APT operasyonu IP adresleri ve URL'leri

Önemli: Bu IP adresleri ve URL'ler Türkiye'yi de hedef alan bir operasyon kapsamında kullanılmış. Kurumsal ağınızın bunlarla teması olduysa araştırmakta fayda var. Ayrıntılar için https://www.checkpoint.com/downloads/volatile-cedar-technical-report.pdf

2015 trendleri: APT insanın kendine yakışanı giymesidir

Adını son olarak SONY’nin hacklenmesi olayında duyduğumuz Fireeye’ın Mandiant şirketi “2015 trendleri: Ön cepheden görüntü” adıyla bir rapor yayınladı.
Geçtiğimiz senenin öne çıkan güvenlik trendlerinin ve 2015 içerisinde görmemiz muhtemel trendlerin ele alındığı raporun bazı konu başlıklarını toparladım.

Rapora https://www2.fireeye.com/WEB-2015RPTM-Trends.html adresinden ulaşabilirsiniz.

Raporda öne çıkan bazı rakamlar
Saldırıların %31’i kurban tarafından tespit edilebilirken, %69’u dış kaynaklardan öğrenilmiş. Bu istatistik, diğer üreticilerin raporlarında gördüğümüz rakamlara çok yakın olduğu için henüz saldırganları tespit edebilme becerilerimizi geliştirme yönünde almamız gereken çok yol olduğunu görüyoruz.

Saldırganlar (saldırganın kendi bağlantısı veya kullanılan zararlı yazılım) tespit edilmeden önce ortalama 205 gün kurum ağında varlığını korumuş. Özetle, ağımıza biri sızdığında veya bir zararlı yazılım bulaştığında bunu tespit etmemiz ortalama 205 gün sürüyor.  Rapora konu olaylar arasında gözlemlenen en uzun süre 2,982 (yazı ile ikibindokuzyüzsekseniki!) gün olmuş.

Raporda 2015 trendleri olarak 4 konuya yer verilmiş.

Trend 1: Olayın duyulmasıyla başa çıkmak
Yaşanan bir güvenlik ihlali sonrasında hedef olan kurum tarafından yapılacak açıklama kurum imajı ve halkın olayla ilgili algısı bakımından hayati önem taşımaktadır. Kurumun duruma hakim görünmesi ve olayın bütün boyutuyla araştırıldığı mesajının net bir şekilde verilmesi olayların algılanma şeklini doğrudan etkilemektedir. 2014 yılında yaşanan güvenlik ihlalleri halkın bu tür olayların etkileri konusunda önceki yıllarda olduğundan daha bilinçli hale gelmesini sağlamıştır. Önceki yıllarda yapılan ve saldırı tarihi ve dışarı sızan veri türünden ibaret açıklamalar artık basın ve halk tarafından yeterli bulunmamakta, saldırı vektörü ve saldırının arkasında kimlerin olduğu gibi bilgiler de talep edilmektedir.
Yapılacak açıklamalar spekülasyonların önüne geçebilmeli (henüz tamamlanmamış bir araştırmanın verileriyle bunun mümkün olabildiği ölçüde) ve olayın aslından sapmasını engellemelidir. Olay sonrası açıklama yapılmasını neredeyse mecburi hale getiren neden ise olayların çoğunun kurum fark etmeden önce halka duyurulmasıdır (bkz. 2014 yılında 0layların %69’u dış kaynaklardan öğrenilmiştir).

Raporda bu tür bir olay yaşandığında açıklama kaleme alınırken cevaplanmasında fayda olabilecek bazı sorulara yer verilmiş. Bunlar;
Saldırgan içeri nasıl sızdı?
Saldırgan içerideki sistemlerle bağlantısını nasıl kalıcı hale getirdi?
Saldırının adımları nelerdi?
Hangi veriler çalındı?
Saldırı kontrol altına alınıp saldırgan unsurlar temizlendi mi?

Trend 2: Perakendeciler hedefte
2014 yılında çalınan milyonlarca kredi kartı bilgisi pek çok kişiyi kredi kartlarını iptal edip yenilerini çıkartmaya mecbur etmişti. Perakendeciler kredi kartı (dolayısıyla para) işlemlerinin yoğun olduğu yerler oldukları için saldırganların iştahını kabartmaktadırlar. Öyle görünüyor ki hedefleri kolay para kazanmak olan bazı gruplar saldırılarına 2015 yılında da devam edecekler.

Alışveriş veya sanal kasa gibi uygulamaların sanallaştırılması, bir yandan uygulamanın ortamdan bağımsız daha güvenli bir baloncuk içerisinde çalışmasına imkan verirken, diğer yandan saldırganlar için bazı fırsatlar doğurmaktadır. Doğru kurulup konfigüre edildiğinde bu sanal uygulamalar olabildiği ölçüde güvenlidir ancak raporda ele alınan çoğu örnekte basit konfigürasyon hatalarının ve çift kademeli giriş yöntemlerinin kullanıldığı belirtilmiştir. Saldırganların yazarkasa ve POS yazılımlarını hedef alan zararlı yazılımlar geliştirmiş olması da bu noktanın geçerli bir saldırı vektörü haline gelmesine neden olmuştur.

Raporda büyük bir A.B.D.’li perakendecinin yaşadığı olayın adımlarına da yer verilmiş. Saldırının başlıca adımlar aşağıdaki gibi gelişmiş.

1. Saldırgan uygulamaya geçerli kullanıcı adı ve parolalar ile giriş yapmış. Kullanıcı bilgilerinin ne şekilde ele geçirildiği bilinmemektedir. 
2. Saldırgan ağ içerisinde “dolaşmak” için bizim de sızma testlerinde kullandığımız Metasploit yazılımını kullanmış. Metasploit bilinen pek çok istismar kodunu barındıran açık kaynaklı bir yazılımdır. Metaploit ile domain yönetici bilgilerini ele geçiren saldırganlar bu noktadan sonra ağ üzerinde yayılmak için sistem yöneticileri tarafından kullanılan(SysInternals PsExec aracı ve RDP gibi) daha alışılmış yöntemlere geçiş yapmıştır. 
3. Bağlantılarını kalıcı hale getirmek için bir kaç farklı bilgisayara arka kapı yerleştirilmiş. 
4. Ele geçirdikleri domain yetkili kullanıcısının POS cihazlarının olduğu ağ üzerinde de geçerli olması sayesinde saldırganlar POS cihazlarını etkileyecek zararlı yazılımı rahatlıkla ağ geneline kurmuşlar. Bu zararlı yazılım POS cihazları üzerinden kredi kartı numarası gibi bilgileri çalmıştır. 

Bu tür bir saldırının önüne geçebilmek için raporda aşağıdaki tavsiyeler verilmiştir;
Uzak bağlantıların güvenliğinin sağlanması: Sistemlere uzaktan kimin ve hangi şartlarda erişebildiğinin denetlenmesi.
Ödeme aracı bilgilerinin bulunduğu ağın güvenliğinin sağlanması: Bu bilgilerin bulunduğu ağlara erişmek için iki kademeli kimlik doğrulaması gibi araçların kullanılması.
Kritik altyapılarda uygulamaların beyaz listeye alınması: Önemli sunucularda hangi yazılımların çalışabileceğinin belirlenmesi ve bunların dışında hiç bir yazılımın çalışmasına izin verilmemesi.
Yetkili kullanıcı hesaplarının yönetimi: Ağ veya belirli bir sistem genelinde yetkili kullanıcı hesaplarının korunması ve yönetilmesi için gerekli tedbirlerin alınması.

Trend 3: Gelişen saldırı döngüsü
Raporda 2014 yılında saldırganların bir VPN bağlantısını ele geçirip bunu kullandıkları olayların sayısında artış görülmüş. VPN bağlantısını ele geçiren saldırgan sistem üzerinde bir arka kapı açmakla uğraşmadığı gibi yetkili kullanıcılar arasında dikkat çekmeden “işlerini” yürütebilmektedir.
VPN bağlantısının sadece kullanıcı adı ve parola ile kurulduğu durumlarda saldırganlar bu bilgileri kolayca elde ederek VON bağlantısını diledikleri gibi kullanmaya başlamıştır. İki kademeli giriş (kullanıcı adı ve parolaya ek olarak bir güvenlik katmanının daha bulunması) kullanıldığı durumlar arasında ise ikinci kademinin bir dijital sertifika olması, saldırganların bu sertifikayı çalarak bağlantıyı kurmalarına imkan vermiştir.
Saldırganların, çok eski bir yöntem olmasına karşın, “webshell” olarak da adlandırılan web tabanlı arka kapıları rahatlıkla kullanmaya devam ettikleri görülmüştür. Bu arka kapıları HTTPS olarak açan saldırganlar bu sayede şifreli ve bir çok güvenlik çözümü tarafından görülmeyen bir yol bulmuşlardır.

Trend 4: Suçlular ve APT’ler içiçe
Siber suçlu olarak adlandırabileceğimiz ve APT aktörlerine göre daha düşük seviyede bir tehdit olan saldırganların APT’lerde görmeye alışkın olduğumuz yöntemleri kullanması, aynı şekilde de APT olarak sınıflandırılan saldırılarda çok basit ve genel saldırı tekniklerin kullanılması iki saldırı türü arasındaki çizgilerin silinmesine neden olmaktadır. Tekniklerin saldırganlar arasında ortak kullanılması bir saldırıyı değerlendirirken kullanılan tekniklerden çok saldırganın niyetinin anlaşılması gerekliliğini ortaya çıkartmıştır. Özellikle hedefli oltalama (spear phishing) gibi sosyal mühendislik saldırılarının, hedefe özel yazılmış zararlı yazılımların her iki saldırgan grubu tarafından da kullanılması ayrım yapmayı zorlaştırmaktadır.

Raporun özellikle saldırganlar arasında ortak kullanılan saldırı vektörlerinin varlığını kabul etmesi benim için önemli bir gelişmedir. Güvenlik "satan" pek çok üreticinin, sıradan saldırılara karşı yeterli yatırımı yaptığınızı düşündüğü hallerde sorduğu "APT'lere karşı ne yapıyorsunuz?" sorusunun gerçeklikten uzak olduğunu hep savunan biri olarak bu itiraf hoşuma gitti.

Elektrik kesintisi ve PLC güvenliği

Çocukken “elektrikler kesikti çalışamadım hocam” derdik, bugün yaşanan geniş çaplı kesinti sırasında ise “siber saldırı var hocam” sözünü çokça duyduk. Bugün yaşanan elektrik kesintisinin bir siber saldırı olduğunu ima etmiyorum, sadece bugün popüler olan bir konuyu ele almak istedim.

PLC, ICS ve SCADA nedir ve neden önemlidir?
Özünde aynı şey, üretim hattı veya makineleri yönetmek için kullanılan sistemlerdir. Protokol ve/veya üretici farkı olsa da temelde programlanabilir bir mikroişlemci sayesinde fabrika veya üretim otomasyonu yapmamızı sağlarlar.

Terimlere kısaca bakacak olursak;
PLC: İngilizce “Programmable Logic Controller” yani programlanabilir mantıksal denetleyici kelimelerinin baş harflerinden oluşmaktadır.
ICS: İngilizce “Industrial Control Systems” yani endüstriyel kontrol sistemleri kelimelerinin baş harflerinden oluşmaktadır.
SCADA: İngilizce “Supervisory Control and Data Acquisition” yani Kapsamlı ve entegre bir Veri Tabanlı Kontrol ve Gözetleme Sistemi kelimelerinin baş harflerinden oluşmaktadır.

Hedefe özel yazılmış zararlı yazılımların megastarı olarak adlandırabileceğimiz STUXNET’in ortaya çıkmasıyla bu sistemlerin siber saldırıların hedefi olabileceği gerçeği geniş kitlelerin dikkatini çekti.
Otomasyon sistemlerinin hedef alındığı saldırılar aslında yeni değildir ve ilk örnekleri soğuk savaş yıllarında görülmüştür. Soğuk savaşın en yaygın olarak anlatılan siber saldırı hikayelerinden birisi (CIA tarafından resmi olarak teyit edilen bir olay olmadığı için bu aşamada “hikaye” demek zorundayız) de 1982 yılında Sibirya Boru Hattında yaşanan patlamaydı. Rusya’nın en önemli boru hattı projelerinden birinin sonuna yaklaşan dönemin Sovyet yönetimi bu boru hattını yönetecek bir yazılıma sahip olmadıklarını farkedince bu eksikliklerini A.B.D’nin elindeki yazılımlardan birini çalarak gidermeye karar verir. Fransız istihbarat örgütünün uyarısı üzerine CIA Rusların çalmaya çalıştığı koda bir hata ekleyecek 1982 yılının Temmuz ayında boru hattında bir patlamaya neden olurlar.

SSCB Tarafından patlamaya konu Sibirya Boru Hattı anısına basılmış bir pul. 

“Gerçek dünya” olarak adlandırabileceğimiz fiziksel boyutta herhangi bir şeyi kontrol eden herhangi bir yazılımı ele geçirebilmek, şüphesiz hepimizin hayal gücünü devreye sokar. Trafik ışıklarını kendi geçişimize göre yönetebilmek, asansörün her zaman bizi katta beklemesi, köprüden ücretsiz geçmek, emniyet şeridini kontrol eden kameraların bize ceza yazmaması, mağaza alarmını devre dışı bırakmak, gibi yüzlerce senaryo aklımıza gelir. Bunların bir uzantısı olarak da, belki de filmlerde görmeye alışkın olduğumuz ve dünyayı yok etmeye çalışan “deli profesörler” gibi bir nükleer tesisi patlatmak veya bir ülkenin elektriklerini tamamen kesmek gibi daha “fantastik” senaryolar aklımıza gelebilir.

Bütün ülkenin elektriğini kesmek?

Bugün yaşanan geniş çaplı elektrik kesintileri siber odaklı geniş çaplı komplo teorilerine neden oldu. Bu konulara bulaşmış birisi olarak gerçek durumumuz hakkında biraz araştırma yapma ihtiyacı duydum.

PLC’ler nasıl bulunur?
İnternete bağlı PLC sistemleri bulmak için kullanılabilecek onlarca farklı yöntem vardır, bunlardan bazıları;

1. Arama motorlarının kullanımı
2. ERIPP veya scan.io projelerinin sonuçlarından faydalanmak
3. Port taraması yapmak

Port taraması yapmak kaynak ve saldırgan IP’lerin hedef sistemler tarafından tespit edilmesi gibi belli ölçüde risk almayı gerektirdiği için ilk tercih edilen yöntem olmayacaktır. Bunun yerine arama motorları her ne kadar daha sınırlı sonuçlar verse de ilk aşamada daha hızlı bir yaklaşım olacaktır.

Aşağıdaki bir kaç örnekte Google aramaları ile bulduğum internete açık bazı PLC sistemlerini görüyorsunuz.

Yukarıda: SIMATIC PLC'leri tespit etmek için kullanılabilecek bir Google arama sorgusu

Yukarıda: Bulunan SIEMENS SIMATIC PLC'lerden birinin arayüzü

Yukarıda: Başka bir PLC arayüzü

Yukarıda: Rüzgar enerjisinden elektrik üreten bir istasyonun günlük enerji üretim değerleri tablosu. Google araması ile bulundu.

Yukarıda: Yaygın olarak kullanılan ROCKWELL marka bir PLC'nin internete açık arayüzü

Yukarıda: Başka bir PLC'nin ağ bağlantıları tablosu

Google aramaları dışında ShodanHQ gibi internete bağlı belli cihazları endeksleyen arama motorlarının da saldırganlar tarafından hedef bulmak için kullanıldığını biliyoruz.
Aşağıda bazı ShodanHQ arama sonuçlarını görebilirsiniz. Aramaları Türkiye ile sınırlandırıp belli başlı PLC üretici isimlerini kullanarak yaptım ve ilk çıkan sonuçların ekran görüntülerini aldım. Daha detaylı aramalarla sonuç sayısı artacaktır.

Gerçek durum nedir? 
2008 yıllarının ortasında başlayan ve internete bağlı PLC sistemleri endeksleyen SHINE (SHodan INtelligence Extraction) projesi 2013 yılının sonuda 1,000,000’dan fazla PLC’nin internete bağlı olduğunu ve her gün yüzlerce yenisinin eklendiğini açıklamıştı 2014 yılının sonlarında yayınladığı rakam ise 2,100,000’i geçmişti.

Amerika Birleşik Devletleri, Almanya ve Çin gibi sanayisi gelişmiş ülkelerden oluşan ülkeler dünya genelinde internete bağlı PLC sistemlerinin 1,800,000’den fazlasını barındırıyor. A.B.D. ile Almanya’nın toplamı dünya genelinde internete bağlı PLC sistemlerin %49’unu barındırıyor.

2014 yılının son aylarında Türkiye’de internete bağlı 16,348 PLC sistem tespit edilmiş. PLC’lerin internete bağlı olmasının oluşturduğu en önemli problemlerden biri şüphesiz yüksek güvenlik riskleridir. PLC’lerin temellerinin atıldığı yıllarda siber güvenlik konusu ne yazık ki çok gündemde değildi. Hatta bugün de internetin temelinde yatan pek çok “güvenilmez” uygulama o yılların naif mimari yaklaşımlarından kaynaklanmaktadır.
Günümüzde kullanılan pek çok PLC yalıtılmış iç ağlarda çalışacakları varsayılarak tasarlandığı için güvenlik özellikleri genelde ikinci plana itilmiştir.

PLC Güvenliği için neler yapılabilir?
İnternete bağlı otomasyon sistemlerinin güvenliğinin sağlanabilmesi için atılabilecek en önemli adım üreticilerin bu konuda harekete geçmesi olacaktır. O gün gelene kadar ise, her konuda olduğu gibi, güvenliği sağlama sorumluluğu biz kullanıcılar üzerindedir.

1. Sistemlerin mevcut durumunu anlayın
PLC sistemleriniz üzerinde yaptıracağınız güvenlik testleri size sistemlerinizin mevcut güvenlik seviyesi hakkında somut bilgiler verecektir. PLC sistemlerinin güvenliğini sağlamak için bütçe ayırmak ilk bakışta mantıklı gelse de kapsamlı güvenlik testleri ve risk analizlerinin sonucunda belki de bu sistemlere para harcamaya gerek olmadığı ortaya çıkacaktır. Durumu anladıktan sonra harekete geçmek daha doğru olacaktır.

2. Dokümantasyon
Evet, sıkıcı konular. Herşeye prosedür yaz, prosedürleri uygula, güncelle, vs. Ama neyin nasıl yapılması gerektiğini ortaya koymadan ve buna uymadan PLC gibi kritik sistemler üzerinde yapılacak her işlem (en basit güncellemeden sistem mimarisi değişikliklerine kadar) yeni zafiyetlerin ortaya çıkmasına neden olabilir.

3. Eğitim
Sistemleri idare eden personelin PLC konusunda eğitim alması sistemlerin daha güvenli ve verimli çalışmasını sağlar. Eğitimler sırasında PLC güvenliği konularına da değinmek önemlidir.

4. Subnetleri unutmayın
Bilgisayar ağlarında yaptığımız gibi PLC ağlarını da birbirinden bağımsız altağlara ayırmak güvenlik açısından fayda sağlar.

5. Erişimi denetleyin
PLC’lere kimin hangi şartlarda ve hangi işlemleri yapmak için erişebildiğinin belli olması şarttır. Bu erişimlerin ve yapılan işlemlerin kayıt altına alınması hem operatör hatalarını azaltabilecek bir çalışmanın temelini oluşturur hem de yetkisiz müdahalelerin kısa zamanda tespit edilmesini sağlar.

6. Sistemleri yalıtın
Kimsenin sistemleri dışarıdan yönetmesi gerekmiyorsa PLC'nin internetle bağlantısı olmadığından emin olun. Bu bağlantının bir şekilde (yanlış kablolama, altağ değişikliği, vb.) yanlışlıkla sağlanmadığından emin olmak için düzenli olarak kontrol edin.

7. Sistemleri izleyin
PLC üzerindeki işlemleri takip edip yetkisiz veya olmaması gereken işlemlerin tespit edilmesini sağlayacak bir yapının mutlaka kurulması gerekmektedir.

PLC güvenliği konusunda da, tıpkı ağ güvenliğinde olduğu gibi, 5 yıl öncesinin “saldırganın içeri girmesini engelleyelim” yerine “saldırganlar eninde sonunda sızacak bunu mümkün olduğunca hızlı tespit edip etkisiz hale getirelim” yaklaşımı günümüz tehditlerine karşı daha uygun bir yaklaşımdır. Güvenliği “sağlanan” bir şey olmadığını ve sürekli izlenmesi gerektiğini hatırlamakta ve bunun özellikle, PLC’ler gibi fiziksel etkileri olabilecek sistemler için, daha da önemli olduğunu bilmekte fayda var.

Piyon Fırtınası

2014 yılının sonlarında ortaya çıkan ve “Pawn Storm” olarak adlandılan siber casusluk operasyonunda kullanılan yeni bir bileşen ortaya çıktı. Apple mobil cihazlarda kullanılan iOS işletim sistemini hedef alan zararlı yazılım “Pawn Storm” (Tür. “Piyon Fırtınası”) operasyonunun ilk bakışta tahmin ettiğimizden çok daha geniş bir ölçeğe yayılmış olabileceğine de kanıt oluşturabilecek niteliktedir.

“Pawn Storm” Operasyonu

2007 yılından beri yürütüldüğüne dair kanıtlar bulunan siber operasyon dünya genelinde Askeri, Kamu, savunma sanayii ve medya kuruluşlarını hedef almaktadır. A.B.D’li savunma sanayii taşeronu ACADEMI (Eski adıyla Blackwater), Fransa Savunma Bakanlığı, Avrupa Birliği Güvenlik ve İşbirliği Örgütü (Organization for Security and Co-operation in Europe), Pakistanlı üst düzey askeri komutanlar ve Polonya hükümeti şu ana kadar tespit edilebilen hedeflerden sadece bir kaçı. Operasyon kademeli olarak ve birden fazla zararlı yazılım ve/veya güvenlik zafiyeti kullanılarak yürülmektedir.

“Pawn Storm” saldırıları

Saldırıların ilk aşaması seçilen hedefe yönelik özel olarak hazırlanmış bir oltalama (phishing) e-postası yoluyla zararlı yazılımın Microsoft Office formatında bir belge (PDF, Word ve Excel görülmüştür) ile gönderilmesidir.

Aşağıda Irak’ta bulunan Vatikan Büyükelçiliğine gönderilen oltalama e-postası ve ekindeki dosyanın görüntüsü var.

Resim 1: Gelen oltalama e-postası

Resim 2: Zararlı kod çalışırken görülen belge

Bu örnekte ilgili Word belgesinde bulunan zararlı kod Microsoft Office 2003, 2007 ve 2010’u etkileyen CVE-2012-0158 zafiyetini istismar ederek saldırganların bu dosyanın açıldığı bilgisayar üzerinde kod çalıştırmalarını sağlamaktadır.

Aşağıdaki görüntüler ise yine aynı zafiyetin Microsoft Excel dosyaları kullanılarak Pakistan ordusunun üst düzey komutanlarına yönelik saldırıda istismar edildiğini görebiliyoruz.

Resim 3: Gelen başka bir oltalama e-postası

Resim 4: Zararlı kod çalışırken görülen belge

İlk aşamanın sonunda hedef bilgisayarı ele geçiren saldırganlar bu sistemi ikinci aşamada kullanacakları zararlı yazılımı indirmek için kullanıyorlar. İkinci aşamada indirilen yazılım klavye hareketlerini komuta sunucusuna iletmektedir.

Saldırganların sistemi ele geçirmek için kullandıkları zafiyeti kullanarak klavye kaydedici yazılımı indirmemeleri izlerini daha etkili biçimde gizlemelerini sağlamaktadır. Bu durumda ilk aşamada kullanılan zararlı yazılım tespit edilse bile ikinci aşamayla ilgili bilgi sahibi olunamayacağından saldırganların asıl amaçları anlaşılmayacaktır.

Yeni nesil sosyal mühendislik saldırıları

Operasyon kapsamında kullanılan bir diğer önemli saldırı vektörü ise hedef kuruluşların OWA (Outlook Web Access – kuruluş e-postalarına tarayıcı üzerinden ulaşılmasına imkan veren arayüz) erişimleridir.

Saldırganların hedefe gönderdikleri ve popüler savunma sanayi fuarlarını düzenleyen şirketlerden  gelmiş gibi görünen oltalama e-postaları içerisinde zararlı yazılım yok ancak kullanılan yöntem dikkat çekici.

Saldırganların gönderdiği oltalama e-postasını OWA üzerinden bağlanarak açan kurbanların tarayıcılarında çalışan bir Javascript kodu OWA oturumunun sonlandırıldığını ve yeniden parola girilmesi gerektiğini düşündüren bir ekran gösteriyor.

Güvenlik ve savunma teknoloji fuarı Eurosatory konferansının sayfasına (eurosatory.com) benzeyecek şekilde eurosatory2014.com alanadını kullanan saldırganlar yine iki kademeli bir saldırı düzenlemektedir.

İlk aşamada saldırganlar tarafından gönderilen e-posta üzerindeki bağlantıya tıklandığında kurban saldırganların sayfasına yönlendiriliyor ve eşzamanlı olarak yeni bir sekmede Eurosatory (konferansın gerçek sayfası açılıyor).

Diğer sekmede kalan saldırganların sayfası ise hedef kuruluşa özel olarak hazırlanmış bir alanadı üzerinde barındırılan sahte bir OWA giriş sayfası oluyor.

Aşağıda Macaristan Savunma Bakanlığı’nı hedef alan saldırının ekran görüntüsünü bulabilirsiniz.

İkinci sekmede Eurosatory konferansının sayfası açıkken, kullanıcıya OWA oturumunun sonlandırıldığını ve yeniden şifre girmesi gerektiğini düşündürecek sahte OWA sayfası görülmektedir.

Resim 5: Gerçek sayfa

Resim 6: Sahte OWA sayfası (konferans sayfası ikinci sekmede)

Macaristan Savunma Bakanlığı’nın OWA sayfasının adresi mail.hm.gov.hu iken bu saldırıya özel olarak hazırlanmış alanadı mail.hm.qov.hu dur.

Aynı saldırı yönteminin başka fuarlar ve ülkeler için de kullanıldığı tespit edilmiştir.

Mobil cephesi

“Pawn Storm” operasyonu adını saldırıların satrançta kullanılana benzer kademeli taktikleri kullanmasından almaktadır. Bu benzetmeden devam edecek olursak son olarak tespit edilen piyonlar ile oyunun düşündüğümüzden ok daha geniş bir alanda oynandığını söyleyebiliriz.

IOS_XAGENT.A ve IOS_XAGENT.B olarak adlandırılan iki farkı zararlı yazılımın bu operasyon kapsamında Apple iOS işletim sistemini kullanan mobil cihazları hedef almak için geliştirildiği görülmektedir.

Hedef alınan kişinin kullandığı iPhone’a bulaşan zararlı yazılımlar aşağıdaki bilgilere saldırganlara iletebilmektedir:

SMS’ler

Rehberdeki kayıtlar

Fotoğraflar

Konum bilgisi

Yazılımın buna ek olarak sahip olduğu özellikler şunlardır;

Ses kayıt başlatabilme

Yüklü uygulamaların listesini çıkartabilme

Kablosuz ağ bağlantı durumunu görme

Zararlı yazılım bu bilgileri komuta sunucusuna internet bağlantısı (mobil veya kablosuz) iletmektedir.

Zararlıların iOS 7 üzerinde istikrarlı çalışması ve uygulama kapatılsa bile kendini geri açabilmesi gibi özelliklerinin iOS 8 üzerinde verimsiz çalışması nedeniyle ele geçirilen sürümün iOS 8 çıkmadan yazıldığı ve bulaştırıldığı düşünülmektedir.

“Pawn Storm” operasyonunun devam ettiğine dair kanıtlar göz önüne alındığında iOS8 sürümünün çıkmış olabileceğini düşünmek yanlış olmaz.

GSM Şebekesi Dinlemek

NSA’in dünyanın pek çok ülkesinde cep telefonlarını dinlemek için yürüttüğü “Auroragold Harekatının” gün ışığına çıkmasının şokunu daha yeni atlatırken, Almanya’da bilgi güvenliği alanında faaliyet gösteren bir araştırmacı, dünya genelinde isteyenin telefonları dinleyip SMSleri okumasına imkan sağlayabilen bir zafiyet açıkladı.

Auroragold Harekatı (Operation Auroragold)

NSA’yin Libya’ya askeri müdahalenin yapıldığı 2011 yılında harekat öncesi askeri unsurlara gerekli istihbaratı sağlamak için Libya’nın GSM şebekelerini hacklediği ortaya çıktı. Libya’da yürütülen bu operasyon aslında NSA’yin dünya genelinde GSM şebekelerine erişim sağlayan daha geniş bir harekatın parçası olduğu Edward Snowden tarafından yayınlanan belgelerde görülmektedir.

GSM operatörleri tarafından görüşmelerin gizliliğini sağlamak için kullanılan şifreleme yöntemlerinin de bu operasyon kapsamında NSA tarafından “sabote” edilerek zayıflatıldığı dikkat çekiyor. Yayınlanan belgelerde NSA’yin dünya genelindeki GSM şebekelerinin %70’i (tahmini 985 şebekeden 701 tanesi) hakkında detaylı teknik bilgi topladığı görülmektedir. Toplanan bilgiler daha sonra NSA’yin “sinyal geliştirme” olarak adlandırılan birimine aktarılıp şebeke dinlemeleri için gerekli “çalışmaların” yapılması sağlanmıştır.

Bir NSA sözcüsü bu konuda; “ulusal çıkarları korumak amacıyla ve uluslararası istihbarat gereksinimleri çerçevesinde sinyal işleme operasyonlarının yapıldığı” yönünde bir açıklama yaparak sürecin varlığını teyit etmiştir.

NSA’yin GSM şebekelerinde yaygın olarak kullanılan şifreleme protokolü A5/1’i kırmayı başardığı, yeni ve daha gelişmiş bir şifreleme yöntemi olan A5/3’ü kırmak yerine “Auroragold” operasyonu kapsamında kendi açısından tamamen şefaf hale getirecek yöntemler üzerinde yoğunlaşmıştır.

Yayınlanan gizli belgelerin içinde aşağıdaki dikkat çekicidir;

Görüldüğü üzere Eylül 2009’da NSA A5/3 şifreleme yöntemine saldıracak bir donanımı test etmiştir.

2010 yılına ait aşağıdaki belgede ise NSA mühendislerinin ve analistlerinin 4G şebekesi üzerindeki iletişimi ele geçirebildikleri duyurulmaktadır. (meraklısına: bu belgenin gizliliğinin kaldırılması için belirlenmiş tarih 2032'dir)

 SS7 zafiyeti

NSA tarafından önemli kaynaklar kullanılarak yürütülen bu operasyonlara gerek duymadan da bir saldırganın telefon görüşmelerini dinleyip SMS’leri okuyabilmesi mümkün olabilir.

Gelişmiş GSM şebekeleri de dahil olmak üzere pek çok Telekom altyapısında bulunan SS7 (Signal System 7) sistemi görüşmeleri ve SMSleri yönlendirmek için kullanılmaktadır. 1980’li yıllarda geliştiren SS7 sistemlerinin güvenlik açısından ciddi zafiyetler içerdiği Ağustos ayında Washington Post gazetesinde yayınlanan bir makalede zaten ortaya çıkmıştı. Yazıda SS7 sistemindeki bir zafiyeti istismar eden saldırganların dünyanın herhangi bir yerindeki cep telefonlarının yerini tespit edebildikleri açıklanmıştı.

3G ve 4G şebekelerinin güçlü şifreleme yöntemlerine rağmen şebekelerin altyapısında kullanılan SS7 sistemleri saldırganlara önemli fırsatlar sunmaktadır.

Söz konusu zafiyetin detayları henüz açıklamayan araştırmacılar bu konuda Ocak ayında Almanya’da yapılacak bir konferansta konuşacaklarını belirtiyorlar.

Amerika Sivil Özgürlükleri Birliği (American Civil Liberties Union – ACLU) tarafından bu kunda yapılan bir açıklamada; NSA bünyesinde 4G ve A5/3 gibi gelişmiş teknolojileri araştıran birimlerin olduğu gibi SS7 benzeri daha temel, görece eski ve basit teknolojileri istismar etmek için yöntemler araştıran birimler olabileceğine dikkat çekiliyor.

Ne yapmalı?

Görüldüğü gibi kiminle ne konuştuğumuzu merak edenler sadece istihbarat örgütleriyle sınırlı değil. GSM şebekesinin gittikçe IP tabanlı hale gelerek telefon dünyasından ziyade internet dünyasına kayması hackerların da iştahını kabartmıştır. Yeri gelmişken, bunu kendimizi kandırmayı bırakmak için de bir fırsat olarak görüp elimizdeki cihazların “akıllı telefon” değil, “cep bilgisayarı” olduğunu kabul etmemiz de yerinde olacaktır. Cihazlar bilgisayardır ve bilgisayarlar için geçerli olan bazı güvenlik tedbirleri alınmalıdır. Cihaz güvenliği konusunda bazı ipuçlarını http://www.alperbasaran.com/2014/09/akll-telefon-guvenligi.html adresinden ulaşabileceğiniz yazımda derlemiştim.

Bu yazının genel fikrine daha uygun olarak, kullanıcı ve veri gizliliği için aşağıdaki önerilerde bulunabilirim;

• Konum bilgisini kullanmanız gerekmiyorsa kapatın.
• Yüklediğiniz uygulamaların talep ettiği izinleri düşünün. Basit bir oyunun ve el feneri uygulamasının çağrı yönetimine, mesajlara veya rehbere ulaşması gerekli mi?
• Eposta ile gelenlere dikkat edin: Dediğim gibi, elinizdeki bir bilgisayar ve eposta yoluyla virüs geliyor
• Şifreleme yazılımı kullanın: Telefondaki bilgileri şifreleyen yazılımları kullanabilirsiniz.
• İletişimi şifreleyin: Dikkatli olun, bu tehlikeli olabilir. Görüşmelerinizi ek bir şifreleme katmanından geçirmeniz gerekiyorsa unun için kullanacağınız uygulamanın güvenilir olması çok önemlidir.
• Eski usullere dönün: Öyle ya, bir arkadaşınızla özel bir konu konuşacaksanız bunu yüz yüze yapın. Bahaneyle görüşüp bir de kahve içersiniz.