Allahın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun Aleyküm dostlarım bu yazımızda ise ACI piramitini inceleyeceğiz ve her katmanına teker teker bakacağız allahın izniyle
Hash Values (Karma Değerleri)
Microsoft’un tanımına göre hash değeri, veriyi benzersiz şekilde tanımlayan sabit uzunlukta sayısal bir çıktıdır. Bu değer, bir hashing algoritması çalıştırıldığında ortaya çıkar. Siber güvenlikte en sık kullanılan bazı algoritmalar şunlardır:- MD5: 1992’de Ron Rivest tarafından geliştirilen bu algoritma 128-bit uzunluğunda hash üretir. Uzun yıllar yaygın olarak kullanılmış olsa da artık güvenli kabul edilmiyor. 2011’de yayımlanan RFC 6151, MD5 üzerinde gerçekleştirilebilecek saldırılara, özellikle de hash çakışmalarına dikkat çekmiştir.
- SHA-1: 1995’te ABD Ulusal Güvenlik Ajansı tarafından geliştirilmiştir. SHA-1, 160-bit uzunluğunda hash üretir ve çıktısı 40 haneli onaltılık bir sayı olarak gösterilir. Ancak brute-force saldırılarına karşı savunmasız olduğu için NIST, 2011’de kullanımını durdurmuş ve 2013 sonunda dijital imzalarda tamamen yasaklamıştır. Yerine SHA-2 ve SHA-3 ailesindeki daha güçlü algoritmalar önerilmektedir.
- SHA-2: 2001’de NIST ve NSA tarafından geliştirilmiştir. SHA-2’nin birçok varyantı vardır; en yaygın kullanılanı SHA-256’dır. Bu algoritma 256-bit uzunluğunda, 64 haneli onaltılık bir hash değeri üretir.
Güvenlik uzmanları hash değerlerini genellikle kötü amaçlı yazılım örneklerini veya şüpheli dosyaları tanımlamak için kullanır. Ransomware raporlarında da sıkça görürsünüz; araştırmacılar raporun sonunda zararlı dosyalara ait hash değerlerini paylaşır. Örnek görmek isteyenler The DFIR Report veya Trellix Threat Research Blogs’a göz atabilir.
Ayrıca hash sorgulaması yapmak için VirusTotal ve Metadefender Cloud (OPSWAT) gibi çevrimiçi araçlar kullanılabilir.
Örnek Bir VirusTotal görüntüsü:
İşte bu yüzden bilinen zararlı yazılımların ve fidye yazılımlarının sayısız varyasyonu vardır. Bu kadar çok farklı sürüm varken, yalnızca dosya hash’lerini IOC (Indicators of Compromise – İhlal Göstergeleri) olarak kullanarak tehdit avcılığı yapmak zorlaşır.
Bunu somutlaştırmak için basit bir örnek düşünelim: Bir dosyanın hash değerini değiştirmek için dosyanın sonuna küçük bir string eklemeniz yeterlidir. Örneğin echo komutuyla dosyanın sonuna bir metin eklediğinizde, hash değeri anında farklılaşır.
1.Değer
Kod:
PS C:\Users\THM\Downloads> Get-FileHash .\OpenVPN_2.5.1_I601_amd64.msi -Algorithm MD5
Algorithm Hash Path
_________ ____ ____
MD5 D1A008E3A606F24590A02B853E955CF7 C:\Users\THM\Downloads\OpenVPN_2.5.1_I601_amd64.msi
Kod:
PS C:\Users\THM\Downloads> echo "AppendTheHash" >> .\OpenVPN_2.5.1_I601_amd64.msi
PS C:\Users\THM\Downloads> Get-FileHash .\OpenVPN_2.5.1_I601_amd64.msi -Algorithm MD5
Algorithm Hash Path
_________ ____ ____
MD5 9D52B46F5DE41B73418F8E0DACEC5E9F C:\Users\THM\Downloads\OpenVPN_2.5.1_I601_amd64.msiIP Address
IP adresi bir ağa bağlı cihazları tanımlamak için kullanılır. Masaüstü bilgisayarlardan sunuculara, hatta güvenlik kameralarına kadar her cihaz IP adresi sayesinde ağ üzerinde veri gönderip alabilir. Biz burada IP adresinin teknik yapısına girmeyeceğiz; onun yerine Pyramid of Pain kapsamında nasıl bir gösterge olarak kullanıldığını ele alacağız dostlarım.Bu piramitte IP adresleri yeşil renkle gösterilir. Peki neden yeşil? Bu renk, aslında IP adreslerinin savunma açısından kolayca kullanılabilir ama aynı zamanda saldırganlar tarafından da kolayca değiştirilebilir olduğunu anlatır.
Savunma tarafında, bir saldırganın kullandığı IP adreslerini bilmek oldukça işe yarar. Yaygın bir yöntem, bu adreslerden gelen bağlantıları güvenlik duvarında engellemektir. Ancak bu yöntem her zaman kesin çözüm değildir. Çünkü deneyimli bir saldırgan, yeni bir genel IP adresi kullanarak bu engeli kolayca aşabilir.
Kötü amaçlı IP bağlantıları (app.any.run) örneğinde de görüldüğü gibi, IP adresleri tehdit avcılığında önemli bir gösterge olsa da tek başına yeterli değildir.
NOT:Verilen IP adreslerine bağlanmayın!
Fast Flux’un temel mantığı, bir alan adına bağlı IP adreslerinin sürekli değişmesidir. Yani aynı alan adı, farklı zamanlarda farklı IP adreslerine yönlendirilir. Bu da saldırganların altyapısını daha dayanıklı hale getirir ve güvenlik ekiplerinin veya kolluk kuvvetlerinin müdahalesini zorlaştırır.
Palo Alto, bu tekniği açıklamak için “Fast Flux 101: How Cybercriminals Improve the Resilience of Their Infrastructure to Evade Detection and Law Enforcement Takedowns” başlıklı kurgusal bir senaryo hazırlamıştır. Bu senaryo, saldırganların Fast Flux sayesinde nasıl daha görünmez hale geldiğini oldukça net bir şekilde ortaya koyar.
Domanin Names(Alan Adları)
Basitçe söylemek gerekirse, domain name bir IP adresini metin dizisine eşler. Örneğin evilcorp.com bir alan adı ve üst alan adından oluşurken, websitesi.evilcorp.com gibi örneklerde alt alan adı da bulunur. Burada DNS’in teknik işleyişine girmeyeceğiz; odak noktamız domain adlarının saldırı ve savunma tarafındaki rolü olacak.Domain adlarını değiştirmek saldırganlar için IP adreslerine kıyasla biraz daha zahmetlidir. Çünkü genellikle yeni bir domain satın almak, kaydını yapmak ve DNS kayıtlarını düzenlemek gerekir. Ancak savunma tarafı için işler her zaman bu kadar kolay değildir. Ne yazık ki birçok DNS sağlayıcısı gevşek standartlara sahiptir ve saldırganların domain değiştirmesini kolaylaştıran API’ler sunar.
Kötü amaçlı Sodinokibi C2 (Komuta ve Kontrol Altyapısı) alanları:
Punycode nedir? Basitçe söylemek gerekirse, Punycode ASCII ile yazılamayan karakterleri ASCII uyumlu bir biçime dönüştürme yöntemidir. Örneğin adıdas.de alan adı, Punycode ile http://adıdas.de/ şeklinde görünür. Günümüzde Chrome, Edge, Safari ve Internet Explorer gibi tarayıcılar bu gizlenmiş karakterleri çözümleyerek gerçek alan adını gösterebiliyor.
Zararlı alan adlarını tespit etmek için proxy logları veya web sunucu logları kullanılabilir.
Saldırganların sıkça başvurduğu bir başka yöntem ise URL kısaltıcılardır. URL kısaltıcılar, uzun bağlantıları kısa ve kolay hatırlanabilir hale getirir. Ancak saldırganlar bu hizmetleri kötüye kullanarak zararlı sitelere yönlendiren bağlantılar üretir. En çok kullanılan servislerden bazıları şunlardır:
- bit.ly
- goo.gl
- ow.ly
- s.id
- smarturl.it
- tiny.pl
- tinyurl.com
- x.co
Any.run Üzerinde Bağlantıları İncelemek
Any.run, zararlı yazılım örneklerini güvenli bir ortamda çalıştıran bir sandbox hizmetidir. Bu sayede, çalıştırılan dosyanın hangi bağlantıları kurduğunu görebiliriz. Örneğin, yaptığı HTTP istekleri, DNS sorguları veya belirli bir IP adresiyle iletişim kuran süreçler bu platformda incelenebilir. Bunun için ekran görüntüsünün hemen altında yer alan “networking” sekmesine bakmak yeterlidir.Burada dikkat edilmesi gereken önemli bir nokta var: Raporlarda gördüğünüz IP adreslerini veya HTTP bağlantılarını doğrudan ziyaret etmek son derece tehlikelidir. Çünkü bunlar zararlı yazılımın davranışlarıdır ve büyük ihtimalle zararlı işlemler gerçekleştirirler.
HTTP İstekleri
Bu sekmede, zararlı dosya çalıştırıldıktan sonra kaydedilen tüm HTTP istekleri listelenir. Bu bilgiler, dosyanın hangi kaynakları web sunucusundan çektiğini anlamamıza yardımcı olur. Örneğin bir dropper dosyası indiriliyor olabilir ya da zararlı yazılımın komuta-kontrol (C&C) sunucusuna yaptığı geri çağrı (callback) bağlantısı burada görülebilir.
Connections Sekmesi
Connections sekmesi, zararlı dosya çalıştırıldıktan sonra (detonation) gerçekleşen tüm iletişimleri gösterir. Yani bu bölümde, dosyanın dış dünyayla kurduğu bağlantıları görebilirsiniz.Bu bilgiler oldukça önemlidir çünkü bir sürecin başka bir sunucuya bağlanıp bağlanmadığını anlamamıza yardımcı olur. Örneğin
- Zararlı yazılımın C2 (Command and Control) sunucusuyla iletişim kurup kurmadığını,
- Dosya yükleme veya indirme işlemlerini FTP üzerinden yapıp yapmadığını,
- Genel olarak hangi sistemlerle haberleştiğini bu sekmede kolayca takip edebilirsiniz.
DNS Requests Sekmesi
DNS Requests sekmesi, zararlı dosya çalıştırıldıktan sonra yaptığı tüm DNS sorgularını gösterir. Basitçe söylemek gerekirse, DNS sorguları bir programın internete bağlanmaya çalıştığında hangi alan adlarına erişmek istediğini ortaya çıkarırZararlı yazılımlar genellikle internete erişimlerini test etmek için DNS sorguları yapar. Eğer internete ulaşamaz veya komuta-kontrol (C&C) sunucusuna bağlanamazsa, büyük ihtimalle bir sandbox ortamında çalıştırıldığını anlar ya da işlevsiz hale gelir.
Bu sekme sayesinde, zararlı yazılımın hangi alan adlarına sorgu gönderdiğini ve internete bağlanmaya çalışıp çalışmadığını kolayca görebilirsiniz.
Sarı Bölgeye Geçiş
Bu seviyeye geldiğimizde saldırgan için işler daha da zorlaşır. Eğer bu aşamada saldırıyı tespit edebilirsen, saldırganın planları bozulur. Çünkü kullandığı araçları ve yöntemleri değiştirmek zorunda kalır. Bu da hem zaman kaybına yol açar hem de saldırganın daha fazla kaynak harcamasını gerektirir.Host Artifacts Nedir?
Host artifacts, saldırganın sistemde bıraktığı izlerdir. Bunlar genellikle şunları kapsar:- Kayıt defteri (registry) üzerinde yapılan değişiklikler,
- Şüpheli süreçlerin çalıştırılması,
- Saldırıya özgü kalıplar veya IOC’ler (Indicators of Compromise),
- Zararlı yazılımlar tarafından bırakılan dosyalar,
- Ve mevcut tehdide özgü diğer işaretler.
Örnek Bir Word'den şüpheli işlem yürütülmesi:
Şüpheli olayların ardından kötü amaçlı bir uygulamanın açılması:
Kötü niyetli kişi tarafından değiştirilen/bırakılan dosyalar:
Network Artifacts
Network artifacts, Pyramid of Pain’in sarı bölgesinde yer alır. Bu seviyede bir tehdidi tespit edip müdahale edebilirsen, saldırganın geri dönüp kullandığı yöntemleri değiştirmesi veya araçlarını yeniden düzenlemesi gerekir. Bu süreç saldırgan için zaman kaybı demektir, senin içinse hem mevcut tehdidi ortadan kaldırmak hem de yeni tehditlere karşı hazırlık yapmak için ekstra zaman kazandırır.Network Artifact Nedir?
Ağ üzerinde saldırganın bıraktığı izlere network artifact denir. Bunlar arasında:- User-Agent stringleri,
- C2 (Command and Control) bilgileri,
- HTTP POST isteklerinde kullanılan URI kalıpları bulunur.
Network Artifacts Nasıl Tespit Edilir?
Bu izleri yakalamak için farklı yöntemler kullanılabilir:- Wireshark PCAP dosyaları (ağ paket verilerini içeren dosyalar),
- TShark gibi ağ protokol analiz araçları,
- Snort gibi saldırı tespit sistemlerinden (IDS) alınan loglar.
Aşağıdaki komutu kullanarak TShark ile User-Agent dizelerini filtreleyelim:
Kod:
tshark --Y http.request -T fields -e http.host -e http.user_agent -r analysis_file.pcap
Araçlar Seviyesinde Tespit
Bu aşamaya geldiğimizde, artık saldırganın kullandığı araçlara karşı tespit yeteneğimizi geliştirmiş oluyoruz. Böyle bir durumda saldırgan çoğu zaman pes eder ya da ağına sızmak için yeni bir araç geliştirmeye çalışır. Bu da onlar için oldukça zahmetli bir süreçtir. Çünkü ya yeni bir araç geliştirmek için para ve emek harcamaları gerekir, ya aynı işlevi görecek başka bir araç bulmak zorundadırlar, ya da kullandıkları araçlarda uzmanlaşmak için eğitim almaları gerekir. Kısacası bu noktada saldırgan için oyun büyük ölçüde bitmiş olur.Saldırganların Kullandığı Araçlar
Saldırganlar genellikle şu tür araçlardan faydalanır:- Zararlı makro belgeler (maldocs) oluşturarak hedefli oltalama (spearphishing) saldırıları yapmak,
- Arka kapılar (backdoor) kurarak komuta-kontrol (C2) altyapısı oluşturmak,
- Özel hazırlanmış .EXE ve .DLL dosyaları geliştirmek,
- Çeşitli payloadlar (zararlı yükler) kullanmak,
- Şifre kırıcı yazılımlar çalıştırmak.
Antivirüs İmzaları, Tespit Kuralları ve YARA Kuralları
Bu aşamada, antivirüs imzaları, tespit kuralları ve YARA kuralları saldırganlara karşı kullanabileceğin güçlü silahlardır.MalwareBazaar ve Malshare, zararlı yazılım örneklerine, kötü amaçlı akışlara ve YARA sonuçlarına erişim sağlayan önemli kaynaklardır. Bu veriler, özellikle tehdit avcılığı ve olay müdahalesi sırasında oldukça faydalıdır.
Tespit kuralları için ise SOC Prime Threat Detection Marketplace öne çıkan bir platformdur. Burada güvenlik uzmanları, farklı tehdit türleri için geliştirdikleri tespit kurallarını paylaşır. Bu kurallar arasında, saldırganların aktif olarak kullandığı en güncel CVE’ler için hazırlanan kurallar da bulunur.
Fuzzy Hashing
Saldırganların araçlarına karşı kullanılabilecek bir diğer güçlü yöntem ise fuzzy hashing’dir. Bu yöntem, dosyalar arasında benzerlik analizi yapmaya yarar. Yani küçük farklılıklar olsa bile iki dosyayı fuzzy hash değerleri üzerinden eşleştirebilirsiniz.Fuzzy hashing’in en bilinen örneklerinden biri SSDeep’tir. SSDeep’in resmi sitesinde fuzzy hashing’in nasıl çalıştığına dair detaylı bir açıklama da yer almaktadır.
VirusTotal'dan SSDeep örneği
Piramitin Zirvesi: TTP’ler
Son aşamaya geldik. Artık Pyramid of Pain’in zirvesindeyiz.TTP kısaltması, Tactics, Techniques & Procedures yani Taktikler, Teknikler ve Prosedürler anlamına gelir. Bu kavram, saldırganın amacına ulaşmak için izlediği tüm adımları kapsar. Örneğin oltalama (phishing) girişimlerinden sistemde kalıcılık sağlamaya, veri sızdırmaya kadar uzanan tüm süreci içerir. MITRE ATT&CK Matrix de bu adımların tamamını sistematik bir şekilde ortaya koyar.
Eğer TTP’leri hızlı bir şekilde tespit edip müdahale edebilirsen, saldırganın karşı koyma şansı neredeyse kalmaz. Örneğin, Pass-the-Hash saldırısını Windows Event Log üzerinden yakalayıp durdurabilirsen, ele geçirilmiş sistemi hemen bulabilir ve saldırganın ağ içinde yanlamasına hareketini (lateral movement) engelleyebilirsin.
Bu noktada saldırganın önünde yalnızca iki seçenek kalır:
- Geri dönüp daha fazla araştırma yapmak, eğitim almak ve kullandığı araçları yeniden yapılandırmak.
- Pes edip başka bir hedef aramak.
Okuduğunuz için Teşekkür ederim
CW-Ommah...
Bug Researchers Tim Sundu.
Bug Researchers Tim Sundu.
Son düzenleme:
