedef alan bir hacker grubu. Grubun stratejisi bankalar, ödeme sağlayıcıların müşterilerini hacklemek yerine bu firmaların kendilerini hacklemek üzerine. Firmaların iç ağlarına erişim sağlayıp veri sızdırıyorlar. Eğer sızdıkları yer bir devlet sistemi ise bu sefer onu casusluk amacıyla kullanarak veri topluyorlar.

Siber mafyanın her tarzda bilgiyi paraya dönüştürebildiği çağda hem banka hesabı soyan, hem kredi kartı bilgisi çalıp, hem de devletlere ait verileri çalan bir hacker grubu şaşırtıcı gözükmüyor. Anurak hackerları sızdıkları firmanın iç ağında önce sistem yöneticisi ve IT ekibinden kilit kişilerin sistemlerini hedef alıyor. Bu anahtar kullanıcıların sistemlerine sızarak hareketlerini kaydedip yaptıkları işi ve yapıyı anlamaya çalışıyorlar. Sonrasında ise tüm e-posta trafiğini izlemeye başlayarak cihazların ayarlarını değiştirerek tüm ağı uzaktan yönetmeye başlıyorlar.

Bu yönetim öyle planlı bir şekilde yapılıyor ki Anurak hacker grubu üyeleri hackledikleri ATM cihazı yönetim sistemine uzaktan zararlı yazılım bulaştırarak kontrolleri altına alıyorlar. İstedikleri zaman uzaktan tetikleyerek bu cihazlardan para çekebiliyorlar.

Anurak’ın faaliyetleri aşağıdaki gibi ilerliyor;

  • Anurak hacker grubu dünya çapında 50’den fazla banka, 5 ödeme sağlayıcı, 16 perakende firmasını hackledi
  • 2013 yılından beridir aktif olan hacker grubu sadece son altı ay içinde 17 milyon dolar kazandı
  • Bir ağa sızıp bilgileri nakite dönüştürene kadar geçen süre ortalama 42 gün
  • Anurak hacker grubu halen faaliyet halinde

Northern Gold çetesini gözünü online bankacılığa dikti

northern-gold-cetesi-gozunu-online-bankaciliga-diktiRus siber suç çetesi Northern Gold, dünya üzerinde 500 binin üzerinde sisteme zararlı yazılım bulaştırarak Avrupa ve ABD’deki büyük banka müşterilerinin şifrelerini ele geçiriyor.

Çetenin 2008 yılından beridir aktif olduğu biliniyor. Northern Gold çetesi genellikle Qbot zararlı yazılımını kullanarak kurbanların bilgisayarlarına sızıyor. Bu şekilde kullanıcı şifreleri dahil olmak üzere çok sayıda kişisel bilgiyi toplayan şebeke, en önemlisi 800 bin kez para transferi gerçekleştirdi.

Çete zararlı yazılımı yaymak için oldukça etkin bir yol seçti. Çeşitli popüler WordPress tabanlı web sitelerinin yönetim şifrelerini siber mafyanın etkin olduğu platformlardan birinden satın aldı. Daha sonrasında bu web siteleri üzerine zararlı yazılım yerleştirilerek ziyaretçilere bulaştırıldı. Bu sitelerle ilgili şifreleri toplamak ise oldukça kolay. Basit bir yazılım sürekli WordPress sitelerini tarayarak çok kullanılan şifrelerle giriş yapmaya çalışıyor. Bu Brute Force saldırısı bazen beklenildiğinden daha etkili olabiliyor.

Zararlı yazılım Java, Flash, PDF veya Internet Explorer gibi popüler yazılımlara ait zayıflıkları istismar ettikten sonra ara bir zararlı yazılım kuruyor. Sonrasında ise Dropper yardımı ile final olarak esas çalıştırılacak zararlı yazılım bankacılık bilgileri gibi operasyonları gerçekleştiriyor.

Northern Gold’un kurduğu bi organizasyon daha yıllar boyu şartlara göre güncellenerek devam edeceğe benziyor.

Zeus’un babası Kronos kendini gösterdi

zeus-babasi-kronos-kendini-gosterdiZeus, Gozi, Citadel gibi internet bankacılığı ve finans sektörü odaklı zararlı yazılımların domine ettiği pazara yeni olduğu kadar iddialı bir oyucu daha katıldı. Bu pazardan pay kapmaya çalışanların piyasaya sürdüğü yeni Kronos zararlı yazılımı Rus siber mafya tarafından 7000 dolar fiyatla satışa sunuldu.

Bir Rus sitesinde satışa sunulan yeni zararlı yazılımın teknik kabiliyetleri günümüz standartlarını karşılıyor;

– Genel şifre, hesap bilgisi çalma özellikleri. Form yakalama, Internet Explorer, Firefox, Chrome gibi browserları destekleyen HTML injection yeteneği.

– Diğer Trojanlardan korunmak için 32 bit ve 64 bit user-mod rootkit.

– Antivirus atlatma özelliği.

– C&C komuta kontrol sunucusuyla şifreli haberleşme.

– Sandbox atlatma özelliği.

Diğer iddialı finans odaklı zararlı yazılımlarda olduğu gibi bu projede de amaçlardan biri zararlıyı inceleyecek kişilerin işini zorlaştırmak. Diğer yandan örneğin Kronos’un HTML injection mekanizması Zeus ile birebir uyumlu yapılmış durumda. Burada amaçlanan Zeus trojan kullanıcılarının Kronos’a geçişini sağlamak. Enteresan bir tesadüf ise Yunan mitolojisinde Kronos, Zeus’un babası olarak geçiyor.

İşin finansal tarafında ise Kronos zararlı yazılımı yaklaşık 7000 dolardan alıcı buluyor. Kronos’u satanlar bir haftalık deneme süresi için test sunucusunu 1000 dolar karşılığında hizmete açabiliyorlar. Ödeme için ise Perfect Money, Bitcoin, WMZ, BTC-E.com kabul ediliyor. Kronos sürekli geliştirilecek ve duruma bakılırsa uzun yaşam süresine sahip olacak bir trojan. Bu yüzden geliştiricileri yeni yamaların ücretsiz sağlanacağını ve sürekli yeni modüller ekleneceğini özellikle belirtiyorlar.

Zeus alternatifi bankacılık trojanı Pandemiya iddialı geldi

Bir süredir hybrid bankacılık zararlı yazılımlarının yükselişe geçtiği malum. Fakat yine de Zeus’a güçlü bir alternatif bekleyişi hakimdir. Bu uzun sürmedi ve Zeus’a alternatif olabilecek güçlü bir zararlı yazılım olan Pandemiya ortaya çıktı.

Pandemiye trojanının en temel paketi 1500 dolar gibi bir rakama satılıyor. Eğer ek modüller alırsanız bu rakam 2000 doları bulabiliyor. Zararlı yazılım bir bankacılık trojanında olması gereken her türlü gelişmiş özelliğe sahip. Bunlar arasında dosya yakalama, antivirus atlatma, veri çalma, ekran görüntüsü yakalama, C&C merkeziyle şifreli iletişim gibi özellikler var. Pandemiya zararlısı modüler şekilde geliştirilmiş adeta iddialı bir yazılım projesi gibi. Eklenti sistemi sayesinde istenen özellikler ana yazılıma kazandırılabiliyor.

Bu arada özellikle belirtmek gereken konu Pandemiya’nın sıfırdan yazılan bir trojan olduğu. Yani Zeus, Citadel, Carberp vb. diğer bankacılık zararlı yazılımlarıyla ortak bir kod paylaşmıyor. Pandemiya kodlanırken bir yıl içerisinde 25.000 C kodu yazılmış. Bu da ciddi bir efor anlamına geliyor. Developer veya developerların ana hedefi ise zararlının tespit edilmesini olabildiğince güçleştirmek. Özellikle son olarak yürütülen uluslararası Gameover/Zeus operasyonundan da ders alan developer alıntı kod kullanmamak ve zararlının analiz sürecini uzatarak kodu korumak için büyük bir çaba göstermiş.

Pandemiya’nın ek ücretle sunulan eklentileri arasında ise reverse proxy, FTP stealer, PE infector gibi modüller bulunuyor. Bunun dışında gizli RDP, Facebook spreader gibi henüz test aşamasında olan eklentiler de mevcut.

Bakalım ileriki zamanlarda Pandemiye Türkiye ve bulunduğu bölgede ne derece yayılacak. Son aylarda MITB (Man in the Browser) saldırılarının, bankacılık şifresi ileten cep telefonu zararlılarının kol gezdiği ülkemizdeki siber suçlular bunu ne zaman değerlendirecek.

zeus-alternatifi-bankacilik-trojani-pandemiya-iddiali-geldi

Internet bankacılığı zararlısı Zeus ve Carberp güç birleştirdi

internet-bankaciligi-trojani-zeus-ve-carberp-guc-birlestirdiYeni bir internet bankacılığı trojanı dünya çapında 450’nin üzerinde finansal kurumu tehdit etmeye başladı. Bu yeni internet bankacılığı trojanı Zeus ve Carberp zararlı yazılım ailesinin özelliklerini birleştirebilmiş olmasıyla öne çıkıyor.

Yeni zararlı yazılım Zberp sistemlerden hedeflenmiş verileri sızdırıyor, ekran görüntüleri alarak bunları iletiyor, SSL sertifikalarına müdahale ederek online formlara girilen verileri yakalıyor, FTP ve POP3 şifrelerini ele geçiriyor, MITB tekniğiyle kullanıcı ile browser arasına girerek oturumları değiştirebiliyor. Yeni zararlının bunun dışında da özellikleri bulunuyor ve yapı olarak oldukça komplike bir internet bankacılığı odaklı zararlı yazılım.

Zberp ileri seviye obfuscation ve evade detection özellikleriyle kendisini gizleyerek antivirus yazılımlarını atlatabiliyor. Aynı zamanda uzaktan, C&C sunucusu yardımıyla kendisini statik veya dinamik olarak değiştirebilme yeteneğine de sahip. Zberp’in faydalandığı zararlı yazılımlardan Zeus’un kaynak kodu yıllar önce bir web sitesinde yayınlanmıştı. Zberp, Zeus’un evade detection, konfigürasyon dosyalarını gönderirken stegonography’den faydalanma gibi özelliklerini alırken sisteme yerleşme tekniklerini ise Carberp’ten almış gözüküyor.

İşin korkutucu yanlarından biri ise Zberp zararlı yazılımı günler önce keşfedildiğinde, bilinen neredeyse hiçbir antivirus yazılımı bu zararlıyı tespit edemiyordu.

Internet bankacılığında ATSEngine tehditi

ATSEngine, dünyanın en ünlü internet bankacılığı zararlı yazılımlarından Zeus ile birlikte çalışıyor. Dinamik şekilde web inject yapabilen yazılım tüm botlara yeni configleri göndermeyi kolay hale getirmiş durumda.

Web inject yöntemi ise kullanıcı internet bankacılığı hesabına giriş yaptığında aktive edilen, man-in-browser tekniğiyle kullanıcı ile banka arasındaki iletişimi manipüle ederek para transferi imkanı sağlayan bir yöntem. ATSEngine’ın Zeus’un yaptığı standart web injectlerden farkı statik bir web sayfasını değiştirmekten çok daha fazlasını yapabilmesi. Örnek olarak kullanıcı tarafından girilebilecek özelleştirilmiş web injectler, pop-up pencereleri, tokenları ele geçirmek için gönderilebilecek istekler sayılabilir.

Yazılım bir de Jabber üzerinden uyarı gönderme yeteneğine sahip. Bu özellik ise suçluya kurbanın bankacılık hesabına girdiğinde anında haber verilmesini sağlıyor. Zeus’un VNC özelliği sayesinde ise suçlu kurbana bağlanıp transferi gerçekleştiriyor.

Hesaplar;

internet-bankaciliginda-atsengine-tehditi-1

Raporlar;

internet-bankaciliginda-atsengine-tehditi-2

Jabber;

internet-bankaciliginda-atsengine-tehditi-3

Özelleştirilmiş kurallar;

internet-bankaciliginda-atsengine-tehditi-4