Europol Siber Suçlarla Mücadele Merkezi 2014 Raporu

Gelişmiş tehdit olarak sınıflandırdığımız APT hacker’ların dışında göz önünde bulundurmamız gereken önemli bir tehdit grubu siber suçlulardır. APT hacker’dan farklı olarak siber suçluların en büyük amacı para kazanmaktır. Son birkaç ayda Europol’a bağlı Avrupa Siber Suçlar Merkezi tarafından 2014 yılı için yayınlanan İnternet Suç Örgütleri Tehdit Değerlendirme raporunu okudum.

 Siber suçları diğer suçlardan ayıran en büyük özellik kuşkusuz suçlunun sucu işlemek için olay yerinde bulunmaya gerek duymamasıdır. Bu soruna raporda da değinilmiş ve bu nedenle güvenlik güçleri arasında ve uluslararası düzeyde yapılması gereken işbirliğinin önemi vurgulanmış. Siber suçlarda genel olarak görülen artışın ötesinde internet üzerinden işlenen suçların her geçen gün daha karmaşık hale gelmesi ve işlenen suçların hem sıklığının hem de sayısının artmasına da dikkat çekilmiş. Bu noktada rapor “bulut tabanlı siber suç” (Crime-as-a-Service) olarak da adlandırabileceğimiz ve suçu işlemek isteyenlere gerekli teknolojik bilgi ve araçların kiralandığı modele ve suçlular arasında artan gizlilik (anonymisation) seviyesine değinmiş.

Bulut tabanlı siber suçlar suç işlemek için gerekli imkanları sağlayarak internet üzerindeki yeraltı ekonomisinde büyük bir paya sahiptir. DDoS (Dağıtık Hizmet Dışı Bırakma) saldırılarının veya botnetlerin kiralanması, ihtiyaca özel zararlı yazılım geliştirilmesi, veri hırsızlığı ve şifre kırma gibi hizmetlerin kiralanabilir hale gelmesi standart suç örgütlerinin faaliyetlerini internete taşımalarını kolaylaştırmıştır. Siber suç örgütleri arasındaki ilişkilerin çıkar amaçlı veya proje bazlı başlaması ve bitmesi nedeniyle bu örgütlerin hiyerarşik yapısının tespit edilmesini zorlaştırmaktadır. Gizililik (anonymisation) ve Bitcoin benzeri kriptoparaların yaygınlaşması ile uyuşturucu, silah veya çalıntı mal ticaretinin yapılması kolaylaşmaktadır. Raporda bu noktada amaca özel ve kısıtlı kullanıma yönelik özel kriptopara birimlerinin daha sık görülmeye başlanacağının öngörüldüğü belirtilmiş.

Bulut tabanlı suç (Crime-as-a-Service)

Son yıllarda hızla gelişen siber suç dünyasının küresel ölçekte yılda 300 miyar dolardan fazla zarara yol açtığı tahmin edilmektedir. Siber suçlular olarak adlandırdığımız bu grup kendi içerisinde çok farklı özelliklere ve yeteneklere sahip küçük gruplara bölünmüştür. Uzmanlık alanlarının çeşitliği ve farklılığı ise yeteneklerini suç işlemek isteyenlere kiralayan kişi ve grupların ortaya çıkmasına ve yayılmasına neden olmuştur. Bu sayede eskiden çok özel yetenekler gerektiren siber suçları işlemek kiralama yoluyla geniş kitlelerin eline geçmiştir.

Yeraltı forumları

Siber suç dünyası çok büyük ölçüde internet siteleri ve forumlar üzerine kuruludur. Bunlar; siber suçluların tanışmak, tanıtımlarını yapmak, ürün veya hizmet alıp satmak için kullanılan pazar veya toplanma yerleri olarak düşünülebilir.  Forumlar kredi kartları veya hacking gibi belirli bir konuda uzmanlaşmış olabileceği gibi siber suçların tümünü de kapsayacak şekilde daha geniş kapsamlı olabilir. Yakın zaman kadar büyük ölçüde deepweb üzerindeyken (derin internet olarak da bilinen ve internetin endekslenmemiş bölümü) son zamanlarda Darknet’e (Derin internet üzerinde makinelerarası doğrudan paylaşım yapılan küçük ağlar) doğru kaymışlardır. Forumlarda kullanılan altyapı ve yazılımlar gibi forumları işletenlerin uyguladıkları operasyonel prosedürlerin de geliştiği görülmektedir. Darknet üzerinden hizmet eden bu yapılar suç forumları ve yasadışı alışveriş siteleri olarak ikiye ayrılabilir. Forum sitelerinin kendi içlerinde iyi düzenlenmiş bir hiyerarşi içerisinde yönetildikleri dikkat çekmektedir.

Suç Hizmetleri

Siber suç işlemek için ihtiyaç duyulabilecek bileşenlerin bütün veya parçalı olarak kiralanabilir olması suç örgütlerine yepyeni fırsatların kapılarını açarken konusunda uzman siber suçlular ise ihtiyaç duydukları destek hizmetlerini rahatça tedarik edebilir duruma gelmiştir. Suç hizmetleri kapsamında kiralanabilecek bazı bileşenleri aşağıda toparladım.

Altyapı hizmeti

Suç işlemek için siber suçluların kullanacakları altyapının güvenli, gizli ve emniyet güçlerinin erişiminden uzak olması gerekir. Bu kriterlere uyan altyapılar sadece maddi kazanç amacıyla işlenen suçlarda değil, çocuk pornosu dağıtımı veya ideolojik amaçlı işlenen siber suçlar kapsamında da kullanılmaktadır. “Kurşun geçirmez” olarak adlandırılan bu hosting hizmetlerini sağlayanların siber suç dünyasında önemli bir yeri vardır. Korudukları altyapının üzerinde barındırılan siber saldırı araçları, zararlı yazılımlar, zararlı yazılım komuta sunucuları, yasadışı içerik ve çalıntı verilerin suçlular arasında değeri düşünüldüğünde bu hizmetlerin yeraltı satış sitelerinde en çok rağbet gören hizmetlerin başında gelmesi şaşırtıcı değildir. Parasını ödeyen herkesin kiralayabileceği DDoS (dağıtık hizmet dışı bırakma) saldırılarını sağlayan altyapıların da her geçen gün geliştiği görülmektedir.

Veri hizmetleri

Siber suç dünyasının en genel geçer emtiası veridir. Bütün olarak çalınan kredi karı veya kimlik bilgisi gibi veriler yeraltı dünyasında perakende olarak satılır. Siber suçluların ticaretini yaptığı veriler sadece kredi kartı bilgileriyle sınırlı değildir. Websitesi giriş bilgileri, sosyal güvenlik bilgileri, doğum tarihi ve adres gibi bilgiler de alınıp satılmaktadır.

“Kurdukça öde” hizmeti

Zararlı yazılımı dağıtımında popüler olan bu hizmeti sağlayanlar zararlı yazılımı bulaştırdıkları sistem başına para alırlar. Bu hizmeti verenlerin ülke bazında özelleştirilmiş hizmet verdikleri de görülmüştür.

Hacking hizmeti

Basit haliyle e-posta veya sosyal medya hesabı bilgilerinin sızdırılmasını içeren bu hizmet daha hedefli veya ihtiyaca özel olarak da verilmektedir.

Tercüme hizmeti

Siber suçluların yaşadıkları ülke dışında düzenleyecekleri saldırılarda kullanılmak üzere tercümanlık hizmetleri sunulmaktadır.

Para aklama hizmeti

İnternet üzerinden çaldıkları paraları “kullanılabilir” hale getirebilmek için siber suçlular çeşitli para aklama hizmetlerinden faydalanmaktadır.

Zararlı yazılımlar

Siber suçlular tarafından sağlanan hizmetlerden en önemlilerinden birisi de zararlı yazılım tasarımı, geliştirilmesi ve yayılmasıdır. Son yıllarda karşılaşılan zararlı yazılımların teknik olarak çok gelişmiş olmasının yanında bu yazılımları geliştirenlerin 7/24 ulaşılabilir çağrı merkezi gibi profesyonel hizmetleri de vermeye başladıkları görülmüştür.

Exploit kit olarak da adlandırılan yazılımlar bilgisayarları istismar ederek zararlı yazılımların kurulmasını sağlayan araçlardır. Blackhole Exploit Kit (BEK) en başarılı Exploit kit kiralama örneklerinden birisidir. BEK sahte antivirüs dağıtımından cryptolocker türevlerinin dağıtımına kadar geniş bir yelpazede hizmet vermektedir. Windows, MAC ve Linux sürümleri olan bu yazılımı satanlar lisansla birlikte ömür boyu ücretsiz güncelleme de sağlamaktadır.

Gelişen trendler

Siber suç işlemek için ihtiyaç duyulan becerilere olan talebin önümüzdeki yıllarda artarak devam edeceği öngörülmektedir. Darknet’in kullanımının sadece siber suçlular arasında değil, normal suç örgütleri arasında giderek yaygınlaşacağı da bir diğer görüştür. Siber suçlular ise temelde iki ana gruba ayrılabilir, teknik becerisi olmayan veya çok az olan ama sayıca fazla olan grup ve teknik becerileri gelişmiş olan sayıca az olan grup. Önümüzdeki yıllarda, siber suç işlemek için ihtiyaç duyulan hizmetlerin daha kolay kiralanabilir hale gelmesiyle teknik becerisi olmadan siber suç işleyenlerin sayısının artacağı düşünülmektedir.

Ödeme Dolandırıcılığı

2012 yılında Avrupa Birliği genelinde kredi kartı ile yapılan öemelerin toplamı 3,5 trilyon Euro iken aynı yıl suçlular ödeme kartı dolandırıcılığı ile 1,3 milyar Euro kazanç sağlamışlardır. Kartlar üzerinden kaybedilen her Euro’nun maliyetinin 2,79 Euro olduğu düşünülürse kartlar üzerinden işlenen suçların yol açtığı zarar çalınan paradan fazladır. Avrupa genelinde yapılan araştırmalar da Avrupa Birliği ülkelerinin vatandaşlarının %35’inin internet üzerinden kredi kartı ile ödeme yapma konusunda güvensizlik yaşadığını göstermektedir.

Kart üzerindeki manyetik şeritteki bilgilerin bir okuyucu vasıtasıyla çalınması (Skimming) giderek daha az görülen bir suç çeşidiyken kartın fiziksel olarak bulunmadığı alışverişlerde (Card Not Present – CNP) yapılan dolandırıcılıkların giderek arttığı gözlemlenmektedir.

Kart bilgilerinin ticaretinin yapıldığı sitelerde bu konuda gelişmiş bir ekosistem oluştuğu göze çarpıyor. Banka, ülke veya posta kodu gibi özelliklere göre süzüp kart bilgisi satınalınabilen web sayfalarında aynı zamanda kart bilgisi geçerlilik kontrol etme yazılımından banka hesabı açmak için kullanılabilecek sahta kimliklerin satışına kadar geniş bir yelpazede ek hizmetlere ulaşmak da mümkündür. Kartların satıldığı bazı siteler ise kart bilgisi satışından paranın aklanmasına kadar olan süreci uçtan uca tek hizmet olarak sunmaktadır.

Kart bilgilerini çalan grupla bunları paraya çeviren grupların farklı olması ve çoğu zaman farklı ülkelerde faaliyet göstermeleri Emniyet güçlerinin mücadelesini zorlaştıran önemli etkenlerden birisidir. Aşağıdaki çizimde internet üzerinden ve fiziksel olarak kart biligi çalma ve kullanma yöntemlerini basitçe özetledim. 

 İnternet üzerinden kredi kartlarıyla ilgili suç işleyenlere baktığımızda bunların genelde Doğu Avrupa veya Rus kökenli, bilgisayar becerileri oldukça gelişmiş ve geleneksel suç örgütleriyle bağı olmayan kişiler olduğunu görüyoruz. Buna karşın fiziksel olarak kartın üzerinden bilgi çalan kişilerin insan ve uyuşturucu kaçakçılığı da dahil olmak üzere pek çok suçla ilişkilerinin olduğu görülmektedir.

Raporda ele alınan çocuk istismarı, sosyal mühendislik saldırıları, kritik altyapılara yönelik saldırılar gibi başlıkların Emniyet güçleri özelinde daha anlamlı olması nedeniyle, genel okuyucu kitlesini sıkmamak adına, burada ele almayacağım.

İran'ın Stuxnet'e cevabı

Önemli güncelleme: Bazı logoları kaldırdım. Logoları kullanmaktaki amacım firmaların ticari itibarına zarar vermek değildi. Logoları olayların görsel olarak daha net algılanmasını sağladığını düşündüğüm bir şemada yer aldığı için yazıma eklemiştim.
Yazının ana konusu olmamasına ve bütün içerisinde "ayrıntı" olarak görülebilecek bu güvenlik ihlali ile ilgili bağımsız bir kuruluş olan Uluslararası Bilgi Sistemleri Güvenliği Sertifikaları Konsorsiyumu (the International Information Systems Security Certification Consortium - ISC2) tarafından olayla ilgili yayınlanan yazı http://blog.isc2.org/isc2_blog/2012/04/test.html adresinde okunabilir. 


İran 2009 yılından beri gelişmiş yöntemleri ve zararlı yazılımları kullanıldığı siber operasyonların hedefi oluyor. Bunlardan en meşhur olanı hiç şüphesiz Stuxnet’tir. İran özelinde siber savaşın kısa tarihinin; İran’nın bazı sertifika üreticilerinin hacklemesi ile başlayan ve günümüze “satır” operasyonu ile uzanan diğer yüzü ise pek bilinmez.

Resim 1: Cylance firması tarafından "satır operasyonu" için çizilen logo

İran’a karşı siber saldırılar 2010 yılında Stuxnet zararlısının tespiti ile ortaya çıkıyor.

İran buna karşılık olarak 2011 yılında bazı sertifika firmalarını hackliyor. Firmalar zararın gerçek boyutuna ilişkin kapsamlı raporlar yayınlamamak ve olayı örtbas etmeye çabasıyla bilgi saklamakla suçlandı.

2011 yılında “Batı Cephesi” olarak adlandırabileceğimiz, kaynağı belli olmasa da A.B.D., İsrail, İngiltere veya Almanya gibi bir ülkenin elinden çıkmış olabilecek kadar gelişmiş bir zararlı olan Duqu ortaya çıkıyor.

2012 yılında “Batı Cephesi” Flame ve Gauss  zararlı yazılımları ile İran’ı hedef almış, İran ise bunlara “Shamon” ve “Operation Ababil” (Ebabil Operasyonu) ile karşılık vermiştir.

2013 yılında İran A.B.D. Deniz Kuvvetlerinin iç ağını hedef alan bir saldırı gerçekleştirdi.

2014 yılında ise ucu İran’a bağlanabilecek “Saffron Rose”, “Newscaster” ve yeni ortaya çıkan “Satır” Operasyonları görülmüştür.

Resim 2: İran'ın Siber Savaşı. Solda İran'a karşı yapılan saldırılar, Sağda İran'nın başarıya sonuçlandırdığı operasyonlar

Satır Operasyonu

Türkiye’de bazı kurumları da hedef alan “Satır Operasyonu” İran’ın siber savaş gücünün yeni bir boyuta ulaştığına dair önemli kanıtlar sunmaktadır. Operasyona adınız veren “satır” (İngilizce “Cleaver”) kullanılan zararlı yazılımın kaynak kodu içerisinde bir kaç yerde geçmektedir. Örneğin zararlı yazılımın keylogger (basılan tuşları kaydeden bileşen) dizini e:\Projects\Cleaver’dir.

“Satır” operasyonun sadece küçük bir bölümünün gün yüzüne çıkmış olabileceği düşünülmektedir. Bu tür gelişmiş zararlı yazılımların tam olarak nerelere ve kimlere bulaştığının tespit edilmesi ve işlevlerinin tümümün kısa sürede ortaya çıkartılması mümkün olmadığı için bu saldırıdan etkilenen sistemlerin sayısının tespit edilenin çok üstünde olduğunu varsaymak yanlış olmaz.

İran’ı gösteren bulgular

Salman Ghazikhani, Bahman Mohebbi, Kaj, Parviz, Alireza gibi Farsça hacker isimleri.

Operasyona destek için kaydedilen alanadlarının İran’da olması

Saldırılarda kullanılan altyapının bir İran şirketine kayıtlı olması

IP adreslerinin İran’a yönlendirilmesi

Altyapının İsfahan’da bir hosting şirketinde tutulması

Altyapı maliyetinin tek kişinin veya ufak bir grubun yapabileceği yatırımın çok üzerinde olması nedeniyle operasyonu İran devletinin desteklediği düşünülmektedir.

Saldırı Kanada, Çin, İngiltere, Fransa, Almanya, Hindistan, İsrail, Kuveyt, Meksika, Pakistan, Katar, Suudi Arabistan, Güney Kore, Türkiye, Birleşik Arap Emirlikleri ve A.B.D.’de stratejik ve kritik altyapıları hedef almıştır.

Şu ana kadar Türkiye’de ortaya çıkan bulgular ilk hedefin enerji altyapısı olduğunu göstermektedir. Kişisel görüşüm tehlikenin Kamu Kurumlarında ve önemli şirketlerin bünyesinde de yayılmış olabileceği yönündedir. Askeri birimlerin bünyesinde bu operasyonun izlerinin aranmasında fayda olacaktır.

Operasyonun belkemiğini oluşturan zararlı yazılımların içerisinde gelişmiş sıfır gün (0-day) açıklarını istismar eden bir bileşene rastlanmamış, ancak Cisco Switch’lerden IIS sunuculara, Cisco VPN’lerden Linux sunuculara kadar geniş bir hedef yelpazesini istismar edebildiği görülmüştür.

Yapılan incelemede SCADA benzeri sanayi otomasyon sistemlerine sızabilme ve ele geçirme becerisine dair bir bulguya rastlanmamıştır. Kişisel tecrübem bu tür gelişmiş zararlı yazılımların birden fazla sürümünün olabildiğini göstermiştir. Bu nedenle henüz tespit edilememiş SCADA veya PLC sistemlerine özel bir sürümünün de var olabileceğini düşünmekte fayda vardır. Operasyonun havalimanları ve uçuş sistemlerinin yoğun olduğu birimleri hedef alması bu yöndeki görüşümü güçlendirmektedir.

Bazı teknik notlar

Saldırılarda ilk kullanılan vektörler SQL injection ile zafiyetin bulunduğu sunucunun ele geçirilmesi ve oltalama (phishing) saldırıları ile kullanıcı bilgilerinin çalınması gibi görünüyor. Sisteme sızdıktan sonra sistem içerisinde ve ağ üzerinde yayılmak için saldırganların yaygın olarak görülen Windows zafiyetlerini ve sızma testlerinde de sıklıkta kullandığımız Mimikatz yazılımının türevlerini kullandıklarını görüyoruz. Mimikatz ile kullanıcı bilgilerini ele geçirdikten sonra sisteme erişmek için PSExec araçlarının kullanıldığı anlaşılmıştır. 

Saldırı içerisinde artık kronikleşmiş, sızma testlerinde de sıkça karşımıza çıkan MS08-067 zafiyetinin istismar edilmesi anlamlıdır. Bu operasyon başarısını çok özel bir sıfırıncı gün açığından değil, dikkatlice yapılmış bir sızma testinde ortaya çıkartılabilecek ve kapatılabilecek basit zafiyetlere borçludur.

Ağ üzerinde ele geçirdikleri önemli verileri dışarı sızdırmak için saldırganlar yine basit yöntemler kullanmıştır. Saldırganlar anonim bağlantı kabul eden FTP sunucularını ve Netcat yazılımını sızdıkları ağ ve sistemlerden bilgi çalmak için  kullanmışlardır.

Sızdıkları sistemde kalıcı olabilmek için saldırganlar TinyZBot adlı arka kapıyı kullanmış. TinyZBot aşağıda bir kısmını listelediğim gelişmiş bazı özelliklere sahiptir;

SMTP üzerinden veri sızdırabilme

Keylogger özelliği

SOAP üzerinden komut alabilme

Otomatik güncelleme

Ekran görüntüsü alma

İnternet Explorer üzerinde kayıtlı parolaları çalma

FTP üzerinden veri sızdırma

Avira antivirüsü devre dışı bırakma

Kurumunuzun hedef alındığını nasıl anlarsınız?

Aşağıda, bu saldırının kurbanı olduğunuzu gösteren bazı önemli noktaları paylaştım, kullanılan IP adreslerinin, alanadlarının ve zararlı yazılım numune hashlerinin tamamı için benimle iletişime geçebilirsiniz.

İçlerinden birinin bile varlığını tespit ederseniz konuşmamızda fayda var.

Saldırı için kullanılan alanadlarının birkaçı aşağıdadır.

easyresumecreatorpro(dot)com

googleproductupdate(dot)com

googleproductupdate(dot)net

kundenpflege.menrad(dot)de

microsoftactiveservices(dot)com

microsoftmiddleast(dot)com

microsoftonlineupdates(dot)com

Veri sızdırmak için kullanılan email adresleri:

testmail_00001(at)yahoo.com

TerafficAnalyzer(at)yahoo.com

dyanachear(at)beyondsys.com

Operasyonda kullanılan bazı IP adresleri

50.23.164.161

64.120.128.154

64.120.208.74

64.120.208.75

64.120.208.76

64.120.208.78

64.120.208.154

66.96.252.198

78.109.194.114

80.243.182.149

Tespit edilen zararlı numunelerin bazılarının MD-5 Hashleri

01606d42c64e4d15ea07d4e1fbd0c40d

0405adfc8739025ba88c746c8edebfb8

04fdf5b757764af8bc7ef88e0f8fe8c1

0512c5a8807e4fdeb662e61d81cd1645

0593352cadb2789c19c2660e02b2648b

08eabb6164b1b12307931e4f2d95f7c6

0900c3319e4c46ff9478e3e1fa9528a1

0acd8945bd162e5e7aa982cddbd8ecaa

0ad6a01a916f14fc24fa43e46813b3bb

0b2cbfa07fa9a090b35a3dfdb0ebad9d

0b80a8d2c56789b4bda9a56a53e7e2b1

0f4b526d8edf1d3d32c81a692c325733

10d019932fc43e9b39be709f8281203d

1223e93dd4a5ad0536c8232936cb35fe

144064951cceaf1bb81e8f215de76101

14a80287490f3a68d99c0f518b246fd2

17d1f25185b31044eb89a99d50d36a26

18942a44d2b5f2bbf54e2c18ac293915

Tespit edilen zararlı numunelerin bazılarının SHA-256 Hashleri

c30a2fe22050dcac30616a3d27d5c92ea2815d060b365747984913758a209aaa

c74df42cfc7c7221f7f28c67bd726a1caad8453fc35daddfb094aaeede2e8e1e

c9010e060de6a83c3802ed4e6b7f544e6eb2b5420ee2be5c71646e6a27182bea

c901d84878f50a93ab76f2ea31763bebb0acf0c0f9ad86b3abf98e5cde499332

c99fa90038cec60d9aa21a49e537ad9ea55672ed78cf5b429cb4c75ebc5ccd69

c9fc8133e755c14cb02872ba05a2332baefe5e94797479aded46c3db83a7cc14

ca7138bfe08b480386653072482e58f6c48b05a1e7fb8a82cc042806eae9acc2

caa769a21bf97987de4cc92874eaa03e7b0538082c502606aa8ca97823e2e2aa

cd75664edea18e3aa303763e6f6c639b3e90ead4b51c2b3e41c808e3d968c848

cffba2a145d91bdecfa8cb32af6964576889faa04591b503a58507cf89ab7cae

d045ea925cf461da5c58cc2af8a0f96ec7c961ea62ffcf1de0b04abf9b0fa8ac

d11b504b18bc8615e98f3c37d98c6fe11216a0f070a056414ca4407fc298fbd6

Operasyonun kurbanı olduğunuzu anlamanızı sağlayacak diğer ipuçları ve IPS/IDS (Sızma tespit ve engelleme sistemi) imzaları için bana ulaşabilirsiniz.

---------------------------------

---------------------------------

---------------------------------

“Safran Gülü”... “Ebabil”... İran operasyon isimlerine doğu ezgilerini soktu ve aklıma Vedat Özdemir’in “iki resim arasındaki 7 fark” yazısı geldi. Doğu ve Batı arasındaki 7 farkı şöyle söylemiş (ağır siber savaş yazısına renk katması ümidiyle paylaşıyorum):

Doğu incecidir, halıyı uçurur…

Batı birebircidir, adamı uçurur…

Doğu’ya sömürgeciler gitmiştir…

Batı’ya kaşifler gitmiştir…

Doğu temennicidir, “yüreğine sağlık” der…

Batı, nesneldir, “by pass”a girer…

Doğu’nun Batı’ya saldırıları ‘barbarlık’tır…

Batı’nın Doğu’ya saldırıları ‘sefer’dir…

Doğu’da “aşk” olunur…

Batı’da yapılır…

Doğu’nun Ali Baba’sı haramilerle uğraşır…

Batı’nın Godfather’ı da haramilerle uğraşır ama kendisi de bizzat haramidir…

Doğulu cemaatçidir, yoldaş için can cerir…

Batılı bireycidir, kendi kendine intihar eder…

Siber Saldırganı Tanımak

Bilgi güvenliği konusunda proaktif bir yaklaşım oluşturabilmek için düşmanı doğru tanımak çok önemlidir. Zafiyet yönetimi programı oluşturmanın ötesinde sızma testi yaptırmamızın da nedenlerinden birisi de düşmanı anlamaya çalışmaktır.

Resim 1: Şapka renklerine göre hackerlar

Verdiğim eğitimlerde hacker ve şapka meselesi ister istemez gündeme geliyor. Aşağıdaki slayttan anlayabileceğiniz üzere şapka rengine göre yapılan ayrıma inanmıyorum.

Resim 2: Şapkalardan başlayan sınıflandırma genişletilebilir

 Klasik doktrin, daha doğrusu bizim romantikleştirdiğimiz hacker ayrımı aşağıdaki gibidir;

Beyaz şapkalı hacker: Bilgi güvenliği alanında çalışan Hacker. Bildiklerini kurumsal ağları daha güvenli hale getirmek için kullanıyor.

Siyah şapkalı hacker: Suçlu. Kötü niyetli hacker.

Gri şapkalı hacker: Duruma göre iyi veya kötü olan hacker.

İlk bakışta yeterli bir ayrım gibi görülebilir ancak benim gibi bilgi güvenliğini yönetmesi gereken tarafta iseniz bu ayrım sizin için de bir anlam ifade etmez. Kendinizi kimden korumanız gerektiğini bilmeden etkili bir savunma yapısı kurmanız mümkün değildir.

Proaktif güvenlik yaklaşımı çerçevesinde düşmanı profillemek ona hollywoodvari isimler takmaktan daha mantıklı olacaktır. Şapka rengine göre yapılan ayrım kız arkadaşını etkilemek için kurum sayfasını değiştiren çocukla, iyi korunan bir ağa sızıp, 6 – 7 ay farkedilmeden veri sızdırabilen kalabalık bir suç örgütü aynı sınıfa koyacaktır. İlki basit önlemlerle bertaraf edilebilecek bir olayken diğerini engellemek ve farketmek çok daha farklı bir yaklaşım gerektirir.

Bu nedenle saldırganları uzmanlık, motivasyon ve kullanılan saldırı vektörüne göre sınıflandırmak daha anlamlıdır.

Uzmanlık seviyesi

Saldırganlarda 4 temel uzmanlık seviyesi gözlemliyoruz.

Sıfır seviyesi: Sıradan kullanıcılar. Saldırganlar için ihtiyaç halinde mail ekini açacak, kurum ağına ilk giriş noktası olabilir. Bunlar işten ayrılmadan önce hassas müşteri veya üretim bilgilerini bir USB belleğe kopyalayan çalışanlar da olabilir.

Başlangıç seviyesi: Çok bilinen zafiyetleri istismar ederek saldıran ve bazı “Bilgi Güvenliği Uzmanlarının” Lamer diyerek aşaladığını düşündüğü saldırgan profilidir. Etkili DoS/DDoS (hizmet dışı bırakma/dağıtık hizmet dışı bırakma) saldırılarından web sayfanıza istemediğiniz bir mesaj konulmasına kadar gürültülü ama etkili olabilecek saldırılar düzenleyebilirler, aşağılanacak bir yanları yok. 

Orta seviye: Belli bir bilgi ve beceri seviyesine sahip saldırganlardır. Belirli zafiyetler için istismar kodu geliştirebilirler. Hizmetlerini yer altı forumlarında kiralayabilirler veya siyasi ve dini inançları doğrultusunda eylemler gerçekleştirebilirler.

Uzman seviyesi: Üst düzeyde bilgi ve beceriye sahip saldırganlardır. Tersine mühendislik, sıfır gün açığı tespiti ve yeni istismar kodları geliştirebilirler. Daha önce kısaca değindiğim APT 28 grubu buna iyi bir örnektir, APT 28 grubu ile ilgili yazıma http://www.alperbasaran.com/2014/10/apt-ve-olum-zinciri.html adresinden ulaşabilirsiniz.

Nasıl bir saldırganla karşı karşıya olduğumuzu veya olabileceğimizi anlamak amacıyla saldırının ne kadar karmaşık olduğuna bakabiliriz. Uzman seviyesinde bir saldırgan tarafından gerçekleştirilen saldırının izlerinin giriş seviyesi bir saldırganınkinden çok farklı olacağı açıktır.

Bu uzmanlık seviyelerinin yanında saldırganın amacı ve bulabileceği saldırı vektörü bize neye karşı önlem almamız gerektiği konusunda önemli bilgiler verir. Yukarıda gördüklerimiz doğrultusunda basit bir örnek ele alırsak:

Saldırgan seviyesi: Sıfır

Amaç: Çalıştığı/ayrılmak üzere olduğu şirkete zarar vermek veya kendi işini kurmak/rakibe geçmek için ihtiyacı olan müşteri portföyü ve ürün/maliyet bilgilerini almak.

Saldırı vektörü: USB bellek ve eposta

Saldırının etkisi: Önemli şirket bilgilerinin çalınması

Alınabilecek önlemler: “Bilgilerimiz neler? Kimdeler? ve Neredeler?” sorularının cevaplanacağı bir kurumsal sürecin oluşturulması ve bu çalışma sonucunda gerek olursa bir DLP (Data Loss Prevention) çözümü alınması (DLP’nin tam olarak neleri adreslediğini anlatan iyi hazırlanmış bir videoya http://www.symantec.com/products-solutions/products/videos-lightbox.jsp?cid=dlp_product_overview adresinden ulaşabilirsiniz).

Saldırgan seviyesi: Başlangıç

Amaç: Siyasi mesaj vermek

Saldırı vektörü: Web sunucusu

Saldırının etkisi: Kurumun itibar kaybetmesi

Alınabilecek önlemler: Web sunucusu zafiyet taraması, biz sıkılaştırma ve zafiyet yönetimi planını hayata geçirmek.

Saldırgan seviyesi: Sıfır

Amaç: Web sayfasının devre dışı bırakılıp gelir ve itibar kaybı yaşanması

Saldırı vektörü: Forumlardan DDoS hizmeti kiralanması

Saldırının etkisi: Kurumun itibar ve, varsa, gelir kaybetmesi

Alınabilecek önlemler: Mevcut sistemlerin kaldırabileceği trafik seviyesinin belirlenmesi için gerekli testlerin yapılması, gerek olursa (sistemin devre dışı kalması için gerekli DDoS saldırısının yapılması saldırgan açısından ekonomik veya yeterli olacaksa) bir DDoS çözümü alınması.

Saldırganların kim olabileceğini anlamak bilgi güvenliği yatırımlarımızı en doğru ve en etkili olacak yerlere yapabilmemiz için çok önemlidir.

Basit bir örnek vermek gerekirse, aşağıdaki ekran görüntüsü kendini “the Mato” olarak tanımlayan ve bir kamu kurumu sitesini “sevdiği” uğruna hacklediğini iddia eden bir saldırganın eseridir.

Resim 3: Sevdiceği uğruna kamu kurumu hackleyen "The Mato"

Öte yandan 2008 yılında yayınlanan bir rapor Rusya’nın diğer ülkelere karşı kullandığı “siber ordusu” hakkında aşağıdaki rakamları vermişti;

Yıllık bütçe: 127 milyon A.B.D. doları

Tam zamanlı personel sayısı: 7.300’den fazla

Yedek ve milis: Yok

Kontrol edilen geniş bant internet bağlantısı: 24 milyona yakın (dünyanın en büyük Botnet’lerinden birisi)

Saldırının kaynağından çok saldırgan profiline odaklanmamızın nedeni saldırı kaynaklarının yanıltıcı olabilmesidir. Aşağıdaki ekran görüntüsünü, 1 dakikadan az bir sürede ve evimdeki çalışma ofisimden hazırladım. http://www.iplocation.net/ Kaynak IP’nin geldiği ülkeyi gösteren ücretsiz bir web sayfasıdır Görebileceğiniz gibi dünyanın herhangi bir noktasından saldırı başlatmam mümkündür, daha doğrusu saldırıyı istediğim ülkeden geliyormuş gibi göstermem mümkündür.

Resim 4: Oturduğum yerden sanal ortamda dünya turu 

Anlaşıldığı gibi, saldırgan profilimiz “the Mato” seviyesindeyse KGB’nin 16. Birimi olan Rusya’nın gelişmiş siber ordusuna yönelik bir savunma hattı oluşturmamıza gerek olmayacaktır. Öte yandan stratejik öneme sahip bir kurum olarak bizi sadece başlangıç seviyesi saldırganların hedef aldığını ve siber ordusuna yılda 76 milyon A.B.D. doları harcayan ve bu konuda çalışan 2.500’e yakın personeli olan İran’nın bizimle “ilgilenmediğini” düşünmek saflık olur.

Görüldüğü gibi proaktif güvenlik yapısının kurulması “siyah şapkalara karşı beyaz şapkalılar” kadar basit bir denkleme bağlı değildir. Bu nedenle, korumaya çalıştığımız veriyi ve buna bağlı iş süreçlerinin anlaşılması ile başlayan bir çalışmanın doğru bir saldırgan profilleme çalışması ile devam etmesi önemlidir.

Bilgi güvenliği konusunda barındırdığımız riskleri anlamak için basit bir çalışma aşağıdaki soruların yanıtlarının bulunması ile başlayabilir.

Her zaman olduğu gibi, bir kamu veya askeri kurumda çalışıyorsanız bu çalışmayı birlikte yapabiliriz, bana ulaşmanız yeterlidir.

Tehditler ve düşmanlar kimdir?

Saldırganlar tarafından kullanılan ve kullanılabilecek araçlar nelerdir?

Saldırganların amaçları ne olabilir?

Yapılabilecek saldırıların etkileri nelerdir?

En açık saldırı vektörleri hangileridir?

Saldırganı doğru profillemek bize sadece kendimizi savunma konusunda önemli bilgiler vermekle kalmıyor, aynı zamanda olası bir saldırıyı daha hızlı tespit etmemizi sağlıyor. Kurumsal ağımıza birinin sızıp sızmadığını anlamaya çalışırken ve sızma durumunda gerekli uyarıları üretecek bir yapı kurarken neleri dikkate alacağımızı bilmemiz önemlidir.

Aşağıdaki çizimde görüldüğü gibi saldırganın bilgi seviyesi, amacı ve ulaşabileceği saldırı vektörleri saldırı türünü belirler ve sonuç olarak saldırının bırakacağı izlerin neler olduğuna büyük etkisi olur.

Resim 5: Saldırgan seviyesinin saldırı izlerine etkisi

 Görüldüğü gibi, saldırganı doğru profillemek ve saldırı vektörlerini doğru anlamak hem saldırıyı engellememize yardımcı olur, hem de saldırıyı tespit etmek için nerelere ve hangi loglara bakmamız gerektiğini belirler.