Yazılar

Lenovo bilgisayarlarda yeniden arka kapı tespit edildi

lenovo-bilgisayarlarda-yeniden-arka-kapi-tespit-edildi Lenovo bilgisayarlarda yeniden arka kapı tespit edildiÇin’li bilgisayar üreticisi Lenovo’nun BIOS içerisine gizlediği rootkit zararlı yazılımı tespit edildi.

Daha önce Lenovo’nun sattığı bilgisayarlara Superfish ismindeki spyware yazılımını yüklediği ortaya çıkmıştı. Bu skandalın üzerinden çok geçmeden daha tehlikeli bir zararlı uygulamaya rastlandı. UEFI seviyesinde gizli olarak yerleştirilmiş rootkit Lenovo G50-80 marka yeni alınan bir laptopta tespit edildi. Tamamen temiz olarak baştan kurulan ve Lenovo ile gelen disklerle yüklemesi yapılan sistemde tespit edildi.

İşletim sistemi yeniden kurulduktan sonra ilk reboot işleminin ardından aşağıdaki gibi bir mesaj alınıyor;

“Note: This is from the product itself and not from the network. To help you continue to upgrade system firmware and software, in order to make your system more stable, safe and high performance, download and install the Lenovo system optimization software. The software download process needs to connect to the internet. Click here to read the Lenovo License Agreement LLA”

Bunun anlamı, BIOS işletim sisteminin yeniden kurulduğunu anlıyor ve tekrar sistemde arka kapı oluşturacak dosyaları kopyalamak için uyarıyı gösteriyor. Normal bir Windows sistemle farklılıklar karşılaştırıldığında çok sayıda değişiklik yapıldığı görülüyor. Sistemde LenovoCheck.exe ve LenovoUpdate.exe gibi dosyalar da bulunuyor. Bu dosyalardan biri silinse bile tekrar sistem reboot edildiğinde aynı mesaj gözüküyor ve dosyalar yeniden kopyalanıyor.

Servisler içerisinde “Lenovo Update” olarak gösterilen servisi kapatsanız bile tekrar otomatik olarak aktif hale getiriliyor. Cihaz internete bağlandığında ise Lenovo’ya bağlanarak bir .json dosyası üzerinden çeşitli veriler alıp gönderiyor. Bu işlem için ise SSL kullanılmıyor. Tamamıyla güvensiz olan bu yöntem sayesinde uzaktan sistemde kod çalıştırmak veya iletişimi izleyerek man-in-the-middle saldırılarında bulunmak mümkün.

Problemin çözümü için BIOS güncellemesi yapılması gerekiyor fakat öncesinde yeni ROM içerisinde “NovoSecEngine2” isimli modülün bulunarak kaldırılması gerekiyor. Bu işlemi yaparken dikkatli olmak gerekli çünkü laptop kullanılamaz hale gelebilir. BIOS yeniden yazıldıktan sonra c:\Windows\system32\autochk.exe dosyasını Lenovo’nun mu yoksa Microsoft’un mu imzaladığına bakarak rootkit’in aktif olup olmadığı anlaşılabilir. Alternatif olarak Lenovo’nun yayınladığı son BIOS güncellemesi de kullanılabilir fakat kontrol etmekte yarar var gibi gözüküyor.

Lenovo’nun konu ile ilgili açıklaması ise artık LSE denilen rootkit’in Lenovo cihazlarla birlikte dağıtılmadığı, eski cihazların ise BIOS güncellemesi yaparak kurtulabileceği yönünde oldu.

Lenovo marka thin client, desktop, laptop çeşidi çok sayıda bilgisayar Türkiye’nin en kritik kamu, özel sektör kuruluşlarında kullanılıyor. Rootkit’ten etkilenen Lenovo modelleri;

Lenovo Notebook

  • Flex 2 Pro 15 (Broadwell)
  • Flex 2 Pro 15 (Haswell)
  • Flex 3 1120
  • Flex 3 1470/1570
  • G40-80/G50-80/G50-80 Touch
  • S41-70/U41-70
  • S435/M40-35
  • V3000
  • Y40-80
  • Yoga 3 11
  • Yoga 3 14
  • Z41-70/Z51-70
  • Z70-80/G70-80

Lenovo Desktop

  • A540/A740
  • B4030
  • B5030
  • B5035
  • B750
  • H3000
  • H3050
  • H5000
  • H5050
  • H5055
  • Horizon 2 27
  • Horizon 2e (Yoga Home 500)
  • Horizon 2S
  • C260
  • C2005
  • C2030
  • C4005
  • C4030
  • C5030
  • X310(A78)
  • X315(B85)
  • D3000
  • D5050
  • D5055
  • F5000
  • F5050
  • F5055
  • G5000
  • G5050
  • G5055
  • YT A5700k
  • YT A7700k
  • YT M2620n
  • YT M5310n
  • YT M5790n
  • YT M7100n
  • YT S4005
  • YT S4030
  • YT S4040
  • YT S5030

Ekran kartına zararlı yazılım, keylogger gizlemek

ekran-kartina-zararli-yazilim-keylogger-gizlemek Ekran kartına zararlı yazılım, keylogger gizlemekGüvenlik araştırmaları yapan bir ekip ismine Jellyfish dedikleri herhangi bir şekilde yazılımla tespit edilemeyen zararlı yazılımı GPU üzerine yerleştirmeyi başardılar.

Günümüz saldırıları gittikçe sofistike hale geliyor. Bunları engellemek zorlaştığı gibi tespit etme aşaması bile artık hayli güç. Ekran kartının grafik işlemci ünitesi GPU üzerine yerleştirilen Jellyfish zararlı yazılımı bunun son örneği. Bu geleceğin zararlı yazılımı ile GPU üzerinde dijital para birimlerini de üretmek mümkün. Tüm bunlar olurken işletim sisteminde çalışan prosesler veya servisler değiştirilip, müdahale edilmediği için zararlının tespiti de yapılamıyor.

Jellyfish zararlısı Nvidia, AMD ve Intel donanımına sahip ekran kartlarında çalışabiliyor. Böyle bir saldırıda zararlı yazılımı GPU’da çalıştırmak gizlenmek için en az riskli yöntem gibi gözüküyor. CPU çok sayıda güvenlik yazılımı tarafından taranırken, Windows Task Manager veya Process Explorer gibi araçlarla da incelenebiliyor. GPU için ise GPU-Z, GPU Load tarzı uygulamalar bulunuyor. Bunların yaptığı ise basitçe ekran kartlarının performanslarını analiz etmek. Eğer bu yazılımları Visual Studio’ya bağlarsanız ancak o zaman o anda GPU’da çalıştırılan kodu monitör etme şansına sahip olabiliyorsunuz.

Eğer bu tarz bir zararlı yazılımın GPU kullanımına, yüküne bakılarak tespit edilebileceğini düşünüyorsanız yanılıyorsunuz. GPU’ya yerleştirilen zararlı yazılımların getirdiği yük yaklaşık %0.1 kadar. GPU’da çalıştırılan kodlar şu an takip edilemez durumda. Muhtemelen NSA, GCHQ gibi gizli servisler yıllardır bu metodu kullanıyorlar. Çalışır bir örneği herkesin önündeyken gelecekte GPU üzerinden yapılacak saldırıların sadece devletler tekelinde olmayacağı kesin gibi gözüküyor.

Zeus alternatifi bankacılık trojanı Pandemiya iddialı geldi

Bir süredir hybrid bankacılık zararlı yazılımlarının yükselişe geçtiği malum. Fakat yine de Zeus’a güçlü bir alternatif bekleyişi hakimdir. Bu uzun sürmedi ve Zeus’a alternatif olabilecek güçlü bir zararlı yazılım olan Pandemiya ortaya çıktı.

Pandemiye trojanının en temel paketi 1500 dolar gibi bir rakama satılıyor. Eğer ek modüller alırsanız bu rakam 2000 doları bulabiliyor. Zararlı yazılım bir bankacılık trojanında olması gereken her türlü gelişmiş özelliğe sahip. Bunlar arasında dosya yakalama, antivirus atlatma, veri çalma, ekran görüntüsü yakalama, C&C merkeziyle şifreli iletişim gibi özellikler var. Pandemiya zararlısı modüler şekilde geliştirilmiş adeta iddialı bir yazılım projesi gibi. Eklenti sistemi sayesinde istenen özellikler ana yazılıma kazandırılabiliyor.

Bu arada özellikle belirtmek gereken konu Pandemiya’nın sıfırdan yazılan bir trojan olduğu. Yani Zeus, Citadel, Carberp vb. diğer bankacılık zararlı yazılımlarıyla ortak bir kod paylaşmıyor. Pandemiya kodlanırken bir yıl içerisinde 25.000 C kodu yazılmış. Bu da ciddi bir efor anlamına geliyor. Developer veya developerların ana hedefi ise zararlının tespit edilmesini olabildiğince güçleştirmek. Özellikle son olarak yürütülen uluslararası Gameover/Zeus operasyonundan da ders alan developer alıntı kod kullanmamak ve zararlının analiz sürecini uzatarak kodu korumak için büyük bir çaba göstermiş.

Pandemiya’nın ek ücretle sunulan eklentileri arasında ise reverse proxy, FTP stealer, PE infector gibi modüller bulunuyor. Bunun dışında gizli RDP, Facebook spreader gibi henüz test aşamasında olan eklentiler de mevcut.

Bakalım ileriki zamanlarda Pandemiye Türkiye ve bulunduğu bölgede ne derece yayılacak. Son aylarda MITB (Man in the Browser) saldırılarının, bankacılık şifresi ileten cep telefonu zararlılarının kol gezdiği ülkemizdeki siber suçlular bunu ne zaman değerlendirecek.

zeus-alternatifi-bankacilik-trojani-pandemiya-iddiali-geldi Zeus alternatifi bankacılık trojanı Pandemiya iddialı geldi

Zararlı Java applet dağıtım platformu

Siber suç dünyasında Java’nın ciddi bir önemi bulunuyor. Siber suçlular ise sürekli yeni araçlar, yöntemler yardımıyla Java gibi yüksek risk içeren platformlara dair istismarlarda bulunuyorlar. Bu yeni platform ise doğrudan Rodecap botnet ağına bağlanarak, web tabanlı bir Java applet dağıtım platformu sunuyor.

zararli-java-applet-dagitim-platformu Zararlı Java applet dağıtım platformu

zararli-java-applet-dagitim-platformu-2 Zararlı Java applet dağıtım platformu

Yeni Windows 8 Temalı Şifre Çalan Yazılım

Siber suçlular sürekli yeni araçlar, yöntemler geliştirirken artık bunları şık arabirimlerle de sunmaya gayret ediyorlar. Yeni bir şifre ve oyunların lisans numaralarını çalarak toplayan Windows 8 temalı araç ise hayli dikkat çekici. Bu tema ile elde edilen bilgilerin düzenlemesi ve sunulması daha kolay hale getirilmiş durumda.

Araç elde edilen şifreleri, oyun lisans numaralarını gruplarken diğer yandan kurbanın sisteminde olabilecek güvenlik önlemleri hakkında da bilgilendiriyor. Kullanılan antivirus, spyware, firewall gibi güvenlik ürünleri var mı, eğer varsa hangileri kullanılmış bu yazılımda yer alıyor.

Projenin yönetim panelinden bazı ekran görüntüleri;

windows8-temali-sifre-calan-yazilim Yeni Windows 8 Temalı Şifre Çalan Yazılım

windows8-temali-sifre-calan-yazilim2 Yeni Windows 8 Temalı Şifre Çalan Yazılım

windows8-temali-sifre-calan-yazilim3 Yeni Windows 8 Temalı Şifre Çalan Yazılım

windows8-temali-sifre-calan-yazilim4 Yeni Windows 8 Temalı Şifre Çalan Yazılım

Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

Ekran kartı, CPU veya ASIC işlemcileri yardımıyla üretilen sanal para birimlerinin yükselişiyle birlikte siber suçluların ilgisi bu alana doğru kaymaya başladı. Bazı ücretsiz programların içerisine Bitcoin/Litecoin minerlar yerleştirildiği gibi hacklenen sistemler üzerinden de işlemci gücünü sömürerek mining yapan profesyonel zararlı yazılımlar satılmaya başlandı.

Bu Bitcoin/Litecoin mining yapan ve ücretli olarak satılan zararlı yazılım kitlerinden bazılarını sıraladık;

Gizlice Bitcoin/Litecoin mining yapan ticari bir zararlı yazılım;

bitcoin-litecoin-miner-1 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

bitcoin-litecoin-miner-2 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

Bir başka ticari olarak satılan Bitcoin/Litecoin mining zararlı yazılımı;

bitcoin-litecoin-miner-3 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

Mining zararlı yazılımı menü;

bitcoin-litecoin-miner-4 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

Bir başka mining zararlı yazılımı menü;

bitcoin-litecoin-miner-5 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

Bitcoin/Litecoin mining yapan yazılımın yönetim paneli;

bitcoin-litecoin-miner-6 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

bitcoin-litecoin-miner-8 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

bitcoin-litecoin-miner-81 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey

Bitcoin/Litecoin mining yapan zararlı yazılımlar kaynak kodları ile birlikte veriliyor;

bitcoin-litecoin-miner-9 Casus yazılımla gizli Bitcoin/Litecoin madenciliği hakkında herşey