Conrado Sol
- 29 Nis 2026
- 126 Mesaj
1. Giriş
Siber güvenlik tehditleri yalnızca yazılım açıklarından veya teknik güvenlik hatalarından kaynaklanmaz. Bazı saldırılar doğrudan insanların alışkanlıklarını, karar verme biçimlerini ve dijital sistemlere duyduğu güveni hedef alır. Bu tür olaylarda kullanıcı, tehlikenin farkına varmadan saldırının gerçekleşmesine katkıda bulunabilir.ClickFix, sosyal mühendislik temelli saldırı yöntemlerinden biridir. Kullanıcıya gerçek bir doğrulama ekranı, tarayıcı hatası veya güvenlik uyarısı izlenimi veren bir içerik gösterilir. Ardından kullanıcıdan sözde sorunu çözmek için alışılmadık bir işlem yapması istenir. Bu işlem, işletim sistemi üzerinde komut çalıştırmayı veya şüpheli bir metni sistem aracına yapıştırmayı içerebilir.
Bu araştırmanın amacı, KongTuke ile ilişkilendirilen ClickFix faaliyetlerini kavramsal ve savunma odaklı biçimde açıklamak; olası saldırı aşamalarını, güvenlik risklerini, tespit yöntemlerini ve önleyici kontrolleri değerlendirmektir. Bir kampanyayla ilişkilendirilen her teknik davranışın bütün olaylarda görülmeyebileceği dikkate alınmalıdır.
2. KongTuke ve ClickFix Kavramları
KongTuke, tehdit istihbaratı raporlarında belirli faaliyetlerle ilişkilendirilen bir tehdit adlandırmasıdır. ClickFix ise kullanıcıyı yanıltarak zararlı bir işlemi kendi eliyle başlatmaya yönelten sosyal mühendislik yaklaşımını tanımlar. Dolayısıyla bu iki terim aynı şeyi ifade etmez: biri tehdit faaliyetlerini adlandırmak için kullanılabilirken diğeri saldırı tekniğini açıklar.Tehdit grubu adlandırmaları ve kampanya sınıflandırmaları güvenlik araştırmacıları arasında farklılık gösterebilir. Bu nedenle KongTuke ile başka tehdit adları arasında bağlantı kurulacaksa bu bağlantı güvenilir kaynaklarla doğrulanmalıdır. Yalnızca benzer tekniklerin kullanılması, faaliyetlerin aynı aktöre ait olduğunu kanıtlamaz.
3. Kampanyanın Amacı ve Hedefleri
ClickFix tabanlı saldırıların temel amacı, kullanıcının güvenini veya dikkat dağınıklığını kullanarak zararlı faaliyetin başlamasını sağlamaktır. Kullanıcıdan istenen işlem, ilk bakışta bir doğrulama veya hata giderme adımı gibi sunulabilir. Gerçekte ise bu işlem saldırgana sistem üzerinde kod çalıştırma fırsatı sağlayabilir.Olası sonraki hedefler arasında sistem hakkında bilgi toplama, ek zararlı yazılım indirme, uzaktan erişim elde etme ve yeniden başlatma sonrasında çalışmayı sürdürme girişimleri bulunabilir. Bunlar olası saldırı hedefleridir; her olayda tamamının gerçekleştiği varsayılmamalıdır.
4. ClickFix Tekniğinin Çalışma Mantığı
ClickFix saldırısında kullanıcıya bir sorunla karşılaştığı izlenimi verilir. Sahte CAPTCHA ekranı, tarayıcı hatası, eksik bileşen bildirimi veya doğrulama talebi kullanılabilir. Kullanıcı, talimatın meşru olduğunu düşünerek kendisinden istenen adımları uygulayabilir.En önemli güvenlik işareti, bir internet sayfasının kullanıcıdan Windows Çalıştır penceresini açmasını, Komut İstemi veya PowerShell kullanmasını ya da sayfanın sağladığı komutları yapıştırmasını istemesidir. Normal bir CAPTCHA doğrulaması, kullanıcıdan işletim sistemi komutu çalıştırmasını gerektirmez.
Bu yöntemin tehlikesi yalnızca tarayıcıdaki içeriğe bağlı değildir. Kullanıcının gerçekleştirdiği işlem, tarayıcı dışına taşarak işletim sistemi süreçlerini, dosya sistemini ve ağ bağlantılarını etkileyebilir.
5. Olası Saldırı Zinciri
5.1. Ele geçirilmiş veya kötü amaçlı içerik sunan web siteleri
Saldırganlar, kullanıcıları yanıltıcı sayfalara yönlendirmek için kötü amaçlı oluşturulmuş sitelerden veya güvenliği ihlal edilmiş meşru sitelerden yararlanabilir. İçerik yönetim sistemlerindeki güvenlik açıkları, zayıf yönetici hesapları veya yetkisiz kod eklenmesi bazı olaylarda rol oynayabilir.Bir sitenin ele geçirilmiş olması, sitenin sahibinin saldırıya bilerek katıldığı anlamına gelmez. Olay incelemesinde web sunucusu kayıtları, dosya değişiklikleri, eklenti geçmişi ve yönetici erişimleri değerlendirilmelidir.
5.2. Sahte CAPTCHA ve kullanıcı yönlendirmesi
Kullanıcıya insan doğrulaması veya teknik bir sorunu giderme ekranı gösterilebilir. Sayfa, işlemi tamamlamak için belirli bir talimatın uygulanmasını isteyebilir. Kullanıcının güvenini kazanmak için tanıdık görsel tasarımlar ve aciliyet hissi kullanılabilir.Güvenli yaklaşım, beklenmeyen komut çalıştırma taleplerini uygulamamak ve sayfayı kapatarak olayı kurumun güvenlik ekibine bildirmektir.
5.3. Kullanıcı tarafından komut çalıştırılması
Kullanıcı talimatları uygularsa saldırı, web sayfasındaki görüntüleme faaliyetinden işletim sistemi düzeyindeki faaliyetlere geçebilir. PowerShell ve benzeri yönetim araçları meşru amaçlarla kullanılır; ancak saldırganlar bu araçlardan kötüye yararlanabilir.Bu aşamanın araştırılmasında süreç ağacı, komut satırı kayıtları, kullanıcı hesabı, zaman damgaları ve komutun başlatıldığı uygulama arasındaki ilişki incelenmelidir. Tek başına PowerShell kullanımı saldırı kanıtı değildir.
5.4. Sistem keşfi
Saldırganlar, sonraki faaliyetleri planlamak amacıyla bilgisayarın işletim sistemi, kullanıcı yetkileri, çalışan süreçleri, ağ yapılandırması veya güvenlik yazılımları hakkında bilgi toplamaya çalışabilir.Savunma ekipleri beklenmeyen keşif davranışlarını, özellikle bunlar şüpheli web erişiminin ve olağan dışı süreçlerin hemen ardından gerçekleşiyorsa, diğer kayıtlarla birlikte değerlendirmelidir.
5.5. Ek zararlı yazılım ve ModeloRAT iddiaları
KongTuke ile ilişkilendirilen bazı araştırmalarda ModeloRAT adı verilen uzaktan erişim zararlısından söz edilmektedir. Bu tür bir ilişkinin değerlendirilmesinde güvenilir tehdit istihbaratı raporları, dosya analizleri ve olay göstergeleri esas alınmalıdır.ModeloRAT'ın belirli bir kampanyada kullanıldığını gösteren kanıt, aynı yazılımın tüm benzer olaylarda bulunduğu anlamına gelmez. Her olayda zararlı dosya, davranış, iletişim altyapısı ve zaman çizelgesi ayrı ayrı doğrulanmalıdır.
5.6. Kalıcılık girişimleri
Bazı zararlı yazılımlar sistem yeniden başlatıldığında yeniden çalışabilmek için kayıt defteri başlangıç girdileri veya zamanlanmış görevler gibi işletim sistemi mekanizmalarından yararlanabilir.Bu tür mekanizmalar sistem yöneticileri ve meşru uygulamalar tarafından da kullanılır. Bu nedenle incelemede görevin veya girdinin oluşturulma zamanı, çalıştırdığı dosya, dosyanın imzası, ilişkili kullanıcı ve süreç geçmişi birlikte ele alınmalıdır.
6. Kullanılabilecek Teknolojiler ve Araçlar
- JavaScript: Web sayfalarının davranışını ve kullanıcı etkileşimini düzenlemek için kullanılır; kötü amaçlı sayfalarda yanıltıcı içerik sunmak için de kötüye kullanılabilir.
- WordPress ve eklentiler: Web sitesi yönetiminde kullanılan teknolojilerdir. Güncel olmayan bileşenler veya ele geçirilmiş hesaplar risk oluşturabilir.
- PowerShell: Windows yönetimi ve otomasyonu için kullanılan bir araçtır. Kullanım bağlamı, komut satırı ve süreç ilişkileri güvenlik açısından önemlidir.
- Python: Uygulama geliştirme ve betik çalıştırma amacıyla kullanılabilir. Python tabanlı bir bileşenin bulunması tek başına kötü amaçlı olduğunu göstermez.
- Kayıt defteri ve zamanlanmış görevler: Windows yapılandırması ve otomasyonu için meşru mekanizmalardır; bazı zararlı yazılımlar bunları kalıcılık amacıyla kötüye kullanabilir.
- Uzaktan erişim zararlıları: Yetkisiz erişim, komut çalıştırma veya bilgi toplama gibi işlevler sunabilen zararlı yazılım kategorisidir.
7. Güvenlik Riskleri
7.1. Veri gizliliği
Zararlı yazılımın yeteneklerine ve elde ettiği izinlere bağlı olarak kullanıcı dosyaları, sistem bilgileri veya hassas veriler yetkisiz erişime maruz kalabilir.7.2. Hesap güvenliği
Kimlik bilgilerinin veya oturum belirteçlerinin ele geçirilmesi, kişisel ya da kurumsal hesapların kötüye kullanılmasına yol açabilir. Şüpheli olaylardan sonra oturumların iptali ve kimlik bilgilerinin güvenli bir cihaz üzerinden değiştirilmesi değerlendirilebilir.7.3. Sistem bütünlüğü
Zararlı işlemler dosyalarda, uygulamalarda veya sistem yapılandırmalarında izinsiz değişikliklere neden olabilir.7.4. Kurumsal ağlara etkisi
Ele geçirilen bir cihaz, kurum içindeki diğer sistemlere erişmeye yönelik girişimler için başlangıç noktası olabilir. Ağ segmentasyonu ve en az ayrıcalık ilkesi bu riskin sınırlandırılmasına yardımcı olur.7.5. İş sürekliliği ve maliyet
Bir olay, cihazların incelemeye alınmasına, sistemlerin yeniden kurulmasına, hesapların güvence altına alınmasına ve operasyonların geçici olarak durmasına neden olabilir.7.6. İtibar ve güven
Meşru bir internet sitesinin zararlı içerik sunması, site sahibinin ziyaretçiler nezdindeki güvenilirliğini etkileyebilir. Olayın hızlı tespiti ve şeffaf biçimde giderilmesi önemlidir.8. Tespit ve İnceleme Yöntemleri
8.1. Uç nokta kayıtları
EDR ve benzeri uç nokta güvenlik çözümleri süreç başlatma olaylarını, komut satırlarını, dosya hareketlerini ve ağ bağlantılarını incelemek için kullanılabilir.8.2. Windows ve PowerShell günlükleri
Uygun denetim ayarları önceden etkinleştirilmişse süreç oluşturma kayıtları ve PowerShell günlükleri olayın yeniden oluşturulmasına yardımcı olabilir. Kayıtların bulunmaması, tek başına olay yaşanmadığını kanıtlamaz.8.3. Ağ trafiği
Şüpheli alan adlarına yapılan bağlantılar, beklenmeyen dış iletişimler ve olağan dışı veri aktarımı diğer bulgularla birlikte değerlendirilmelidir. Bir alan adının bilinmemesi tek başına kötü amaçlı olduğu anlamına gelmez.8.4. Kalıcılık mekanizmaları
Kayıt defteri başlangıç girdileri ve zamanlanmış görevler incelenebilir. Oluşturulma zamanı, çalıştırılan dosya ve ilgili kullanıcı bağlamı kayıt altına alınmalıdır.8.5. Tehdit istihbaratı
Dosya karmaları, alan adları, IP adresleri ve davranışsal göstergeler güvenilir kaynaklarla karşılaştırılabilir. Göstergelerin güncelliği ve yanlış pozitif olasılığı göz önünde bulundurulmalıdır.8.6. Zaman çizelgesi
Web sayfasına erişim, şüpheli süreçlerin başlaması, dosya oluşturulması ve dış bağlantılar ortak bir zaman çizelgesinde birleştirilmelidir. Birden fazla bağımsız kanıtın uyuşması, değerlendirmeyi güçlendirir.9. MITRE ATT&CK Çerçevesi
MITRE ATT&CK, saldırgan davranışlarını ortak bir terminolojiyle sınıflandırmaya yardımcı olan bir çerçevedir. Aşağıdaki eşleştirmeler, olayda ilgili davranış doğrulandığında değerlendirilebilir:- T1189 — Drive-by Compromise: Zararlı içerik sunan bir web sitesi üzerinden saldırının başlatılmasıyla ilişkili olabilir.
- T1204 — User Execution: Kullanıcının yanıltıcı talimatı uygulayarak bir işlemi başlatmasıyla ilişkilidir.
- T1059.001 — PowerShell: PowerShell üzerinden komut veya betik çalıştırıldığı doğrulanırsa değerlendirilebilir.
- T1053 — Scheduled Task/Job: Zamanlanmış görevlerin kötüye kullanıldığına dair bulgu varsa değerlendirilebilir.
- T1547.001 — Registry Run Keys / Startup Folder: Başlangıç mekanizmalarının kalıcılık amacıyla kullanıldığı doğrulanırsa ilişkilendirilebilir.
- T1071.001 — Web Protocols: Web protokollerinin komuta-kontrol iletişiminde kullanıldığına ilişkin kanıt varsa değerlendirilebilir.
Bu liste kesin bir saldırı haritası değildir. Teknikler yalnızca olayın kanıtlarıyla desteklendiğinde rapora eklenmelidir. ATT&CK eşleştirmesi, tek başına belirli bir aktörün kimliğini kanıtlamaz.
10. Korunma ve Önleme Yöntemleri
10.1. Kullanıcı farkındalığı
Kullanıcılara internet sitelerinin CAPTCHA bahanesiyle komut çalıştırmalarını istemesinin normal olmadığı anlatılmalıdır. Şüpheli talimatlar uygulanmamalı ve güvenlik ekibine bildirilmelidir.10.2. Web sitesi güvenliği
İçerik yönetim sistemleri, temalar ve eklentiler güncel tutulmalı; kullanılmayan bileşenler kaldırılmalı; yönetici hesaplarında çok faktörlü kimlik doğrulama uygulanmalıdır. Dosya değişiklikleri ve yönetici oturumları izlenmelidir.10.3. Komut çalıştırma denetimi
PowerShell günlükleri ve süreç oluşturma denetimleri uygun biçimde yapılandırılmalıdır. Güvenlik ekipleri, şüpheli süreç ilişkilerini ve beklenmedik komut çalıştırma davranışlarını incelemelidir.10.4. En az ayrıcalık ilkesi
Kullanıcılar ve hizmetler yalnızca görevleri için gerekli izinlere sahip olmalıdır. Yönetici hesapları günlük kullanım için tercih edilmemelidir.10.5. Ağ ve uç nokta koruması
Uç nokta koruması, güvenlik duvarı, DNS filtreleme ve ağ segmentasyonu birlikte uygulanmalıdır. Güvenlik kontrolleri düzenli olarak test edilmelidir.10.6. Yedekleme ve hazırlık
Önemli veriler düzenli olarak yedeklenmeli ve geri yükleme süreçleri test edilmelidir. Olay müdahale sorumlulukları, iletişim adımları ve kanıt koruma prosedürleri önceden belirlenmelidir.11. Olay Müdahale Süreci
- İlk değerlendirme: Şüpheli cihaz ve olayın kapsamı değerlendirilir. Gerekiyorsa cihazın ağ bağlantısı kontrollü biçimde sınırlandırılır.
- Kanıtların korunması: İlgili kayıtlar, zaman damgaları ve dosya bilgileri korunur; müdahale sırasında kanıtların gereksiz yere değiştirilmesinden kaçınılır.
- Zaman çizelgesi oluşturma: Web erişimleri, süreçler, dosya hareketleri ve ağ bağlantıları birleştirilir.
- Kapsam araştırması: Aynı göstergelerin başka cihazlarda veya hesaplarda bulunup bulunmadığı kontrol edilir.
- Hesap güvenliği: Gerektiğinde oturumlar iptal edilir, kimlik bilgileri güvenli bir cihazdan değiştirilir ve çok faktörlü kimlik doğrulama gözden geçirilir.
- Temizleme ve kurtarma: Olayın kapsamına göre zararlı bileşenler kaldırılır veya sistem güvenilir bir kaynaktan yeniden kurulur.
- Raporlama: Doğrulanmış bulgular, etkilenen varlıklar, alınan önlemler ve kalan riskler belgelenir.
12. Genel Değerlendirme
KongTuke ile ilişkilendirilen ClickFix faaliyetleri, sosyal mühendislik ile işletim sistemi düzeyindeki işlemlerin birbirini tamamlayabildiği saldırı senaryolarını değerlendirmek açısından önemlidir. Kullanıcıya bir doğrulama veya hata giderme adımı gibi gösterilen talimat, gerçekte zararlı bir işlemi başlatmasına neden olabilir.Bu nedenle savunma yalnızca zararlı dosyaları tespit etmeye dayanmamalıdır. Kullanıcı farkındalığı, web sitesi güvenliği, süreç izleme, ağ kontrolleri, en az ayrıcalık ilkesi ve olay müdahalesi hazırlığı birlikte ele alınmalıdır.
Teknik raporlamada gözlemlenen bulgular ile olası senaryolar birbirinden ayrılmalıdır. Belirli bir zararlı yazılımın, tekniğin veya tehdit aktörünün kullanıldığı iddiası güvenilir kaynaklar ve olay kanıtlarıyla desteklenmelidir.
