Yazılar

Microsoft artık Windows 7 ve 8 kullanıcılarını da gizlice izlemeye başladı

microsoft-artik-windows-7-ve-8-kullanicilarini-izlemeye-basladiWindows 10’un yayınlanmasıyla birlikte ne derece büyük bir mahremiyet ihlali olduğunu daha önce yayınlamıştık. Artık Windows 7 ve 8 kullanıcıları da bu gruba katıldı.

Microsoft tarafından Windows 7 ve 8 kullanıcıları için son yayınlanan 4 yama farklı tipte kullanıcı bilgilerinin Microsoft’a iletilmesini sağlıyor. Windows 10 üzerinden halen devam eden mahremiyet tartışmalarından Microsoft pek ders çıkarmamış gibi gözüküyor.

Gizlilik ihlali yaratan, yeni yayınlanan 4 güncelleme ise aşağıdaki gibi;

3022345: Kullanıcı deneyimi ve telemetry sistemi ile ilgili güncelleme. Bu güncelleme Telemetry takip sistemini getiriyor. Tanıtılırken bu güncellemenin Windows’un son versiyonlarından yararlanabilmek için kurulması gerektiği belirtiliyor.

3068708: Kullanıcı deneyimi ve telemetry sistemi ile ilgili güncelleme. Bu güncelleme bir önceki güncellemeye dair düzeltme niteliği taşıyor. Telemetry takip sistemini geliştiriyor.

3075249: Windows 8.1 ve Windows 7’ye Telemetry takip sistemiyle ilgili eklentiler yapıyor. User Account Control (UAC) üzerinde bu bilgilerin sistemden toplanabilmesi için değişiklikler gerçekleştiriyor.

3080149: Henüz güncellenmemiş sistemlere Telemetry takibi özelliği getiriyor. Yine Windows’un son özelliklerinden faydalanmak için getirildiği belirtiliyor.

Microsoft tüm işletim sistemlerini kullanıcı verilerini vortex-win.data.microsoft.com ve settings-win.data.microsoft.com adreslerine gönderecek şekilde yapılandırmış. İşin ilginci sistemde hosts dosyası üzerinden bu adreslere erişmeyi engelleseniz bile yine de işletim sistemi bu adreslere erişebiliyor. Kod içerisine eklenen bu adreslere ekstra bir Firewall veya Router üzerinden olmadıkça erişimi engellemek mümkün değil. Ayrıca bu adreslere erişimi engellemek güvenlik açıklıkları ile ilgili yamaları da almayı engelliyor.

Lenovo bilgisayarlarda yeniden arka kapı tespit edildi

lenovo-bilgisayarlarda-yeniden-arka-kapi-tespit-edildiÇin’li bilgisayar üreticisi Lenovo’nun BIOS içerisine gizlediği rootkit zararlı yazılımı tespit edildi.

Daha önce Lenovo’nun sattığı bilgisayarlara Superfish ismindeki spyware yazılımını yüklediği ortaya çıkmıştı. Bu skandalın üzerinden çok geçmeden daha tehlikeli bir zararlı uygulamaya rastlandı. UEFI seviyesinde gizli olarak yerleştirilmiş rootkit Lenovo G50-80 marka yeni alınan bir laptopta tespit edildi. Tamamen temiz olarak baştan kurulan ve Lenovo ile gelen disklerle yüklemesi yapılan sistemde tespit edildi.

İşletim sistemi yeniden kurulduktan sonra ilk reboot işleminin ardından aşağıdaki gibi bir mesaj alınıyor;

“Note: This is from the product itself and not from the network. To help you continue to upgrade system firmware and software, in order to make your system more stable, safe and high performance, download and install the Lenovo system optimization software. The software download process needs to connect to the internet. Click here to read the Lenovo License Agreement LLA”

Bunun anlamı, BIOS işletim sisteminin yeniden kurulduğunu anlıyor ve tekrar sistemde arka kapı oluşturacak dosyaları kopyalamak için uyarıyı gösteriyor. Normal bir Windows sistemle farklılıklar karşılaştırıldığında çok sayıda değişiklik yapıldığı görülüyor. Sistemde LenovoCheck.exe ve LenovoUpdate.exe gibi dosyalar da bulunuyor. Bu dosyalardan biri silinse bile tekrar sistem reboot edildiğinde aynı mesaj gözüküyor ve dosyalar yeniden kopyalanıyor.

Servisler içerisinde “Lenovo Update” olarak gösterilen servisi kapatsanız bile tekrar otomatik olarak aktif hale getiriliyor. Cihaz internete bağlandığında ise Lenovo’ya bağlanarak bir .json dosyası üzerinden çeşitli veriler alıp gönderiyor. Bu işlem için ise SSL kullanılmıyor. Tamamıyla güvensiz olan bu yöntem sayesinde uzaktan sistemde kod çalıştırmak veya iletişimi izleyerek man-in-the-middle saldırılarında bulunmak mümkün.

Problemin çözümü için BIOS güncellemesi yapılması gerekiyor fakat öncesinde yeni ROM içerisinde “NovoSecEngine2” isimli modülün bulunarak kaldırılması gerekiyor. Bu işlemi yaparken dikkatli olmak gerekli çünkü laptop kullanılamaz hale gelebilir. BIOS yeniden yazıldıktan sonra c:\Windows\system32\autochk.exe dosyasını Lenovo’nun mu yoksa Microsoft’un mu imzaladığına bakarak rootkit’in aktif olup olmadığı anlaşılabilir. Alternatif olarak Lenovo’nun yayınladığı son BIOS güncellemesi de kullanılabilir fakat kontrol etmekte yarar var gibi gözüküyor.

Lenovo’nun konu ile ilgili açıklaması ise artık LSE denilen rootkit’in Lenovo cihazlarla birlikte dağıtılmadığı, eski cihazların ise BIOS güncellemesi yaparak kurtulabileceği yönünde oldu.

Lenovo marka thin client, desktop, laptop çeşidi çok sayıda bilgisayar Türkiye’nin en kritik kamu, özel sektör kuruluşlarında kullanılıyor. Rootkit’ten etkilenen Lenovo modelleri;

Lenovo Notebook

  • Flex 2 Pro 15 (Broadwell)
  • Flex 2 Pro 15 (Haswell)
  • Flex 3 1120
  • Flex 3 1470/1570
  • G40-80/G50-80/G50-80 Touch
  • S41-70/U41-70
  • S435/M40-35
  • V3000
  • Y40-80
  • Yoga 3 11
  • Yoga 3 14
  • Z41-70/Z51-70
  • Z70-80/G70-80

Lenovo Desktop

  • A540/A740
  • B4030
  • B5030
  • B5035
  • B750
  • H3000
  • H3050
  • H5000
  • H5050
  • H5055
  • Horizon 2 27
  • Horizon 2e (Yoga Home 500)
  • Horizon 2S
  • C260
  • C2005
  • C2030
  • C4005
  • C4030
  • C5030
  • X310(A78)
  • X315(B85)
  • D3000
  • D5050
  • D5055
  • F5000
  • F5050
  • F5055
  • G5000
  • G5050
  • G5055
  • YT A5700k
  • YT A7700k
  • YT M2620n
  • YT M5310n
  • YT M5790n
  • YT M7100n
  • YT S4005
  • YT S4030
  • YT S4040
  • YT S5030

Rus hackerlar APT28 ile zero day açıklarını istismar ediyor

rus-hackerlar-apt28-ile-zero-day-aciklarini-istismar-ediyorİsmine “Operation Russian doll” adı verilen yeni APT saldırısı kapsamında Adobe Flash ve Windows açıklarının kullanıldığı bir operasyon yürütülüyor.

Devlet kurumlarına karşı gerçekleştirilen bu APT saldırısı Rus hackerlar tarafından gerçekleştiriliyor. Hedefler arasında ABD Savunma Bakanlığı ile çalışan kontratlı üreticiler, Avrupalı güvenlik organizasyonları ve Doğu Avrupa devletlerine ait kamu kurumları var.

Aynı zamanda Rus hackerlar EuroNaval 2014, Eurosatory 2014, Counter Terrror Expo ve Farnborough Airshow 2014 gibi Avrupa savunma fuarlarına katılanları da hedef aldı. APT28 saldırısında Adobe Flash (CVE-2015-3043) ve Windows işletim sistemine ait (CVE-2015-1701) açıklar istismar edildi. Adobe açıklık için geçtiğimiz günlerde yama çıkartsa da Microsoft henüz yama yayınlamış değil. Firma da durumu doğrularken yama üzerinde çalıştıklarını belirtiyor.

APT28 saldırıları öyle ciddi ki 2014 yılının Kasım ayında ABD Dışişleri Bakanlığına yapılan saldırıyla veri sızdırılması ve Beyaz Saray’a ait ağa sızılarak Başkan Obama’nın ajandası gibi kritik bilgilere ulaşılması yine bu Rus saldırı ekibiyle bağlantılı. En önemlisi de hacker grubunun 2013 yılında Türkiye’de Milli Güvenlikle ilgili kamuda çalışan ve gizli sayılabilecek şekilde saklanan bazı kişilerin iletişim bilgilerini ele geçirebilmiş olması.

APT28 saldırılarını gerçekleştiren grup Rus hükümetiyle birlikte çalışıyor. Amaç diğer devletler, çok uluslu firmalara ait sırları Rusya’ya aktarmak. 2007 yılından beridir aktif olan grup ileride daha çok sayıda operasyona imza atacak gibi gözüküyor.

Göz ardı edilen tehlike: BIOS

goz-ardi-edilen-tehlike-biosEndüstri yoğun şekilde işletim sistemleri, browserlar, yazılımlar, gömülü sistemlere dair açıklar ve dahasıyla uğraşırken göz ardı edilen BIOS çok ciddi tehditlere gebe.

Milyonlarca BIOS teknik bilgi gerektirmeksizin hacklenebilir şekilde kullanılmaya devam ediyor. BIOS’lar saldırmak için ideal bir hedef. Yapısı gereği yüksek haklarla, kalıcı ve gizli erişim sağlamak için kullanılabiliyor. Üstelik neredeyse kimse de BIOS’ları yamamıyor.

LightEater adı verilen zararlı yazılım ile şimdiye kadar Gigabyte, Acer, MSI, HP, Asus gibi üreticilere ait BIOS’lar istismar edilerek GPG özel şifreleme anahtarı çalınabildi. Üstelik bu saldırıyı uygulamak için saldırganın iki dakikadan az süre için bilgisayarınıza erişimi olması yeterli. Sadece veri ele geçirmek için sızmak değil. Aynı zamanda LightEater sahip olduğu kernel driver ile CPU ve flash chip’e komutlar göndererek sistemin kapanarak bir daha açılmamasını da sağlayabiliyor.

LightEater kişisel, kamu, ticari, askeri gibi her türlü alanı doğrudan ilgilendiren bir problem. Diğer alanlara odaklanırken unutulan BIOS güncellemelerinin IT ekipleri tarafından takip edilerek yapılması önemini her geçen gün arttırıyor.

Fort Disco ile WordPress ve Joomla hedefte

fort-disco-wordpress-joomla-botnet-windowsFort Disco adındaki botnet ağı 6000’den fazla içerik yönetim sistemine sahip Joomla, WordPress, Datalife Engine çalıştıran web sitesine bulaştı ve bu sayı hızla artıyor.

Fort Disco botnet aşağı yukarı bulaştığı 25.000 Windows sistemden oluşuyor ve bu sayı aktif olarak artıyor. Bu 25.000 enfekte olmuş zombie sistemi yöneten ise 6 komuta kontrol sunucusu. Botnet, sitelere brute force yöntemi ile şifre deneyerek saldırıyor. Erişim sağladığı takdirde ise sisteme FilesMan PHP backdoor yükleyerek uzaktan kurbanın web sitesini kontrol ediyor.

Yüklenen arka kapı sayesinde komuta kontrol sunucuları tek komutla tüm sistemleri yönetebiliyor. İstenilen zararlı yazılımları ek olarak yükleyebiliyor. Fort Disco botnetinin sahip olduğu veritabanında kullanıcılar ve sistem yöneticileri tarafından sıkça kullanılan 123456 vb. basit şifreler yer alıyor. Örneğin “123456” şifresi tam 588 web sitesinde işe yaramış. Şifre olarak kullanılan “admin” ise 893 sisteme girişi sağlamış.

Bu zararlı yazılımda da kural bozulmamış. Eğer sistemde Rusya bölgesinden bir ayar veya dil seti yüklenmişse ve Rus ip adresine sahip bir siteye saldırılacaksa Fort Disco botneti bunu anlayıp saldırıyı durduruyor.