Metasploit ile Nmap Kullanmak

Nispeten geniş ağları test ederken süre kısıtımız olduğunda zaman kazandırdığına inandığım için taramaların bir kısmını doğrudan Metasploit içerisinden yapmayı tercih ediyorum.

Ağ taramalarının (scan) benim için 4 temel amacı vardır;

• Ağ üzerindeki sistemleri tespit etmek
• Bulunan sistemlerde açık olan portları ve çalışan servisleri bulmak
• Bulunan servislerde ve sistemlerdeki zafiyetleri tespit etmek
• Ağ üzerinden iş süreçlerini ve genel işleyişi anlamaya çalışmak (Sıramatik var mı?, Misafirlere wi-fi hizmeti veriliyor mu?, NAS cihazı var mı? vs.)

Normal şartlar altında tarama aşaması en çok zaman harcadığım ve en iyi yapmaya çalıştığım şeydir. İyi yapılmış bir tarama hem ağ topolojisini doğru çıkartmamızı sağlar hem de testler için kullanılabilir ve etkili bir plan hazırlamamıza imkan verir.
Bazen de testi hızlı yapmak gerekir, ağ çok karmaşık değildir, "whitebox" dediğimiz, müşterinin topoloji ve sistem detaylarını bizimle paylaştığı türden bir testtir ve zaman esastır. Bu durumlarda Metasploit'un üzerinde bulunan tarama modüllerini kullanmakta fayda görüyorum.
Metasploit'un üzerindeki tarama modüllerini tespit etmek için Metasploit'u başlattıktan sonra "search scan" ile arama yapmanız yeterlidir.

En yaygın olarak kullanılan tarama yazılımı Nmap olduğu için bu yazıdaki örnekleri onun üzerinden yaptım.

Bu işlem için kurduğum topoloji aşağıdaki gibidir. Görüldüğü üzere 192.168.1.34 IP adresli makine saldırgan, diğer ikisi kurbandır. 

Resim 1: Topoloji (evet, bunları çizerken çok eğleniyorum)

Metasploit içerisinde Nmap'i kullanabilmek için Metasploit'u başlatmadan önce aşağıda görüldüğü gibi Postgresql'i ve Metasploit'u servis olarak başlatmak gerekiyor.

Resim 2: Postgresql'i çalıştırmak

Resim 3: Metasploit'u servis olarak başlatmak

Bu iki aşamadan sonra "msfconsole" komutuyla Metasploit konsolünü çalıştırabiliriz.

Resim 4: Metasploit konsolü çalıştırmak

Resim 5: Her zaman olduğu gibi Metaslpoit bizi sevimli bir grafikle karşılıyor

Metasploit içerisinden Nmap'e ulaşmak için kullanacağımız komutlar bildiğimiz Nmap komutlarıdır.

Ağdaki diğer makineleri tespit etmek için kullanabileceğimiz yöntemlerden biri Ping paketi gönderip, cevap veren makinelere bakmaktır. Bazı sistemlerin açık ve ağa bağlı oldukları halde Ping paketlerine cevap vermeyeceklerini hatırlatmak isterim. Bu durumda kullandığımız komut aşağıdaki gibidir:

msf > db_nmap -sP 192.168.1.*

db_nmap: Metasploit içerisinden Nmap'i çalıştırmama imkan veriyor.

-sP: Ping taraması yapar ve hedef olarak belirlediğimiz IP veya IPlere ping paketi gönderir.

***Edit: -sP basitçe Ping paketi göndermekten fazlasını yapıyor, daha doğrusu sadece ping göndermiyor. Ayrıntılar için Nmap'in kendi dokümantasyonuna http://nmap.org/book/man.html adresinden ulaşabilirsiniz. Uyarı ve düzeltme için teşekkür ederim @kadiraltan kendimi geliştirmemde ve vizyon kazanmamda katkın büyük. 

192.168.1.*: 192.168.1.0 ile 192.168.1.255 arasındaki bütün IP adreslerini kapsar

Resim 6: Ping taraması

Aşağıda görüldüğü gibi Ping sorgusu ile 192.168.1.20 adresinde bir makine tespit ettik. 

Resim 7: Ping taraması sonucu

Ping taramasından sonra ağ ve apdaki makineler hakkında daha fazla bilgi almak için bir de SYN taraması yapıyoruz. 

Resim 8: SYN Taraması

SYN taraması yapmak için kullanacağımız komut db_nmap -sS 192.168.1.* dir. 

Resim 9: SYN taraması sonuçları ve hosts komutu

SYN taraması sonuçlandığında "hosts" komutu ile tarama sonucu tespit ettiğimiz makineleri listelememiz mümkündür. Yukarıda görüldüğü üzere 192.168.1.20 ve 192.168.1.27 IP adreslerini kullanan makineleri tespit ettik. 

Makineler hakkında biraz daha bilgi sahibi olmak için daha kapsamlı bir tarama komutu kullanılabilir. Bunun için -sS parametresi ile birlikte -sV (versiyon/sürüm bilgisi) ve -O (işletim sistemi) parametreleri eklenebilir. 

Resim 10: İşletim sistemi ve sürüm bilgilerini de almaya çalıştığımız tarama

Bu tarama sonucunda "hosts" komutunu tekrar çalıştırdığımızda tespit ettiğimiz makinelerin birinin Linux, diğerinin Windows olduğunu görüyoruz. 

Resim 11: Hosts komutu ile işletim sistemi bilgisini görmek

Taramadan sonra "services" komutu ile ağ üzerinde tespit edilen sistemlerde Nmap'in bulduğu makineler üzerinde çalışan servisleri listeleyebiliyoruz. Amacımız zaman kazanmak olduğu için kolay istismar edilebilir olarak bildiğimiz servislerin hangi IP adreslerinde bulunan makinelerde aktif olduğunu tespit etmemize yardımcı olacak bir komuttur. 

Resim 12: services komutu ile ağ üzerinde çalışan servisleri listelemek

Ağ üzerinde birkaç sisteme hızlı şekilde sızmanın gerektiği durumlarda hosts komutunu -c address,os_flavor parametreleriyle kullanmak hedef makinleri listelememizi hızlandıracaktır. Bu durumda gerçek ağlarda çoğunlukla olduğu gibi ilk seçeneğimiz Linux makinelere saldırmak olacaktır. Linux sistemlerin hem daha seyrek olarak güncellenmeleri hem de "virüs bulaşmaz" düşüncesiyle antivirüs kurulmadan ağa bağlanmaları saldırganlar için çok güzel bir fırsat sunmaktadır. 

İstismar Sonrası Linux Komutları

Geçtiğimiz sene yaklaşık 20 üniversitede “Siber Güvenlik ve Hacking” konulu çeşitli seminerler verdim. Uygulamalı olarak ele aldığım bölümde ise aşağıdaki basit networkü oluşturup port taraması ve zafiyet tespiti aşamalarından sonra hedef sistemi ele geçiriyorum.
Seminerin süresinin kısıtlı olması nedeniyle bundan sonraki aşamaları çok detaylı ele alma imkanım pek olmadı. Bu yazı, sistemi ele geçirdikten sonra saldırganın yapabileceklerini ele alırken aynı zamanda sistem yöneticilerinin de bilmesi ve kullanması gereken basit bazı Linux komutlarını ele alacak.

 Aşağıdaki gibi basit bir topoloji oluşturdum. Saldırı için kullandığım sanal makine Kali Linux, hedef olarak kullandığım sanal makine ise Metasploitable (http://sourceforge.net/projects/metasploitable/files/Metasploitable2/). Metasploitable sızma testleri konusunda pratik yapmak için geliştirilmiş ve üzerinde çeşitli zafiyetler barındıran bir Linux dağıtımıdır. Yeri gelmişken: lütfen Metasploitable yüklü hiç bir sanal makineyi internete açmamaya dikkat edin.

Resim 1: Topoloji

Hedef sistemde olduğunu bildiğim bir açığı bulmak için Nmap kullanıyorum. Hedef Metasploitable olduğu için üzerindeki zafiyetleri biliyorum, bu kısmı biraz "hikayenin bütünlüğünü sağlamak" için ekledim. 

Resim 2: Nmap ile hedef sistemde zafiyet barındıran hizmeti ve portu tespit etmek

Unreal IRC hizmetinde var olduğunu bildiğim zafiyeti istismar etmek için Metasploit'u kullanacağım. 

Resim 3: Metasploit'un esprili başlangıç bannerlarından birisi

Metasploit'ta var olan ve Unreal IRC'i hedef alan istismarı kullanıyorum ama meterpreter benzeri bir shell yüklemek yerine bana hedef sistemin komut satırını getirmesini istiyorum. 

Resim 4: Unreal IRC istismarı

Komutlar sırasıyla: 

Kullanacağım istismarı seçmek için: use exploit/unix/irc/unreal_ircd_3281_backdoor

Hedef sistemi belirlemek için: set RHOST 192.168.1.20

Saldırıyı başlatmak için: exploit

Resim 5: Hedef sistemin komut satırına erişim sağlamak

Hedef sistemde birden fazla kullanıcı ve yetkinin tanımlı olabileceğini düşünerek ilk adım hangi kullanıcı ve dolayısıyla hangi yetki ile erişim sağladığımı anlamaya çalışmak olabilir. Böylece bundan sonra atacağım adıma karar verebilirim.

Resim 6: Hedef sistemde ilk adımlar

Yukarıdaki komutlar sırasıyla;

Hedef sistem üzerinde kim olduğumu anlamak için: whoami ve/veya id

Hedef sistem üzerinde neler yapabileceğimi anlamak için: sudo -l

Hedef metasploitable olduğu için bu durum her saldırganın rüyasıdır, ROOT kullanıcısı ile bağlıyım ve hedef sistem üzerinde tam yetkiliyim. Gerçek hayatta arada bir bu durumla karşılaşsak bile çoğunlukla sıradan bir kullanıcı veya bir servisin yetkileri ile bir sisteme bağlandığımız için o anda neler yapabileceğimizi anlamamız çok önemlidir. 

Hedef sistemin nereye bağlı olduğunu ve erişebileceğimiz diğer sistemlerin ne olduğunu anlamak için ele geçirdiğimiz sistemin ağ bağlantılarını anlamak önemlidir. 

Resim 7: ifconfig komutu

 Resim 8: route komutu

Route komutu bize ele geçirdiğimiz sistemin sahip olduğu network routeları konusunda bilgi verdiği için önemli bir adımdır.

Sistem hakkında bize önemli bilgiler verebilecek diğer komutlara aşağıda değineceğim. Ele geçirilen sistemin ne olduğu, nerelere bağlı olduğu ve sizin bu sistem üzerinizdeki yetkilerinizi anlamak saldırının başarılı olup olmayacağı konusunda hayati önem taşır. Bir sızma testi sırasında en kolay ele geçirdiğimiz sistemin hiç bir yere bağlı olmayan bir sıramatik (banka veya hastane gibi yerlerde sıra numarası dağıtmak için kullanılan kiosklar) olduğunu anlamak biraz moral bozmuş olsa da kurum ağına bağlı olduğunu görmek ve üzerinde antivirüs olmadığı için iç ağa saldırmak için istediğimiz yazılımı yükleyebileceğimizi anladığımızda keyfimiz yerine gelmişti.

Resim 9: Ele geçirilen sistem üzerinde çalışan servisleri listelemek

cat /etc/services komutu ele geçirdiğimiz sistemin hangi amaçla kullanıldığına dair önemli bilgiler verir.

Resim 10: env komutu

Ortam değişkenlerini listemelek için kullandığımız env komutu. PATH değişkenine eklemeler yapmak hedef sistemin istediğimiz şekilde davranmasını sağlamak için gerekli olabilir. PWD ise "Print Working Directory", yani içerisinde bulunduğumuz dizini gösterir.
Bu bilgiye doğrudan pwd komutunu kullanarak da ulaşabiliriz.

Resim 11: pwd komutu

Sistemi Unreal IRC servisini istismar ederek ele geçirdiğimiz için /etc/unreal klasöründe olmamız doğal.

Resim 12: Uname ailesi

Ele geçirdiğimiz sistemi daha yakından tanımak için kullanabileceğimiz komutlardan birisi de uname'dir. Bu komutu farklı parametreler ile birlikte kullanarak sistemin adını ve sistem üzerinde daha kalıcı bir varlık elde etmek için kullanılabilecek başka istismarlar olup olmadığını bulabiliriz.

Resim 13: Beklenen an; parola hashleri

Sistem hakkında bilgi toplamak için kullanabileceğiniz komutlar arasında tabii ki en cazip olan "cat /etc/shadow"dur. Bu aslında bir komut değil, /etc/shadow dizininde bulunan dosyanın açılmasıdır. Bu dosyada bizim için önemli olan bilgi kullanıcı parolalarının hash değerleridir. 

İstismar sonrası kullanılabilecek komutları toparlarsak;

whoami: sistem üzerinde kim olduğumuzu anlamak için

sudo -l: sahip olduğumuz kullanıcının yapabileceklerini anlamak için

pwd: bulunduğumuz dizini görmek için

ps aux | grep root: root yetkisiyle çalışan servisleri görmek için

/sbin/ifconfig -a: mevcut ağ bağlantılarını görmek için

route: sistemin network routelarını görmek için

iptables -L: iptables kurallarını görmek için

arp -a: ARP bağlantılarını görmek için

last: Sisteme en son giriş yapan kullanıcılar

users: Sistemde bulunan kullanıcıları listeler

Siber Savaş Tarihinden bazı olaylar

1998 yılının mayıs ayında Endonezya'da başlayan Çin karşıtı gösterilere tepki olarak ortaya çıkan ve kendilerine “China Hacker Emergency Meeting Center” (Çin Hacker Acil Toplanma Merkezi) adını veren yaklaşık 3,000 hacker Endonezya hükümetine ait internet sitelerine saldırmıştır. Ertesi yıl, 7 Mayıs 1999 günü NATO'ya ait bir savaş uçağının yanlışlıkla Yugoslavya'nın Belgrad şehrinde bulunan Çin Büyükelçiliğini bombalamasının üzerinden 12 saat geçmeden A.B.D hükümetine ait yüzlerce site Çin kaynaklı yoğun saldırılara maruz kalmıştır. 2001 yılında Güney Çin Denizi üzerinde bir A.B.D. Savaş uçağıyla karpışmasının ardından yaklaşık 80,000 çinli hacker A.B.D. hükümetine saldırmıştır. New Times gazetesi bu olayı I. İnternet Savaşı (World Wide Web War I) olarak adlandırmıştır.  

2007 yılı siber savaş açısından önemli bir yıldır. Estonya ve Suriye'de yaşanan olaylar siber savaşın ulaşabileceği boyutları net bir şekilde ortaya koymaktadır.

Estonya Hükümetinin İkinci dünya savaşı sırasında hayatını Estonya'da kaybeden Rus askerleri için dikilen anıtın yerinin değiştirilmesi için aldığı karar sonrası ülkenin internet altyapısını felç eden DDoS saldırıları başlamıştır. Saldırılarla Rus Hükümeti arasında doğrudan bir bağlantının varlığına ilişkin bir kanıt olmasa da saldırıların Rus Hükümetinin emriyle gerçekleştirildiğine dair yorumlar yapılmıştır. Yoğun saldırı ile ülkede bankacılık işlemleri, devlete ait internet siteleri haber portalları gibi başlıca internet hizmetleri kullanılamaz hale gelmiştir.  Gelen yoğun DDoS (sistemleri çalışamaz hale getiren dağıtık yapıdaki saldırılar) bankaları yeterince sıkıntıya sokmazmış gibi kredi kartı veren kuruluşlar panik sonucu verdikleri kararla kendi sistemlerini kapatmıştır. Saldırıların çoğunun Rusya'dan geldiğinin tespit edilmesi üzerine Estonya yurt dışından gelen internet hatlarını kapatmış ama buna rağmen saldırılar birkaç hafta daha devam etmiştir.

Tallinn'deki Bronz Asker Anıtı

27 Nisan 2007 günü başlayan ve ciddi sıkıntılara yol açan saldırılar NATO bünyesine uzman bir birimin kurulmasına katkı sağlamıştır. NATO bünyesinde kurulan “mükemmeliyet merkezi” (Center of Excellence) tesadüfen Estonya'nın Tallinn kentinde ve olaylara yol açan Rus Askeri Anıtının eski yerine çok uzak olmayan bir yerde bulunmaktadır. Cooperative Cyber Defence Centre of Excellence adıyla anılan “İşbirlikçi Siber Savunma Mükemmeliyet Merkezi'nin” başlıca amaçları aşağıdadır;

• NATO ağı olan NNEC içerisinde güvenlik düzeyine yükseltmek
• savunmaya ilişkin doktrinleri ve konseptleri geliştirilmek ve yürürlüğe koymak
• Bilgi güvenliği ve siber savunma konularında bilinç ve eğitim düzeyini arttırmak
• Siber savunma tatbikatlarına destek vermek
• Siber savunmanın hukuki çerçevesini oluşturmak

Estonya'da yaşanan bu olay siber uzayın Dünya'dan önemli bir noktada ayrıştığını göstermiştir. Dünya'da barış durumu ülkeler arasında savaş olmamasıdır, savaşlar ise ilan edilir ve ülkeler arasında yapılır. Estonya'ya yapılan saldırılar ise savaş tanımına uymamaktadır. Resmi açıklamaları dikkate alırsa olay “milliyetçi duyguları ağır basmış” sivillerin başka bir ülkeye saldırmasından ibarettir. Bir ülkenin halkı, kendi hükümetinden veya ordusundan bağımsız bir şekilde başka bir ülkeye savaş açmış. Estonya örneğinde bu olayın “savaş” olarak nitelenip nitelenmemesi önemlidir. Estonya NATO üyesi olduğundan savaşa girmesi A.B.D. Dahil pek çok ülkeyi ilgilendirebilecek bir durumdur.  Silahların, orduların, füzelerin, savaş uçaklarının yerini virüsler, kötücül yazılımlar ve dizüstü bilgisayarlar aldığı için savaşlar ne yazık ki devletlerin vereceği kararlar sonucunda değil, neredeyse canı isteyen herkes tarafından başlatılabilir.

Aynı yılın 6 Eylül gecesi, İsrail hava kuvvetlerine ait F15 ve F16'lardan oluşan bir grup savaş uçağı Suriye'nin kuzeyinde bulunan bir nükleer tesisi bombaladı. Bombalama olayının özünün sıradan olmasına karşılık ülkeyi neredeyse boydan boya geçen ve radarlardan kaçabilecek teknolojiye sahip olmayan bu uçakların Suriye radarları tarafından görülememiş olması ilginçtir. Milyarlarca dolar değerindeki son teknoloji ürünü radar sistemlerinin 1970'lerde tasarlanmış ve üretilmiş bu uçakları görmemiş olması imkansızdır. Operasyonun başarısını saldırıdan önce Suriye radar sistemine sızılmış olmasında yatmaktadır. Bu sayede İsrail Suriye radarlarına istediği görüntüyü yüklemiş ve böylece hava sahasında bulunan İsrail uçaklarını görememiştir. Radar sistemlerini etkisiz hale getirmek için kullanılabilecek çeşitli yöntemlerden bazılarına örnek vermek gerekirse:

• Hedef hava sahasına radara yakalanmayacak kadar ufak bir insansız hava aracıyla sızıp radar sinyalini boğacak bir yayın yapılabilir.
• Benzer bir insansız hava aracıyla radar sistemini ele geçirecek bir sinyal (takeover packet) gönderilebilir. 
• Radar kumanda merkezlerindeki bilgisayarlara sızılıp radardan gelen verilerin yorumlanma şekli değiştirilebilir
• Radarlardan radar komuta merkezine giden kablolara fiziksel olarak müdahale edilebilir.

Kullanılan yöntem her ne olursa olsun radar sistemlerinde tasarımlarından ve çalışma prensiplerinden kaynaklanan açıklar mevcuttur. Suriye'de yaşanan olaydan sonra Rus radar sistemlerinde bazı güncellemeler yapılmış ve bu güncellemeler İran gibi benzer sistemleri kullanan ülkelerde de devreye alınmıştır. Bu operasyonu daha önce bu yazımda da ele almıştım: http://www.alperbasaran.com/2013/03/bostan-operasyonu-israilin-suriyeyi.html

27 aralık 2008 yılında İsrail'in Gazze şeridinde başlattığı ve “dökme kurşun” olarak adlandırılan operasyona tepki olarak Müslüman ve Arap hackerlar sistematik saldırılar başlatmışlardır. Bu saldırılara maruz kalan İsrail web sitelerinin tam sayısı bilinmese de sadece Ocak ayının ilk haftasında etkilenen site sayısı 10,000'den fazladır. Tepki olarak yapılan saldırıların büyük kısmı siteleri değiştirme ve mesaj bırakma şeklindedir. “Defacement” olarak adlandırılan saldırılar 27 aralık 2008 ile 15 Şubat 2009 tarihleri arasında yapılan saldırılarda özellikle ses getirecek hedefler seçilmiştir. Bu kapsamda haber siteleri, siyasi partilere ait siteler, Savunma Bakanı ve Başbakan Yardımcısı Ehud Barak'ın sitesi de dahil olmak üzere pek çok siteye Gazze ile ilgili mesajlar ve görseller eklenmiştir.

Siber savaşın devletler dışındaki taraflarına örnek oluşturan Gazze'li hackerların yanında haberlerde sıkça adını duyduğumuz bazı oluşumlara da değinmekte fayda var.

Hacktivist olarak adlandırılan bu grupların başında kuşkusuz Anonymous geliyor. Hacktivist kelimesi ingilizce “hacker” ve “activist” (eylemci) kelimelerinden türetilmiştir. Hacktivistler belli bir amaca hizmet etmek veya belli bir mesaj vermek için siber suç işleyen kişi veya gruplardır. Hacktivistleri tanımlayan temel özellikler siyasi bir amaçlarının olması, asgari düzeyde suç işlemeye eğimli olmaları, eylemlerinin çoğunluğunu küçük gruplar halinde veya yalnız yapmaları ve eylemlerinde belli bir espri anlayışı olmasıdır. Eylemlerin türüne ve yoğunluğuna göre siber terorist olarak da adlandırabileceğimiz  hacktivistlerin bazı eylem biçimleri aşağıda verilmiştir:

• Web sitelerinde içerik değiştirmeye yönelik yapılan saldırılar.
• İnternet sitelerinde oturma eylemleri. Bu eylemlerde çok sayıda hacktivist siteye kullanıcı olarak girip kendileri dışındaki kullanıcıların hizmet almasını engeller.
• Email bombaları ile hedefin e-postalarını hizmet veremez duruma getirilmesi.
• Yasaklı sitelerin kopyalarını yayınlayarak yasaklı içeriklerin dağıtılması.

Siber savaş olarak adlandırılabilecek olayların meydana gelme biçimlerini incelersek 6 farklı siber savaş yöntemi olduğunu söyleyebiliriz.

1- E-propaganda

Elektronik ortamın propaganda aracı olarak yoğun biçimde kullanıldığı ilk savaş Bosna-Hersek'tir. Tarafların asıl amacı internet bağlantısını kısıtlamak değil propaganda yapmak olmuştur.

2- Yoğun DDoS Saldırıları

Estonya'da yaşanan olaya benzer bir olay 4 Temmuz 2009 yılında A.B.D.'de yaşanmıştır. Beyaz saraya ait internet sitesi, büyük ihtimalle Kuzey Kore kaynaklı bir DDoS saldırısı sonucu 3 gün kapalı kalmıştır.

3- Stratejik Siber Savaş

Saldırıların doğrudan bir ülkenin elektrik altyapısını, hava yolu trafiğini veya bir askeri kuvvetini hedef almasıdır. Bu hedeflere yapılacak bir saldırının elektronik ve fiziksel etkilerinin yanında diplomatik etkileri ve sonuçları da olacaktır. Savaşın siber ortamda başlaması orada yürütüleceği anlamına gelmez. Bu tür bir saldırıya pekala füze ile karşılık verilebilir.

4- Elektronik Sabotaj

Günümüzde sabotaj kavramı soğuk savaş dönemindekinden farklı bir hal almıştır. Elektronik sabotaj konusu yeni değildir. Soğuk savaş döneminde Amerikan mikroişlemci ve otomasyon teknolojisini çalmak isteyen Sovyetler Birliğine A.B.D. tarafından bilinçli olarak yanlış planlar sızdırılmıştır. Bunun sonucunda Sovyetler Birliğinin Sibirya'dan geçen doğalgaz boru hattında bir patlama yaşanmıştır. Yıllar sonra patlamanın gerçek nedeninin yanısıra Rus uzay mekiklerinin aslında NASA tarafından kullanılamaz kabul edildiği için rafa kaldırılan bir tasarımın ürünü olduğu anlaşılacaktı.

Günümüzde ise elektronik sabotaj konusunda Huawei ve ZTE gibi çinli üreticilerin telekom ve ağ ürünlerine kendi ulaşabilecekleri “arka kapılar” yerleştirdikleri iddiaları vardır. İddia sahibinin Pentagon'da çalışmış bir analist olması ve Çin'de devlet ile özel teşebbüs arasındaki ayrımın kesin olmaması nedeniyle Çin hükümetinin bu şirketlerde hisse sahibi olması iddiaları güçlendirmektedir.

Üreticiler bu iddiaları kabul etmemektedir.

5- Operasyonel Siber Savaş

İsrail'in Suriye'yi bombalaması operasyonel siber savaşlara güzel bir örnektir. Bu durumlar siber savaş yöntemlerinin gerçek saldırılara destek vermek için kullanılması olarak da özetlenebilir. 2008 yılında Gürcistan'a saldırmadan hemen önce Gürcistan iletişim altyapısının Ruslar tarafından çökertilmesi bundan böyle sıcak çatışmalara siber savaş unsurlarının da eşlik edeceğini kanıtlar niteliktedir.

6- Suçlu – Terörist İşbirliği

Siber uzayda operasyon yürütmek oldukça ucuzdur. Bir siber saldırı veya tam ölçekli bir siber savaş başlatmak için gerekli sistemler ucuza ve yaygın olarak satılmaktadır. Bugün egemen bir devletle bir avuç sıradan suçlu arasındaki siber savaş yetkinlik farkı sadece teknik uzmanlıktır. Teknik uzmanlık parayla satın alınabileceği gibi insanlara zorla veya onları kandırarak da iş yaptırmak mümkündür. Bu tür bir siber savaş tehdidinin ortaya çıkması ise saldırıya uğrayan tarafın karşılık veremeyeceği bir çatışmanın çıkmasına neden olacaktır.

XSS var!

Anlatmakta zorlandığımız tehlikelere güzel bir örnek: AskMen.com

Sızma testleri bulguları arasında üst yönetime en zor açıklananlar, XSS gibi, kurum kaynaklarının başkalarına saldırmak için kullanıldığı zafiyetlerdir. Kendileri de konuya çok hakim olmadıklarından olsa gerek bazı “hızlı heykır” abilerimiz XSS zafiyetlerinin göstergesi olarak ekrana “XSS Var!” yazdırmaktan fazlasını sunamazlar. Benzer saldırılardan birisi de sitenin kaynak koduna zararlı bir kod eklenerek site ziyaretçilerine karşı yapılan saldıralardır. 

Websense araştırmacıları www.askmen.com sitesinin kaynak koduna zararlı java kodları eklendiğini tespit etmiş. Aylık 10 milyondan fazla ziyaretçisi olduğu tahmin edilen siteye eklenen kod özünde zararlı değil. Eklenen kod ziyaretçiyi asıl zararlı kodun bulunduğu siteye yönlendirerek istismar kodunun buradan yüklenmesini sağlıyor.

Şekil 1: askmen.com Alexa'ya göre dünyanın en popüler 1591. sayfası

Eklenen koda bakıldığında günün tarihini CRC32 algoritması ile işleyip bir alan adı oluşturduğunu ve ziyaretçiyi bu alan adına yönlendirdiğini görüyoruz. Bu sayede saldırganlar ziyaretçilerin hangi gün hangi alan adına yönlendirileceğini biliyor ve buna göre hazırlık yapabiliyorlar. Bu algoritmaya göre 30 Haziran günü www.askmen.com sitesini ziyaret edenlerin http://a78b8f8c.pw/nbe.html adresine yönlendirileceğini biliyoruz. Saldırgan olarak yapmamız gereken şey, ileriye dönük bu alan adlarını hazırlayıp beklemek.

Şekil 2: Sayfanın kaynak koduna eklenen yönlendirme kodu

Şekil 3: Eklenen kodun açık hali

Ziyaretçilerin yönlendirildiği sitede ise bir Java istismar kodu (virüstotal CVE-2013-2465 olarak tespit etmiş) ve bir Adobe PDF okuyucu istismar kodu bulunuyor. Analizi yapanlar, Java’nın kodlanma (obfuscation) yönteminin saldırganların bu iş için Nuclear Pack Exploit Kit’i kullanmış olabileceğini gösterdiğini belirtiyor.

İstismar kodunun başarılı olması halinde CAPHAW olarak bilinen zararlı yazılım kurbanın bilgisayarına yükleniyor. Hükümet ve altyapı gibi stratejik hedeflere yönelik kullanıldığı tespit edilen bu zararlının gelişmiş özellikleri sayesinde saldırganlar bulaştıkları ağ içerisinde tarama yapıp, yatay olarak yayılma imkânına sahip oluyorlar.

CAPHAW’ın daha çok Rusya ve Ukrayna’da bulunan komuta sunucularına doğru gözlemlenen trafiğin kaynakları aşağıdaki resimde verilmiştir. (Her hangi bir harita gördüğümüzde yaptığımız gibi hemen Türkiye'ye bakıyoruz ve... bizden de birileri var)

Şekil 4: Komuta sunucuları (Kırmızı) ve kurbanlar (mavi)

Zararlının kullanıdığı bilinen bazı alanadlarını da aşağıda paylaşıyorum.  Bu alan adlarına doğru olan kurum trafiğinin engellenmesinde ve geçmişe dönük kayıtlara bakılmasında fayda var.

service-stat.com

updservice.net

autowinupd.net

autoavupd.net

service-update.net

full-statistic.com

service-statistic.com

stetsen.no-ip.org

autodbupd.net

automsupd.net

titanium.onedumb.com

statuswork.ddns.info

fullstatistic.com

service-statistic.com

autosrvupd.net

full-statistic.com

fullstatistic.com

service-update.net

storestatistic.com

updsvc.net

fullstatistic.com

reservestatistic.net

srvupd.com

automsupd.net

stotsin.ignorelist.com

autosrvupd.net

autosrvupd.net

reserve-statistic.com

autodbupd.net

workstat.hopto.org

service-statistic.com

full-statistic.com

srvupd.com

updsvc.net

automsupd.net

autosrvupd.net

assetsstatistic.com

assetsstatistic.com

assetsstatistic.com

srvupd.com

updsvc.net

reserve-statistic.com

reserve-statistic.com

autodbupd.net

fullstatistic.com

reservestatistic.net

reserve-statistic.com

srvupd.com

updsvc.net

fullstats-srv.net

stats-srv.com

fullstats-srv.com

statssrv.com

reserv-stats.net

reserv-stats.com

pushstatistics.com

stats-upd.net

reservstats.com

push-statistics.net

push-stats.net

push-stats.com

fullstatistic.com

Bir başka NSA yazısı

Son zamanlarda fazlaca NSA ile ilgili istediğimden fazla yazar oldum, hoşuma gitmese de bunu da paylaşmam lazım. Bir de bu aralar trafik kazası geçirirsem “NSA ile ilgili yazıyordu, susturdular” gibi arkamda gizemli bir söylenti de bırakabilirim.

Şekil 1: NSA logosu

Snowden tarafından yayınlanan belgelerin içerisinde yer alan bilgilere göre Rampart-A projesi kampasamında A.B.D istihbarat kuruluşu NSA dünyanın çeşitli ülkelerinde yerel kurum ve kuruluşlarla işbirliği yaparak fiberoptik kablolar üzerinde dinleme yapıyormuş.

Şekil 2: RAPMART-A dahilinde iş birliği yapılan ülkelerin listesi

Açıklanan rakamlara göre bu dinlemeler sonucunda ele geçirilen veri saniyede 3 Terabayt civarındaymış. Bunu evinizdeki bağlantıyla karşılaştırabilmeniz açısından: 3 Tbps = 3.071 Gbps = 3.145.728 Mbps diyebiliriz.

Bu program çerçevesinde dinleme yapılan fiber optik kablo üzerine ve yerel kurum ve kuruluşlar ile yapılan anlaşmalar doğrultusunda mülkiyeti ve yönetimi A.B.D.’ye ait cihazlar yerleştirilmiş. Dünya genelinde 13 noktaya konumlandırılan bu cihazların 9 tanesi 2013 yılında (Snowden’in henüz bilgilere ulaşabildiği dönemde) aktifmiş. AZUREPHOENIX, SPINNERET ve MOONLIGHTPATH kod adlarıyla faaliyet gösteren en önemli 3 noktanın 70’ten fazla farklı ağ ve kablodan bilgi topladığı berlitilmiş.

Şekil 3: Sızdırılan sunumdan bir görüntü

Fiberoptik kablo dediğimde gözünüzde evinize gelen kablo veya sistem odasında kullanılan LC/SC türü kablolar canlanmasın. Burada sözü edilen kablolar ulusal ve uluslararası düzeyde çalışan kablolardır.

Şekil 4: Sızdırılan sunumda yer alan "mevcut ve planlanan fiberoptik kablolar" slaytı

Not:Yazının ismi Google translate kullananlara kolaylık sağlamak için seçilmiştir :)

NSA, TEMPEST, COMSEC ve İsrail'li Profesör

İngilizcesi "air-gap" olarak bilinen ve özünde korumaya çalıştığımız ağ veya sistem ile internet arasında bir "hava boşluğu" oluşturmak üzerine kurulu olan yaklaşımın son zamanlarda çeşitli şekillerde atlatılabildiği ortaya çıkmaktadır. Son olarak İsrail'de Ben-Gurion Üniversitesi Profesörlerinden Yuval Elovici bu konuda yeni bir yöntem ortaya koydu. 

Hava boşluğu yaklaşımı günümüzde aşağıdaki gibi önemli ağ ve sistemleri korumak için kullanılmaktadır:

• Askeri/Hükümet sistemlerin güvenliği
• Finansal/Bankacılık sistemlerin güvenliği
• SCADA sistemleri gibi altyapı kontrolü için kullanılan sistemlerin güvenliği
• Nükleer tesis bilgisayar sistemleri
• Uçuş ve uçuş kontrol sistemleri
• Bilgisayar destekli tıbbi cihazların güvenliği

Özel geliştirilmiş zararlı yazılımların megastar'ı olan Stuxnet'in hava boşluğunu USB bellek gibi taşınabilir depolama aygıtları sayesinde aştığını biliyoruz. Bu sefer ortaya konulan araştırma sonuçları ise hava boşuluğu ile sağlanan güvenliğin sistemlerin yaydığı elektromanyetik dalgalar kullanılarak atlatılabildiğini göstermektedir. 

Şekil 1: Stuxnet (temsili)

NSA'in COMSEC (Communication Security - iletişim güvenliği) altında ve "TEMPEST" kod adıyla bilinen bir program kapsamında sistemlerin yaydığı elektro-manyetik sinyallerin yakalanarak işlenmesi ve düşmanın da kendi elektro-manyetik sinyallerini yakalamasını engellemek üzerine çalıştığını biliyoruz. 

Geçtiğimiz senenin sonlarında Almanya'da bir araştırma biriminin iki adet Lenovo T400 laptop arasında, sadece fabrika çıkışı mikrofon ve hoparlörleri kullanarak veri alışverişi yapabilmiş olması IP dışında yöntemlerin veri sızdırılması için kullanılmasını gündeme getirmişti. Bağlantı hızı saniyede 20 bit ve uzaklık 19 metre idi ama pek çok kişinin aklında soru işaretleri oluşturmaya yetecek kadar önemli bir gelişmeydi. Bu gelişme üzerine TEMPEST'in önemi bir kez daha anlaşılmıştı. 

TEMPEST standartlarının gizli olarak sınıflandırılmış olması sebebiyle bu konuda çok detaylı bilgiye sahip değiliz, ancak NATO'nun kendi TEMPEST standartları 3 temel koruma düzeyi belirlemektedir. Bunlar; NATO SDIP-27 seviye A, B ve C (NATO SDIP-27 Level A, B and C) olarak bilinmektedir. C seviyesi düşmanın korunmassı gereken sisteme 100 metreden fazla yaklaşamadığı senaryolara göre hazırlanmıştır ve A ve B seviyelerine göre biraz daha rahattır. B seviyesi ise düşman ile en az 20 metre mesafe olan durumlara göre düzenlenmiştir. NATO SDIP-27 seviye A ise düşmanın korunması gereken sistemlere 1 metre kadar yaklaşabileceği durumlara göre hazırlanmıştır. 

Geçtiğimiz hafta ise Profesör Elovici hava boşluğu ile korunan sistemler için cep telefonlarının bir tehdit oluşturduğunu ortaya koydu. 

Oltalama (phishing) saldırısı ile akıllı telefona bulaştırılan bir zararlı yazılım bulaştığı telefonun bulunduğu ortamlarda havadaki elektro-manyetik sinyalleri taramaya başlıyor. 
Zararlı yazılım havada tespit ettiği sinyallere müdahale ederek hedef sisteme bir zararlı yazılım yüklenmesini sağlıyor. Yüklediği zararlı yazılım ile telefon arasında radyo sinyalleri kullanan bir ağ oluşturan zararlı hedef sistemden elde ettiği bilgileri cep telefonunun bağlantılarını kullanarak dışarıya aktarmakta ve aynı şekilde talimatları telefon üzerinden almaktadır. Bu saldırının teknik detaylarına tümüyle hakim olmamamıza karşılık hedef sistemin ekran kartının ve monitörünün kullanıldığını biliyoruz. 

Şekil 2: Prof. Elovici ve Ben-Gurion ÜniversitesiAraştırmacıları saldırı hakkında İsrail Cumhurbaşkanı Şimon Peres'e saldırı hakkında bilgi veriyor. (photo credit: BGU)

Profesör Elovici bu saldırılara karşı şu anda tek etkin yöntemin telefonları kapatmak olduğunu belirtiyor ancak günümüzde bunun ne kadar uygulanabilir bir çözüm olduğu tartışılır. 

Ülkemizde de Aselsan tarafından üretilen SAHAB (2180 Sanal Hava Boşluğu Sistemi) benzeri sistemler aklınıza gelebilir ancak buradaki saldırının kurumsal ağa bağlı olmayan (telefon) bir sistem ve IP protokolleri kullanılmadan (elektro-manyetik sinyaller) yapıldığı için bu çözümler yetersiz kalmaktadır. 

Kurum içerisinde cep telefonu kullanımının sınırlandırılması ve hava boşluğu ile korunan sistemlerin duvarlara, pencerelere ve internete bağlı diğer sistemlere olan uzaklığının denetlenmesi bu tür saldırıların engellenmesi için geçerli önlemlerin başında gelmektedir.