Allahın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım bu makalemizde ise beraber Cyber Kill Chan(Siber Saldırı Zinciri) nin temel mantığını ve pathlerini beraber inceleyeceğiz allahın izniyleCyber Kill Chan Nedir Ve Neden Önemlidir?
Kill Chain kavramı aslında askeri dünyadan geliyor. Bir saldırının nasıl gerçekleştiğini adım adım açıklayan bir model: önce hedef belirleniyor, sonra saldırı kararı veriliyor ve en sonunda hedef yok ediliyor.Lockheed Martin, bu fikri alıp siber güvenlik için uyarladı ve 2011’de Cyber Kill Chain adını verdiği çerçeveyi geliştirdi. Bu model, bir siber saldırganın başarılı olabilmesi için geçmesi gereken aşamaları gösteriyor. Yani bir saldırganın amacına ulaşması için zincirin her halkasını tamamlaması gerekiyor. Biz de bu aşamaları tek tek inceleyerek saldırganların nasıl çalıştığını ve hangi yöntemleri kullandığını anlamaya çalışacağız.
Cyber Kill Chain’i bilmek, fidye yazılımlarından (ransomware), güvenlik açıklarından ve uzun süreli gizli saldırılardan (APT – Advanced Persistent Threat) korunmak için kritik bir avantaj sağlar. Bu modeli kullanarak kendi sisteminizi ve ağınızı test edebilir, eksik güvenlik önlemlerini fark edebilir ve açıklarınızı kapatabilirsiniz.
Bir güvenlik operasyon merkezi (SOC) analisti, tehdit avcısı, araştırmacı ya da olay müdahale uzmanı olsanız da Kill Chain’i anlamak size saldırı girişimlerini tanıma ve saldırganın niyetini çözme imkânı verir.
- Keşif (Reconnaissance): Saldırganın hedef hakkında bilgi toplaması.
- Silahlanma (Weaponization): Toplanan bilgilere uygun zararlı yazılım veya araç hazırlanması.
- Teslim (Delivery): Hazırlanan zararlının hedefe ulaştırılması (örneğin e-posta ile).
- Sömürü (Exploitation): Açığın kullanılarak sisteme sızılması.
- Kurulum (Installation): Zararlı yazılımın sisteme yerleşmesi.
- Komuta ve Kontrol (Command & Control): Saldırganın sisteme uzaktan erişim sağlaması.
- Hedef Üzerindeki Eylemler (Actions on Objectives): Asıl amacın gerçekleştirilmesi (veri çalmak, sistemi bozmak vb.).
Reconnaissance(Keşif)
Siber saldırıların ilk adımı olan Reconnaissance (Keşif) aşaması, aslında saldırganın araştırma ve planlama sürecidir. Bu aşamada hedef hakkında bilgi toplanır ve sonraki adımlar için zemin hazırlanır. Toplanan bilgiler; sistem altyapısı, çalışanlara dair veriler, iş süreçleri ya da kullanılan teknolojiler olabilir. Çoğu zaman bu keşif süreci pasif şekilde yürütülür ve fark edilmez.Eğer saldırgan bu aşamayı yüzeysel yaparsa, saldırı da dağınık ve başarısız olur. Ancak iyi bir keşif yapan saldırgan, çok daha inandırıcı ve hedefe yönelik saldırılar geliştirebilir.
OSINT (Open-Source Intelligence)
Keşif aşamasında en değerli yöntemlerden biri OSINT’tir. OSINT, yani açık kaynak istihbaratı, herkese açık verilerden bilgi toplamayı ifade eder. Saldırganlar şu kaynaklardan OSINT verisi elde edebilir:
- Arama motorları
- Basılı ve çevrimiçi medya
- Sosyal medya hesapları
- Forumlar ve bloglar
- Kamuya açık veri tabanları
- WHOIS ve teknik kayıtlar
Keşif Türleri
- Pasif Keşif: Hedefle doğrudan etkileşim olmadan yapılan araştırmalardır. Örneğin WHOIS sorguları, sosyal medya taramaları veya sızdırılmış verilerin incelenmesi.
- Aktif Keşif: Hedefle doğrudan temas kurularak yapılan çalışmalardır. Sosyal mühendislik, port taraması, banner grabbing veya açık servislerin yoklanması bu kategoriye girer.
Bir saldırganın gözünden
Diyelim ki bir saldırgan var. Yıllardır planladığı sofistike bir saldırıyı gerçekleştirmek istiyor. Cyber Kill Chain’in son aşamasına ulaşmak için önce Reconnaissance ile başlaması gerekiyor. Bunun için OSINT yöntemlerini kullanarak hedef hakkında bilgi toplaması şart.Örnek: Email Harvesting (E-posta Toplama)
Email harvesting, yani e-posta adresi toplama süreci, saldırganların sıkça kullandığı bir yöntemdir. Kamuya açık, ücretli veya ücretsiz servislerden e-posta adresleri toplanır. Bu adresler daha sonra phishing (oltalama) saldırılarında kullanılabilir. Oltalama saldırılarıyla kullanıcıların giriş bilgileri veya kredi kartı verileri çalınabilir.Saldırganların bu aşamada kullanabileceği bazı araçlar:
- theHarvester: E-posta dışında isimler, alt alan adları, IP adresleri ve URL’ler de toplayabilir.
- Hunter.io: Bir alan adıyla ilişkili iletişim bilgilerini bulmaya yarar.
- OSINT Framework: Kategorilere ayrılmış geniş bir OSINT araç koleksiyonu sunar.
Weaponization (Silahlanma)
Reconnaissance aşaması başarıyla tamamlandıktan sonra saldırgan, topladığı ham bilgileri kullanılabilir saldırı araçlarına dönüştürmeye başlar. Bu sürece Weaponization (Silahlanma) denir. Burada amaç, zararlı yazılımlar (malware) ve açıkları sömüren kodlar (exploit) hazırlayarak bunları bir payload haline getirmektir.Çoğu saldırgan bu aşamada otomatik araçlardan faydalanır ya da DarkWeb üzerinden hazır zararlı yazılımlar satın alır. Daha gelişmiş gruplar veya devlet destekli APT (Advanced Persistent Threat) ekipleri ise kendi özel zararlı yazılımlarını yazarak hedef sistemlerde tespit edilmeden çalışmayı amaçlar.
Temel Kavramlar
- Malware: Bir bilgisayara zarar vermek, sistemi bozmak veya yetkisiz erişim sağlamak için tasarlanmış yazılım.
- Exploit: Bir sistemdeki veya uygulamadaki güvenlik açığını kullanan kod veya program.
- Payload: Saldırganın hedef sisteme çalıştırmak üzere yerleştirdiği zararlı kod.
Weaponization Aşamasında Kullanılan Taktikler
- Zararlı makrolar veya VBA scriptleri içeren Microsoft Office belgeleri hazırlamak.
- USB bellekler üzerine zararlı yazılım yükleyip bunları halka açık alanlarda dağıtmak.
- Komuta ve Kontrol (C2) altyapısı kurarak hedef bilgisayara komut göndermek veya yeni payload’lar yüklemek.
- Sisteme arka kapı (backdoor) yerleştirerek güvenlik önlemlerini aşmak ve kalıcı erişim sağlamak.
- Sahte görünümlü oltalama (phishing) e-postaları veya OAuth uygulamaları hazırlayarak kullanıcıları kandırmak.
Delivery (Teslim)
Cyber Kill Chain’in üçüncü aşaması olan Delivery (Teslim), saldırganın hazırladığı zararlı yazılımı veya payload’u hedef ortama ulaştırmak için yöntem seçtiği aşamadır. Yani saldırganın bu noktada saldırısını nasıl ileteceğine karar verir.Saldırganların kullanabileceği pek çok yöntem vardır:
- Phishing e-postaları: Önce hedef belirlenir, ardından sahte bir e-posta hazırlanır. Bu e-posta tek bir kişiye yönelik olabilir (spear phishing) ya da aynı anda birçok çalışana gönderilebilir. İçinde zararlı bir bağlantı veya dosya eki bulunur. Kullanıcı tıkladığında sistem ele geçirilir.
- USB Drop saldırıları: Fiziksel ortamda zararlı yazılımın dağıtılmasıdır. Örneğin saldırgan, üzerinde şirket logosu bulunan USB bellekler hazırlayıp bunları kahve dükkanlarına, otoparklara bırakabilir ya da şirkete “hediye” olarak gönderebilir. Masum görünen bu USB’ler aslında zararlı yazılım içerir.
- Watering Hole saldırıları: Belirli bir grup insanın sıkça ziyaret ettiği web siteleri hedef alınır. Saldırgan bu siteleri ele geçirerek kullanıcıları kendi hazırladığı zararlı siteye yönlendirir. Kullanıcı farkında olmadan zararlı yazılım indirir. Örneğin sahte bir tarayıcı eklentisi indirmeye zorlayan pop-up pencereleri bu yönteme örnektir.
Exploitation (Sömürü)
Cyber Kill Chain’in dördüncü aşaması olan Exploitation (Sömürü), saldırganın hazırladığı zararlı kodun hedef sistemde çalıştırıldığı andır. Bu aşamada saldırgan, sistemdeki bilinen veya bilinmeyen açıkları kullanarak erişim sağlar.saldırganın bu noktada farklı tekniklerden yararlanabilir:
- Zararlı makro çalıştırma: Genellikle oltalama e-postalarıyla gönderilen dosyaların içinde bulunur. Kullanıcı dosyayı açtığında fidye yazılımı gibi zararlı kod çalışır.
- Zero-day exploitler: Henüz keşfedilmemiş veya yamalanmamış güvenlik açıklarını kullanır. Bu tür saldırılar başlangıçta tespit edilmesi çok zordur.
- Bilinen CVE’ler: Kamuya açık ve yamalanmamış güvenlik açıkları hedef alınır. Eğer sistem güncel değilse saldırgan kolayca içeri sızabilir.
Exploitation aşamasında dikkat edilmesi gereken işaretler
- Beklenmedik şekilde yeni süreçlerin (process) çalışmaya başlaması.
- Kayıt defteri (registry) değişiklikleri veya yeni servislerin oluşturulması.
- Sistem günlüklerinde şüpheli komut satırı argümanlarının görülmesi.
Installation (Kurulum)
Cyber Kill Chain’in beşinci aşaması olan Installation (Kurulum), saldırganın sisteme kalıcı erişim sağlamak için zararlı yazılımı yerleştirdiği ve gizlediği noktadır. Bu aşamada kullanılan en önemli yöntemlerden biri backdoor (arka kapı) oluşturmaktır. Arka kapı, saldırganın güvenlik önlemlerini aşarak sisteme tekrar bağlanabilmesini sağlar.Eğer saldırganın ilk erişimi engellenirse ya da sistem sonradan yamalanırsa, saldırganın bağlantısı kesilir. İşte bu yüzden persistent backdoor (kalıcı arka kapı) kurmak kritik hale gelir. Böylece saldırgan, daha önce ele geçirdiği sisteme tekrar erişebilir.
Kalıcılık Sağlama Yöntemleri
- Web shell yüklemek: Web sunucusuna ASP, PHP veya JSP gibi dillerle yazılmış zararlı bir script yerleştirilir. Bu dosyalar normal web dosyaları gibi göründüğü için tespit edilmesi zordur.
- Backdoor yüklemek: Örneğin Meterpreter kullanılarak hedef bilgisayara arka kapı yerleştirilir. Meterpreter, saldırgana uzaktan etkileşimli bir komut satırı sağlar.
- Windows servislerini oluşturmak veya değiştirmek: MITRE ATT&CK’te T1543.003 olarak geçen bu teknikle saldırgan, zararlı kodları düzenli olarak çalıştıracak servisler kurabilir. Servis isimlerini işletim sistemiyle ilgiliymiş gibi göstererek dikkat çekmemeyi amaçlar.
- Registry Run Keys / Startup Folder kullanmak: Zararlı payload, kayıt defterine veya başlangıç klasörüne eklenir. Böylece her kullanıcı oturum açtığında otomatik olarak çalışır.
Ek Teknik: Timestomping
Saldırgan, adli incelemelerden kaçmak için dosya zaman damgalarını değiştirebilir. Bu yöntemle dosyanın oluşturulma, değiştirilme veya erişilme tarihleri manipüle edilir. Böylece zararlı yazılım, sanki meşru bir programın parçasıymış gibi görünebilir.Kurulum aşaması saldırının kalıcı hale geldiği noktadır eğer böyle bir şeyin olmasını istemiyorsak ona göre önlemler almamız gerekiyor
Command & Control (Komuta ve kontrol)
Cyber Kill Chain’in altıncı aşaması olan Command & Control (C2), saldırganın ele geçirdiği sistemle uzaktan iletişim kurmaya başladığı noktadır. Bu aşamada saldırgan kurbanın bilgisayarına yüklediği zararlı yazılım üzerinden bir C2 kanalı açar. Bu kanal sayesinde saldırgan, sistemi uzaktan yönetebilir, komutlar çalıştırabilir ve yeni zararlı kodlar gönderebilir.Bu iletişim süreci genellikle C2 Beaconing olarak adlandırılır. Çünkü enfekte olmuş cihaz, saldırganın kurduğu C2 sunucusuna düzenli aralıklarla sinyal gönderir. Böylece saldırgan, sistemin hâlâ kontrol altında olduğunu bilir.
Eskiden saldırganlar bu amaçla IRC (Internet Relay Chat) kullanıyordu. Ancak günümüzde güvenlik çözümleri IRC trafiğini kolayca tespit edebildiği için artık daha farklı yöntemler tercih ediliyor.
Günümüzde en sık kullanılan C2 kanalları
- HTTP (port 80) ve HTTPS (port 443): Zararlı trafik, normal web trafiğiyle karışarak güvenlik duvarlarından kaçabilir.
- DNS Tunneling: Enfekte cihaz, saldırgana ait DNS sunucusuna sürekli sorgular gönderir. Bu yöntemle zararlı iletişim DNS trafiği içine gizlenir.
Bu aşama, saldırganın kurban üzerinde tam kontrol sağladığı noktadır. Eğerki saldırganın kurmuş olduğu iletişim kanallarını doğru şekilde izlersek eğer onu yaka paça atabiliriz.
Actions on Objectives (Hedef Üzerindeki Eylemler)
Cyber Kill Chain’in yedinci ve son aşaması olan Actions on Objectives (Hedef Üzerindeki Eylemler), saldırganın tüm hazırlıklarını tamamladıktan sonra asıl amacını gerçekleştirdiği noktadır. Bu aşamada saldırgan artık sistem üzerinde tam kontrol sahibidir ve klavye başında istediği işlemleri yapabilir.Saldırganın bu aşamada gerçekleştirebileceği eylemler:
- Kullanıcı bilgilerini toplamak: Şirket çalışanlarının giriş bilgilerini ele geçirmek.
- Yetki yükseltme (Privilege Escalation): Örneğin bir bilgisayardan domain yöneticisi seviyesine çıkmak için sistemdeki yanlış yapılandırmaları kullanmak.
- İç keşif (Internal Reconnaissance): Şirket içindeki yazılımları inceleyerek yeni açıklar bulmak.
- Yanal hareket (Lateral Movement): Ağ içinde farklı sistemlere geçiş yaparak saldırıyı genişletmek.
- Veri toplama ve dışarıya aktarma (Exfiltration): Hassas bilgileri çalmak ve dışarıya sızdırmak.
- Yedekleri ve Shadow Copy’leri silmek: Shadow Copy, Microsoft’un dosya ve disklerin yedek kopyalarını oluşturan teknolojisidir. Bu kopyalar silinirse sistemin kurtarılması zorlaşır.
- Verileri bozmak veya üzerine yazmak: Dosyaları kullanılmaz hale getirmek ya da tamamen yok etmek.
Okuduğunuz için Teşekkür ederim
CW-Ommah...
Bug Researchers Tim Sundu.
Bug Researchers Tim Sundu.
Son düzenleme:
