Yazılar

Ekran kartına zararlı yazılım, keylogger gizlemek

ekran-kartina-zararli-yazilim-keylogger-gizlemekGüvenlik araştırmaları yapan bir ekip ismine Jellyfish dedikleri herhangi bir şekilde yazılımla tespit edilemeyen zararlı yazılımı GPU üzerine yerleştirmeyi başardılar.

Günümüz saldırıları gittikçe sofistike hale geliyor. Bunları engellemek zorlaştığı gibi tespit etme aşaması bile artık hayli güç. Ekran kartının grafik işlemci ünitesi GPU üzerine yerleştirilen Jellyfish zararlı yazılımı bunun son örneği. Bu geleceğin zararlı yazılımı ile GPU üzerinde dijital para birimlerini de üretmek mümkün. Tüm bunlar olurken işletim sisteminde çalışan prosesler veya servisler değiştirilip, müdahale edilmediği için zararlının tespiti de yapılamıyor.

Jellyfish zararlısı Nvidia, AMD ve Intel donanımına sahip ekran kartlarında çalışabiliyor. Böyle bir saldırıda zararlı yazılımı GPU’da çalıştırmak gizlenmek için en az riskli yöntem gibi gözüküyor. CPU çok sayıda güvenlik yazılımı tarafından taranırken, Windows Task Manager veya Process Explorer gibi araçlarla da incelenebiliyor. GPU için ise GPU-Z, GPU Load tarzı uygulamalar bulunuyor. Bunların yaptığı ise basitçe ekran kartlarının performanslarını analiz etmek. Eğer bu yazılımları Visual Studio’ya bağlarsanız ancak o zaman o anda GPU’da çalıştırılan kodu monitör etme şansına sahip olabiliyorsunuz.

Eğer bu tarz bir zararlı yazılımın GPU kullanımına, yüküne bakılarak tespit edilebileceğini düşünüyorsanız yanılıyorsunuz. GPU’ya yerleştirilen zararlı yazılımların getirdiği yük yaklaşık %0.1 kadar. GPU’da çalıştırılan kodlar şu an takip edilemez durumda. Muhtemelen NSA, GCHQ gibi gizli servisler yıllardır bu metodu kullanıyorlar. Çalışır bir örneği herkesin önündeyken gelecekte GPU üzerinden yapılacak saldırıların sadece devletler tekelinde olmayacağı kesin gibi gözüküyor.

Kredi kartı okuyucuların neredeyse tamamı aynı şifreyi kullanıyor

kredi-karti-okuyucularin-neredeyse-tamami-ayni-sifreyi-kullaniyorPOS cihazları artık hackerların gözde mecralarından. Yazılan özel zararlı yazılımların yanında diğer POS zayıflıkları da gittikçe daha önemli hale geliyor.

Özellikle perakende sektöründe kilit öneme sahip kredi kartı okuyucularının bir çoğunun 1990 yılından beridir aynı yönetici şifresiyle çalıştığı ortaya çıktı. 166816 ve Z66816 olan bu şifreler uzunca süre önce sızdırılmış olsa da neredeyse kimse bu iki şifreyi POS cihazlarından kaldırmış değil.

Bu iki şifreyi kullanarak saldırganlar POS cihazının kontrolünü tamamen ele geçirebiliyor. Makine üzerindeki işlem yapılan müşterilerin kredi kartı bilgilerini çalabiliyor. Geçmişte ABD’nin büyük perakende zincirleri Home Depot ve Target firmalarından da kredi kartı bilgileri ele geçirilmişti.

Bu tarz ödeme cihazlarında tedarik zinciri üreticinin ürettiği cihazları özel distribütörlere satması, onların da bayilerine satması ve nihayetinde perakandeci firmalara satılmasıyla gelişiyor. Fakat bu tedarik zincirinin hiçbir halkasında bu master code özelliğine sahip şifrenin değişmesiyle ilgili çaba gösterilmemiş durumda. Bunda en büyük etken herkesin POS cihazlarıyla ilgili güvenliğin kendilerinin işi olmadığını düşünmesinde yatıyor. Bu zincirdeki zayıf halka sayesinde zararlı yazılıma bile gerek kalmadan POS cihazlarına erişmek mümkün kılınıyor.

Daha önce hacklenerek içerisine zararlı yazılım, keylogger yerleştirilen POS cihazlarıyla yazılarımıza konu olan Verifone konuyu hafife alan açıklamalarda bulundu. “Bugüne kadar master code kullanılarak hacklenen bir POS cihazı olduğuna dair bilgileri olmadığını” söyleyen şirket sözcüsü “POS cihazını satın alan firmaların bu şifreyi değiştirmesini şiddetle öneriyoruz” diyerek konuyu açıkladı.

Kişiselleştirilmiş akıllı keylogger üretmek

Siber suçlular özelleştirilmiş araçlar sunmaya devam ediyorlar. Bu “kendin yap” tarzı araçlar yardımıyla zararlı aktivitelerden kazanılan ekonomi gün geçtikçe daha da ivme kazanıyor.

Sonuncusu bir keylogger bazlı botnet/zararlı yazılım geliştirme aracı. Web tabanlı yapıya sahip bu araç yardımıyla sadece istenilen özellikleri taşıyan keyloggerler yapılandırmak mümkün. Kullanışlı bir arabirime sahip bu zararlı yazılımda hedefe ve operasyona göre çok detaylı ayarlar yapmak mümkün.

Bu web tabanlı zararlı yazılımda sadece keylogging özelliği bulunmuyor. Bunun yanında DDoS fonksiyonu da eklenmiş durumda. Aşağıda bu zararlı yazılımdan bazı ekran görüntüleri bulunuyor.

kisisellestirilmis-akilli-keylogger-uretmek-1

kisisellestirilmis-akilli-keylogger-uretmek-2

kisisellestirilmis-akilli-keylogger-uretmek-3

kisisellestirilmis-akilli-keylogger-uretmek-4

kisisellestirilmis-akilli-keylogger-uretmek-5

 

Nemanja POS zararlı yazılımı 35 ülkede ve hızla yayılıyor

nemanja-pos-zararli-yazilimi-35-ulkede-hizla-yayiliyorOtel, süpermarket, benzin istasyonu ve benzer daha çok sayıda POS cihazı kullanılan yerde Nemanja POS zararlı yazılımı hızla yayılıyor. Ele geçirilen POS sayısı şimdiden 1.500’ü geçmiş durumda.

Mart ayında keşfedilen Nemanja botnet zararlı yazılımı 35 ülkede, 1.500’ün üzerinde POS cihazında aktif durumda. Sırbistanda bulunan bazı siber suçlular tarafından üretilen zararlı yazılım ticari amaçla geliştirilen zararlı yazılımlara benzemiyor. Daha çok hedefli bir saldırı yapmak üzere geliştirilmiş ve amaç dünya çapındaki POS sistemleri. Bu yüzden Nemanja’nın topladığı kredi kartları blackmarket üzerinden farklı sitelere satılarak oradan da dünya çapında diğer satıcılara gidiyor.

Nemanja POS zararlı yazılımını yüklemek için ağa bir kez herhangi bir şekilde erişim sağlamak yeterli. Sonrasında zararlı yazılım aktif olarak C&C merkezi ile iletişim kuruyor. Elbette bu erişim bir güvenlik açığı sonucu olmak zorunda değil. Şirket içerisinde çalışan, insider olarak nitelendirilen kötü niyetli biri de bu yazılımı yükleyebilir. Nemanja da diğer benzerleri olan Alina, BlackPOS, Dexter, JackPOS, VSkimmer gibi keylogger, envanter yönetimi, muhasebe yazılımı algılama, kendi kendini silme gibi özelliklere sahip.

Bu arada Mart ayında keşfedilen Nemanja ancak ilk bulaştığı hedeften 6 ay sonra tespit edilebilmiş. Bu da demek oluyor ki 6 aylık bu kuluçka süresi boyunca şimdi tespit edilemeyen çok sayıda hedefe daha çoktan bulaşmış durumda.

iBanking bot mobil bankacılık zararlı yazılımı

iBanking yeni bir mobil bankacılık zararlı yazılımı ve siber mafya tarafından ortalama 5000 dolar gibi rakamlara satışına başlandı.

Zeus ve Carberp gibi iBanking’de kaynak kodları ile birlikte yayınlanmaya başlandı. Çok sayıda insan kendi özel eklentilerini ve versiyonlarını geliştirmekle meşgul. Özellikle de MaaS yani Malware as a Service olarak yazılımı hizmet olarak satmak şu sıralar popüler.

ibanking-mobil-zararli-yazilim

Bu bot özelliğine sahip zararlı yazılım SMS veya HTTP üzerinden C&C sunucusu yardımıyla kolayca yönetilebiliyor. Bu verilen komutlarla aşağıdaki işlemleri gerçekleştirmek mümkün;

  • Tüm gelen/giden SMS mesajlarını yakalamak
  • Gelen tüm sesli aramaları başka bir numaraya yönlendirmek
  • Gelen/giden/cevapsız çağrıları silmek, kontrol etmek
  • Cihazın mikrofonunu kontrol ederek ses kaydetmek
  • Telefon defterini ele geçirmek
  • URL durumunu yakalamak. Burada amaç MITM yöntemiyle click-fraud tarzı saldırılar düzenlemek.

ibanking-mobil-zararli-yazilim2

iBanking bot mobil zararlı yazılımı aynı zamanda iki aşamalı kimlik doğrulaması kullanan bankacılık sistemlerini de atlatmakta başarılı. Kaynak kodlarının dağıtılıyor olması da herkesin farklı bankalarla ilgili yeni zararlı yazılımlar üretip paketleyerek kullanabileceği anlamına geliyor.

Web tabanlı yeni Keylogger ile şifreler güvende değil

Yeni yayınlanan araç siber suçlular tarafından PHP/MySQL platformunda hazırlanmış, keylogger özelliğine sahip bir zararlı yazılım/botnet olarak tanımlanabilir. Unicode desteği sunan bu zararlı yazılım 50 dolarlık fiyatı ile de dikkat çekiyor.

Aslında bu bir nevi strateji. Bu yazılımı hazırlayan kişi yazılımının çok sayıda rakibinin kısa sürede ortaya çıkacağını bildiğinden henüz pazar daralmadan düşük bir fiyat ile ortaya çıkarak bu keylogger yazılımını piyasaya sürdü. Önümüzdeki haftalarda araçla ilgili yeni güncellemeler yayınlanması planlanıyor.

Web tabanlı yönetim ekranına ait bazı ekran görüntüleri;

web-tabanli-keylogger

web-tabanli-keylogger2

web-tabanli-keylogger3

web-tabanli-keylogger4

Yeni Windows 8 Temalı Şifre Çalan Yazılım

Siber suçlular sürekli yeni araçlar, yöntemler geliştirirken artık bunları şık arabirimlerle de sunmaya gayret ediyorlar. Yeni bir şifre ve oyunların lisans numaralarını çalarak toplayan Windows 8 temalı araç ise hayli dikkat çekici. Bu tema ile elde edilen bilgilerin düzenlemesi ve sunulması daha kolay hale getirilmiş durumda.

Araç elde edilen şifreleri, oyun lisans numaralarını gruplarken diğer yandan kurbanın sisteminde olabilecek güvenlik önlemleri hakkında da bilgilendiriyor. Kullanılan antivirus, spyware, firewall gibi güvenlik ürünleri var mı, eğer varsa hangileri kullanılmış bu yazılımda yer alıyor.

Projenin yönetim panelinden bazı ekran görüntüleri;

windows8-temali-sifre-calan-yazilim

windows8-temali-sifre-calan-yazilim2

windows8-temali-sifre-calan-yazilim3

windows8-temali-sifre-calan-yazilim4

250 dolara kurulabilecek siber suç çetesi

Siber suçluların kullanması için yeni bir crimekit piyasaya sürüldü. Atrax adındaki yeni crimekit sadece 250 dolara gizli haberleşme olanaklarına sahip bir siber suç merkezi olarak hizmet veriyor.

Atrax’ın tüm iletişimi TOR üzerinden sağlanıyor ve komuta kontrol sunucuları da TOR üzerinde çalışıyor. Fakat Atrax’ın gerçek gücü sadece bu değil. Aralarında form yakalama, DDoS modülü, Bitcoin/Litecoin miner, browserlardan veri çalma gibi pek çok özelliğin bulunduğu geniş bir fonksiyon listesi var. Atrax’ın övündüğü diğer bir özelliği ise Windows 8 destekleyen ilk bot çözümü olduğu.

atrax-siber-suc-crimekit-1

Crimekit’in ana komponentinin boyutu yaklaşık 1.2 MB. Bunun sebebi TOR entegrasyonu ve x64/x86 platformları için yazılan kodlar. Web downloader zararlı yazılımlarının ise boyutları 2 KB’ı aşmıyor. Sebebi farkedilmeden, yük getirmeden işini yapmak.

Atrax’ın çok sayıda modülü bulunıyor. Her ek modül siber suçlular tarafından ayrı ücretle satılıyor.

Standart özellikler

– Durdurma
– Güncelleme
– TOR üzerinden download, çalıştırma
– TOR üzerinden download, hafızada çalıştırma
– Plugin yükleme
– Yüklenmiş modül listesi
– Otomatik başlatma
– x86/x64 kodu, heavens gate tekniğiyle x86/x64 kodu inject etme
– Anti analyzer
– Anti debug/Anti hook engine
– GetProcAddressGetModuleHandle gibi şüpheli Windows API kullanımı yok
– Pluginler diske AES-128-CBC ile şifreli, random anahtar
– İletişim TOR üzerinden şifreli gerçekleştirilir. Ekstra bir iletişim biçimi yok
– Tüm plugin ve çekirdek kod işaretli. Herhangi bir sızıntıda güncelleme/destek alınamaz. Tüm destek/güncelleme hizmetleri ücretsizdir.

Eklenti / DDOS

– IPv6 + IPv4 desteği.
– UDP Flood
– TCP Flood
– TCP Connect Flood
– HTTP Slowris
– HTTP RUDY
– HTTP File Download
– Özel saldırı biçimleri talebe göre eklenebilir

Eklenti / Form Grabber

– Firefox, Internet Explorer x86/x64, Chrome SSL HTTP POST grabber
– Anti hook engine
– Özel hook engine
– Test edildi; PayPal, Amazon, Bitcoin.de, Mt.Gox, eBay, Gmail, vBulletin Boards
– SPDY v3 desteği
– Internet Explorer 7/8/9/10 Protected Mode desteği
– Sadece önemli POST form isteklerini yakalar
– Kullanıcı adı/Şifre/Email/Kredi Kartı gibi önemli bilgileri tarar

atrax-siber-suc-crimekit-2

Eklenti / Socks 5 Reverse Proxy

– Bu modül için ikinci bir VPS/dedicated sunucuya ihtiyaç vardır
– Server Java uygulamasıdır ve platform bağımsızdır
– Kimlik doğrulamalı veya doğrulamasız Socks 5
– Görev yöneticisi
– Proxy sunucuda farklı görevler farklı amaçlar için tanımlanabilir
– Reverse Socks olduğu için tüm istemcilerde çalışır

atrax-siber-suc-crimekit-3

Eklenti / Stealer

– Tüm browser versiyonlarından veri çalabilir
– Browserlar; Chrome, Firefox, Safari, Internet Explorer, Opera, FileZilla, Pidgin, JDownloader v1+v2, Gigatribe, Thunderbird, Windowskey, FlashFXP, ICQ, MSN, Windows Live, Outlook, Paltalk, Steak, Trillian, Minecraft, DynDNS, SmartFTP, WSFTP, Bitcoin Wallet (Armory, Bitcoin-Qt, Electrum, MultiBit)
– Duruma göre geliştirici ile görüşülüp yeni eklemeler yapılabilir
– Özel; JDownloader v1/v2, Bitcoin Waller Stealer ile tüm wallet.dat upload edilerek Bitcoin cüzdanları çalınabilir. Internet Explorer 10 + 11’, destekler
– Bitcoin/Litecoin miner.

atrax-siber-suc-crimekit-4

 

atrax-siber-suc-crimekit-5

Fiyatlar

Siber suçluların yeni platformu Atrax’da satışlarla ilgili tüm ödemelerde Bitcoin kabul edildiği göze çarpıyor. Aşağıdaki rakamlar USD karşılıklarıdır.

Standart sistem: 250 USD
Eklenti / DDoS: 90 USD
Eklenti / Form Grabber: 300 USD
Eklenti / Reverse Socks: 400 USD
Eklenti / Stealer: 110 USD
Eklenti / Coin Mining: 140 USD

“Man in the browser” tehditi

man-in-the-browser-internet-bankaciligiSiber suçların hızla arttığı günümüzde bankacılık sektörü, adına Man in the browser denilen saldırı çeşidiyle daha da risk altında. Internet bankacılığı operasyonlarının zayıf karnı platformların sosyal medya, mobil gibi riskli alanlara açılıyor olması. Phishing, sosyal mühendislik gibi tehditler bu yüzden halen revaçta olmayı sürdürüyor. Diğer yandan keylogger içeren zararlı yazılımlar, ekran görüntülerini yakalayıp aktaran zararlı yazılım modülleri de mevcut. Fakat bu etkin zararlı yazılım bulaştırma yolu artık Man in the browser saldırıları için kullanılıyor.

Man in the browser saldırı tekniği diğer tekniklerle bir yönde ayrışıyor. Burada kurbanın şifresini almak yerine kullandığı browser üzerine zararlı yazılım yerleştirilerek saldırı gerçekleştiriliyor. Man in the browser tekniği ile yazılan zararlı yazılım bir browser eklentisi tarzında Active X, Browser eklentisi, Add-on, Plugin, API aracı gibi yüklenebiliyor.

Bir nevi proxy gibi çalışan zararlı yazılım içeren browser eklentisi kullanıcının yaptığı transferleri, değiştiriyor veya hiç gerçekleştirmediği transferleri gerçekleştiriyor. İki aşamalı şifrelerin de korumadığı bu saldırı biçiminde zararlı yazılım para transfer etmek veya diğer işlemler için kullanıcının internet bankacılığına giriş yapmasını veya bir para transfer işlemi yapmasını bekliyor.

TerraMedusa Blog’un önceki yazılarda da bir çoğunu incelediğimiz Man in the browser yeteneklerine sahip internet bankacılığı zararlı yazılımları şu an için Zeus, Carberp, Sinowal ve Clampi olarak sıralanabilir.