microsoft Archives – TerraMedusa Secure

Microsoft artık Windows 7 ve 8 kullanıcılarını da gizlice izlemeye başladı

07/09/2015/in Güncel /tarafından TerraMedusa

Windows 10’un yayınlanmasıyla birlikte ne derece büyük bir mahremiyet ihlali olduğunu daha önce yayınlamıştık. Artık Windows 7 ve 8 kullanıcıları da bu gruba katıldı.

Microsoft tarafından Windows 7 ve 8 kullanıcıları için son yayınlanan 4 yama farklı tipte kullanıcı bilgilerinin Microsoft’a iletilmesini sağlıyor. Windows 10 üzerinden halen devam eden mahremiyet tartışmalarından Microsoft pek ders çıkarmamış gibi gözüküyor.

Gizlilik ihlali yaratan, yeni yayınlanan 4 güncelleme ise aşağıdaki gibi;

3022345: Kullanıcı deneyimi ve telemetry sistemi ile ilgili güncelleme. Bu güncelleme Telemetry takip sistemini getiriyor. Tanıtılırken bu güncellemenin Windows’un son versiyonlarından yararlanabilmek için kurulması gerektiği belirtiliyor.

3068708: Kullanıcı deneyimi ve telemetry sistemi ile ilgili güncelleme. Bu güncelleme bir önceki güncellemeye dair düzeltme niteliği taşıyor. Telemetry takip sistemini geliştiriyor.

3075249: Windows 8.1 ve Windows 7’ye Telemetry takip sistemiyle ilgili eklentiler yapıyor. User Account Control (UAC) üzerinde bu bilgilerin sistemden toplanabilmesi için değişiklikler gerçekleştiriyor.

3080149: Henüz güncellenmemiş sistemlere Telemetry takibi özelliği getiriyor. Yine Windows’un son özelliklerinden faydalanmak için getirildiği belirtiliyor.

Microsoft tüm işletim sistemlerini kullanıcı verilerini vortex-win.data.microsoft.com ve settings-win.data.microsoft.com adreslerine gönderecek şekilde yapılandırmış. İşin ilginci sistemde hosts dosyası üzerinden bu adreslere erişmeyi engelleseniz bile yine de işletim sistemi bu adreslere erişebiliyor. Kod içerisine eklenen bu adreslere ekstra bir Firewall veya Router üzerinden olmadıkça erişimi engellemek mümkün değil. Ayrıca bu adreslere erişimi engellemek güvenlik açıklıkları ile ilgili yamaları da almayı engelliyor.

Lenovo bilgisayarlarda yeniden arka kapı tespit edildi

17/08/2015/in Güncel /tarafından TerraMedusa

Çin’li bilgisayar üreticisi Lenovo’nun BIOS içerisine gizlediği rootkit zararlı yazılımı tespit edildi.

Daha önce Lenovo’nun sattığı bilgisayarlara Superfish ismindeki spyware yazılımını yüklediği ortaya çıkmıştı. Bu skandalın üzerinden çok geçmeden daha tehlikeli bir zararlı uygulamaya rastlandı. UEFI seviyesinde gizli olarak yerleştirilmiş rootkit Lenovo G50-80 marka yeni alınan bir laptopta tespit edildi. Tamamen temiz olarak baştan kurulan ve Lenovo ile gelen disklerle yüklemesi yapılan sistemde tespit edildi.

İşletim sistemi yeniden kurulduktan sonra ilk reboot işleminin ardından aşağıdaki gibi bir mesaj alınıyor;

“Note: This is from the product itself and not from the network. To help you continue to upgrade system firmware and software, in order to make your system more stable, safe and high performance, download and install the Lenovo system optimization software. The software download process needs to connect to the internet. Click here to read the Lenovo License Agreement LLA”

Bunun anlamı, BIOS işletim sisteminin yeniden kurulduğunu anlıyor ve tekrar sistemde arka kapı oluşturacak dosyaları kopyalamak için uyarıyı gösteriyor. Normal bir Windows sistemle farklılıklar karşılaştırıldığında çok sayıda değişiklik yapıldığı görülüyor. Sistemde LenovoCheck.exe ve LenovoUpdate.exe gibi dosyalar da bulunuyor. Bu dosyalardan biri silinse bile tekrar sistem reboot edildiğinde aynı mesaj gözüküyor ve dosyalar yeniden kopyalanıyor.

Servisler içerisinde “Lenovo Update” olarak gösterilen servisi kapatsanız bile tekrar otomatik olarak aktif hale getiriliyor. Cihaz internete bağlandığında ise Lenovo’ya bağlanarak bir .json dosyası üzerinden çeşitli veriler alıp gönderiyor. Bu işlem için ise SSL kullanılmıyor. Tamamıyla güvensiz olan bu yöntem sayesinde uzaktan sistemde kod çalıştırmak veya iletişimi izleyerek man-in-the-middle saldırılarında bulunmak mümkün.

Problemin çözümü için BIOS güncellemesi yapılması gerekiyor fakat öncesinde yeni ROM içerisinde “NovoSecEngine2” isimli modülün bulunarak kaldırılması gerekiyor. Bu işlemi yaparken dikkatli olmak gerekli çünkü laptop kullanılamaz hale gelebilir. BIOS yeniden yazıldıktan sonra c:\Windows\system32\autochk.exe dosyasını Lenovo’nun mu yoksa Microsoft’un mu imzaladığına bakarak rootkit’in aktif olup olmadığı anlaşılabilir. Alternatif olarak Lenovo’nun yayınladığı son BIOS güncellemesi de kullanılabilir fakat kontrol etmekte yarar var gibi gözüküyor.

Lenovo’nun konu ile ilgili açıklaması ise artık LSE denilen rootkit’in Lenovo cihazlarla birlikte dağıtılmadığı, eski cihazların ise BIOS güncellemesi yaparak kurtulabileceği yönünde oldu.

Lenovo marka thin client, desktop, laptop çeşidi çok sayıda bilgisayar Türkiye’nin en kritik kamu, özel sektör kuruluşlarında kullanılıyor. Rootkit’ten etkilenen Lenovo modelleri;

Lenovo Notebook

Flex 2 Pro 15 (Broadwell)
Flex 2 Pro 15 (Haswell)
Flex 3 1120
Flex 3 1470/1570
G40-80/G50-80/G50-80 Touch
S41-70/U41-70
S435/M40-35
V3000
Y40-80
Yoga 3 11
Yoga 3 14
Z41-70/Z51-70
Z70-80/G70-80

Lenovo Desktop

A540/A740
B4030
B5030
B5035
B750
H3000
H3050
H5000
H5050
H5055
Horizon 2 27
Horizon 2e (Yoga Home 500)
Horizon 2S
C260
C2005
C2030
C4005
C4030
C5030
X310(A78)
X315(B85)
D3000
D5050
D5055
F5000
F5050
F5055
G5000
G5050
G5055
YT A5700k
YT A7700k
YT M2620n
YT M5310n
YT M5790n
YT M7100n
YT S4005
YT S4030
YT S4040
YT S5030

Windows 10 kullanıyorsanız Microsoft’un takibine alışmalısınız

03/08/2015/in Güncel /tarafından TerraMedusa

Büyük merakla beklenen Windows 10 sonunda yayınlandı. Fakat eğer bu yeni sürüme geçmekte kararlıysanız Microsoft tarafından takip edilmeyi göze alıyorsunuz demektir.

Windows 10 henüz “Technical Preview” versiyonundan beridir kullanıcıların tüm aktivitelerini takip ediyordu. Bu versiyon henüz nihai ürün olmadığı için final sürümünde durumun farklı olabileceği düşünüldü. Fakat Windows 10’un final versiyonunda da durum değişmedi. Yeni işletim sistemi, yeni gizlilik sözleşmesi ve servis anlaşmasıyla birlikte kullanıcılara sunuldu. Yeni gizililik sözleşmesi 1 Ağustos 2015 tarihinde devreye girdi.

Öncelikle eğer Windows 10 indirip bilgisayarınıza kuruyorsanız, sizinle ilgili verileri toplayabilmesi için Microsoft’a geniş yetkiler veriyorsunuz. Yeni işletim sistemi neredeyse büyük oranda bulut bağlantılı çalışıyor ve Microsoft’un Redmond’daki sunucularına çok sayıda bilgiyi gönderiyor.

Veri senkronizasyonu

Microsoft yeni işletim sisteminde veri senkronizasyonuna dair varsayılan ayarları açık şekilde getiriyor. Bu veri eşleştirme işlemi browser geçmişi, favoriler, açık web siteleri, web sitesi şifreleri, wi-fi isimleri, wi-fi şifrelerinin Microsoft sunucularına gönderilerek saklanması anlamına geliyor. Bu özellik sonradan kapatılabiliyor.

Cortana

Microsoft sanal asistan Cortana’yı Windows 10 ile birlikte kullanıcılara sunuyor. Bu sanal asistan tüm veri desteğini Microsoft sunucularından aldığı için sizin yaptığınız her hareketi Microsoft’a gönderiyor. Internet ile alakalı olmasa bile Cortana kullanırken yapılan tüm işlemler kaydedilip aktarılıyor. Microsoft gizlilik sözleşmesinde Cortana ile ilgili kısımda sanal asistanın toplayabileceği verinin boyutunu epeyi geniş tutmuş. Microsoft tarafından toplanan veriler arasında GPS lokasyonu, takvim, uygulamalar, emailler, SMS’ler, aranan ve arayan numaralar, rehber, rehberinizdeki hangi kişileri ne sıklıkla aradığınız, müzik listesi, alarm ayarları, arama geçmişi. Bu veri paylaşımı kapatılamıyor.

Advertising ID

Windows 10 her cihaz için ayrı bir “Advertising ID” isminde bir reklam kodu üretiyor. Bu ID yazlım geliştiriciler ve reklam ağları tarafından kullanıcılara kişiselleştirilmiş reklamlar göstermek için kullanılıyor. Veri senkronizasyonu özelliği gibi bu da sonradan kapatılabiliyor.

OneDrive üzerinde saklanan şifreleme anahtarı

Eğer Windows 10 sisteminizin diskini şifrelediyseniz Microsoft, BitLocker kurtarma anahtarını otomatik olarak OneDrive hesabınıza yedekliyor.

Microsoft verilerinizi istediği zaman başkalarıyla paylaşabilir

Belki de bu en kritik durum. Kullanıcıya kabul ettirilen her iki sözleşmede de Microsoft’un size dair bilgileri istediği kişi/kurumla paylaşabilmesine izin vermiş oluyorsunuz. Aşağıda İngilizce olarak ilgili madde bulunuyor.

“We will access, disclose and preserve personal data, including your content (such as the content of your emails, other private communications or files in private folders), when we have a good faith belief that doing so is necessary to protect our customers or enforce the terms governing the use of the services”

Kaspersky görülmemiş bir yöntemle hacklendi

14/06/2015/in Güncel /tarafından TerraMedusa

Dünyaca ünlü antivirus ve bilgi güvenliği yazılımları üreticisi Kaspersky şimdiye dek görülmemiş bir operasyonla hacklendi.

Kim olduğu bilinmeyen, Kaspersky iç ağına kadar sızan siber suçluların Duqu benzeri bir zararlı yazılım kullandıkları biliniyor. Kaspersky’nin araştırmalarında saldırının ileride derecede karmaşık olduğunu ve neredeyse görünmez biçimde gerçekleştirildiği ortaya çıktı. Yapılan incelemelerde bu tarz bir operasyonu yapmanın yönetim ve diğer kısımlar dikkate alındığında 10 milyon doların üzerinde bir maliyeti olduğu ortaya çıkıyor.

Saldırganlar iç ağa sızmak için sistemlerde üç ayrı zero day açığından faydalandılar. Dolayısıyla bu saldırılar sırasında bazı izler de bıraktılar. Zararlı yazılım Kaspersky iç ağında MSI (Microsoft Software Installer) kullanılarak dağıtıldı. MSI genellikle sistem yöneticileri tarafından Windows sistemlere uzaktan yazılım kurmak için kullanılıyor. Saldırı sonucu bazı izlere ulaşılsa da, saldırganlar ağ içerisinde hareket ederken hiçbir dosya bırakmayarak, ayar değiştirmedi. Bu da hack olayının tespitini oldukça zor hale getirdi.

Planlama, ileri düzeydeki teknik kapasite göz ealındığında 2011 yılındaki Duqu saldırısını yapan kişilerle aynı olduğu ortaya çıkıyor. Büyük ihtimalle bu zararlı yazılımın da üretilmesinde bir gizli servisin büyük payı var. Kaspersky uzmanlarınca ağlarındaki bu zararlının keşfi ise hayli ilginç. Uzmanlar yeni antivirus ürünlerini kendi ağlarında denerken bazı garipliklerle karşılaşıyorlar. Araştırma derinleştirildikçe kullanılan üç ayrı zero day açığının da yamaları tamamen yapılmış Microsoft sistemlerde kullanıldığını farkediliyor. Kaspersky’nin yaptığı açıklamaya göre saldırganlar sadece bilgi güvenliğiyle ilgili ar-ge çalışmalarının yapıldığı sunucular, satış pazarlama ve hukuk departmanlarını hedef aldı. Amaçlarının ise tam olarak ne olduğu bilinmiyor.

Microsoft ve ABD Ordusunun gizli bilgilerini çalan hacker grubu

06/04/2015/in Güncel /tarafından TerraMedusa

Microsoft, Valve ve ABD Ordusundan yaklaşık 100 milyon dolar değerinde gizli bilgi çalan uluslararası hacker grubu üyelerinin suçu kesinleşti.

2014’ün Ekim ayında dört gençten oluşan hack grubu Microsoft, Epic Games, Valve Software, Zombie Studios, ABD Ordusu gibi hedeflere siber saldırı düzenleyerek 100 milyon dolar değerinde gizli bilgiyi ele geçirmişti. Özellikle sızdırılan bilgilerin arasında ABD Ordusunun helikopter pilotlarını eğitmek için kullandığı simülasyon yazılımı da yer alıyordu. Hacker grubu bu sızdırdığı gizli bilgileri satmaya çalıştı.

XU adlı hacker grubunun ikisi ABD’li, biri Kanadalı üç üyesi zaten tutukluydu. Austin Alcala ise grubun dördüncü üyesi olarak tutuklandı. Alcala 19 yaşında ve Indianada ailesi ile yaşıyordu. Şu an XU hacker grubunun tüm üyeleri tutuklu ve kendilerine karşı yapılan suçlamaların tamamını kabul etmiş durumdalar.

Elde ettikleri gizli bilgiler arasında Microsoft’un o zaman henüz yayınlanmamış konsolu Xbox One’a ait bilgiler, FIFA, Call of Duty, Gears of War gibi oyunlara dair teknik veriler de yer alıyordu. Yaşı 19 ile 28 arasında değişen XU hacker grubu üyeleri genellikle SQL injection kullanarak sistemlere sızarak ilerliyorlardı. Sonrasında ise entellektüel mülkiyet açısından büyük önem taşıyan gizli bilgilere ulaşabilmek için kendilerine hesap oluşturarak bu bilgilere erişim sağlıyorlardı.

Microsoft Stuxnet’e sebep olan açığı kapatamıyor

16/03/2015/in Güncel /tarafından TerraMedusa

2010 yılının ortalarında keşfedilen Stuxnet, İran’ın nükleer programını sabote etmeye yönelik hazırlanmış bir zararlı yazılım. 2009 yılında kullanılmaya başlanan Stuxnet zararlısı içerisinde çok sayıda zero day açığı içeriyordu. Bunlar arasında Windows Shell zayıflığı yani LNK dosyaları hakkında olan CVE-2010-2568 kodlu zayıflıkta yer alıyor.

Söz konusu Windows Shell zayıflığı uzaktan veya lokal olarak saldırganın zararlı .LNK veya .PIF uzantılı dosyaları Windows Explorer ile çalıştırmasına olanak tanıyordu. LNK zayıflığı İran’dan önce Pakistan bölgesinde yayılmıştı.

Zayıflık ortaya çıktıktan sonra, 2010 yılında Microsoft MS10-046 kodlu yamayı yayınladı. Fakat işler beklenildiği gibi gitmiyor. 2015 öncesi yaşanan gelişmelere göre yamanın doğru çalışmadığı tespit edildi. Bu yüzden Microsoft bu kez MS15-018 kodlu yeni bir yama yayınladı.

Windows Shell zayıflığı öyle ciddi etkilere sahip ki Kasım 2013 – Haziran 2014 arası 50 milyon kez tespit edildi. Bu saldırılarda dünya çapında 19 milyon sistem hedef alındı. Bu hedef alınan ülkelerde Vietnam ilk sırayı alırken onu Hindistan ve Endonezya takip ediyor. Türkiye ise %5.52 ile Endonezya’nın ardından en çok saldırı alan dördüncü ülke.

Bunun anlamı yamanın yayınlandığı ve açığın kapatıldığının sanıldığı 4 yıl boyunca Stuxnet aktif olarak tüm dünyada yayılımına ve hizmet ettiği amaca yönelik çalışmaya devam etti. Bu bir ülkeye ait siber savaş silahı olarak görülmemiş bir başarıya işaret ederken diğer yandan ülkelerin ulusal güvenliğini ciddi şekilde tehdit ediyor.

Teknoloji üreticileri ve devletler

19/08/2013/in Güncel /tarafından TerraMedusa

Teknoloji şirketleri ile devletler arasıdaki bağlar her zaman tartışma konusu olmuştur. Yazılım üreticilerinin ürünlerine “bilerek” koyduğu iddia edilen arka kapılar, network altyapı ürünü üreticisi firmaların ulusal güvenlik sebebiyle bazı ülkelerde satışına izin verilmemesi veya Prizma gibi takip altyapılarıyla popüler ürün ve servislerin izlenmesi gibi konular sıkça bilgi güvenliği endüstrisinin gündemine gelmeye başladı.

TerraMedusa Siber İstihbarat adına internet dediğimiz yaşam alanı ve bilgisayar dediğimiz araçlarla ilgili yapıtaşlarını oluşturan firmaların hangi ülkelerle ilişkide olduğunu haritalandırdı.

ABD’nin internetteki gözü PRISM nedir?

08/06/2013/in Güncel /tarafından TerraMedusa

Geçtiğimiz hafta ABD’nin PRISM adındaki çok gizli takip projesi hakkındaki detaylar internete sızdırıldı. PRISM ile ABD’nin en tehlikeli, gizemli kuruluşu National Security Agency Microsoft, Yahoo, Apple, Google, Facebook, Skype vb. kaynaklardaki bilgilere doğrudan ulaşabildiğinden bahsediliyor.

PRISM ile ilgili konuları başlıklar halinde, geçmiş bilgileri de göz önüne alarak sıraladık.

PRISM nedir?

2007 yılında NSA ve FBI tarafından büyük çapta şirketlerin, yazılımların verilerini takip etmek için başlatılan projedir. Obama yönetimi de son açıklamasıyla programı sahiplenmiştir.

PRISM sadece yabancıları mı izliyor?

ABD yönetimi projeyi savunurken “Amerikan vatandaşlarını veya Amerika’da yaşıyan vatandaşları” izlemediklerini belirtiyor. Bu sav Microsoft, Yahoo, Apple, Google, Facebook gibi firmaların bir yandan ABD istihbaratına veri toplamak için mükemmel kaynaklar olduğu, hatta özellikle desteklendiği gerçeğini kanıtlıyor.

Ne tür veriler izleniyor?

E-postalar, sohbet kayıtları, videolar, fotoğraflar, saklanan veriler, ses trafiği, dosya transferleri, video konferansları vb. şekilde detaylandırılabilecek her türlü bilgi PRISM projesi dahilinde takip ediliyor.

E-postalar kim tarafından okunuyor?

Google zaten algoritması sayesinde gelen ve gönderilen tüm e-postaları tarayarak içeriğe göre hedeflendirilmiş reklam gösteriyor. Fakat bunun dışında NSA’in tanımladığı kurallar dahilinde de verilere doğrudan veya çeşitli algoritmalarla istenildiği zaman erişilebiliyor.

Tam olarak hangi firmalar PRISM projesine dahil?

Microsoft, Yahoo, AOL, Facebook, Google, Apple, PalTalk, YouTube, Skype ve yakında Dropbox.

Projeye dahil firmalar ne diyor?

PRISM projesine katılan 9 firmanın tamamı bu proje dahilinde sistemlerine erişime izin verdiklerini kabul etmiyor. Fakat ABD yönetiminin açıklamaları bile bu
durumu yalanlamaya yetiyor.

Bu yapılan yasal mı?

ABD yasalarına göre ABD vatandaşı olmayanlara karşı yapılacak bu tarz istihbarat, mahrem verilere izinsiz erişme girişimleri yasadışı kabul edilmiyor.

Bulutta büyük panik

14/06/2012/in Güncel /tarafından TerraMedusa

Xen hypervisorda bulunan, yeni açıklanan güvenlik açığı herhangi bir sanal sunucu sahibinin diğer sanal sunuculara erişebilmesini ve yönetici haklarıyla komut çalıştırabilmesini sağlıyor.

Salı günü Amerikan Bilgisayar Acil Müdahale Ekibi US-CERT tarafından açıklanan duyuruda 64 bit Xen hypervisor çalıştıran Intel işlemcili tüm sistemlerin bu zayıflıktan etkilendikleri belirtildi. Bu çok ciddi açık bulut bilişim güvenliği konusundaki tereddütleri arttırır nitelikte.

Xen projesinin yaptığı açıklamada yazılımın güncellenerek zayıflığın kapatıldığı söylendi. FreeBSD, Microsoft, NetBSD, Oracle, Red Hat ve Suse Linux gibi üreticiler Xen hypervisor açığına karşı yamaları ardı ardına yayınladılar. Apple, Intel ve VMware zayıflığın kendi ürünlerinde bulunmadığını doğruladı. Debian, Fedora Linux, Gentoo Linux, HP ve IBM ise henüz kendi ürünlerinden birinde bu zayıflık içeren yazılımın olup olmadığına dair bir açıklama yapmadı.

Redhat yayınladığı güvenlik bülteninde Redhat Enterprise Linux 5 işletim sisteminde güvenlik açığına sahip Xen hypervisor’ün olduğunu belirtti. Microsoft ise güvenlik duyurusunda Windows User Mode Scheduler’ın bu zayıflığa sahip olduğunu açıkladı.

Düşük enerji, maliyet, işlevsellik sağlayan bulut sistemleri pek çok kurum kullanıyor ya da kullanmayı planlıyor. Fakat veri merkezlerinde ortaya çıkabilecek veri sahipliği, güvenlik ve güvenilirlik sorunları gibi yasal meselelerden dolayı çekinenler de bulunuyor.

Yazılar