Allah’ın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım. Bu makalemizde tehdit aktörlerinin kurbanlarını neden ve nasıl kontrol altında tuttuklarını ve ele geçirilmiş bir ev sahibinin üç taktike odaklanarak daha büyük bir saldırının parçası olabileceğini araştıracağız. Komuta ve Kontrol,Kalıcılık ve Etki
Komuta ve Kontrol
USB solucanlarının ve oltalama (phishing) eklerinin bir makineyi “enfekte” edebildiğini zaten öğrendiniz geçtiğimiz makalelerde. Peki bunu tam olarak nasıl yaparlar? Tehdit aktörleri komutları nasıl gönderir ve kurbanın sisteminin kontrolünü nasıl sürdürür? Bu makale, bu konuya ışık tutacak ve MITRE’in Komuta ve Kontrol (C2) taktiğini inceleyeceğiz Allah’ın izniyle.
C2 Olmadan Saldırılar
Bazı durumlarda C2’ye hiç ihtiyaç duyulmaz. Örneğin, bir RDP ihlali sonrasında tehdit aktörleri komutlarını doğrudan RDP oturumu üzerinden yazabilir. Ancak bu yöntem, RDP oturumu kapatıldığında veya güvence altına alındığında kullanılamaz hale gelir. Bu nedenle çoğu tehdit aktörü, ihlal gerçekleştikten hemen sonra bir C2 altyapısı kurmayı tercih eder.
En Basit C2
Diğer İlk Erişim (Initial Access) yöntemlerinde, tehdit aktörleri her komut çalıştırmak istediklerinde RDP kullanamazlar. Bu yüzden, saldırganlara geri bağlanan ve 7/24 onların komutlarını bekleyen bir sürece ihtiyaç duyarlar. En basit durumda, oltalama (phishing) eki bu sürecin kendisi olur ve aşağıdaki Cobalt Strike ekran görüntüsünde olduğu gibi Komuta ve Kontrol (C2) kanalını kurar.
Daha gelişmiş senaryolarda ise ek dosya doğrudan geri bağlantı kurmaz. Bunun yerine ek bir C2 zararlı yazılımı indirir, bunu C:\Temp gibi bir klasöre gizler ve yeni, daha gizli bir süreç olarak çalıştırır. Bu yöntem, kurbanın orijinal eki silmesi durumunda bile saldırının devam etmesini sağladığı için avantajlıdır. Bunun yakın zamanda gerçekleşen fidye yazılımı vakalarında ve APT29 oltalama kampanyası sırasında nasıl kullanıldığını görebilirsiniz.
Kalıcılığa Genel Bakış
Veri hırsızı (data stealer) bulaşmaları genellikle çok kısa ömürlüdür: kurbanın sistemine sızarlar, verileri toplarlar, dışarı aktarırlar ve çıkarlar — tüm bunlar birkaç dakika içinde gerçekleşir. Ancak çoğu diğer saldırı türü için, İlk Erişimden (Initial Access) sonra günler hatta aylar boyunca kurban sisteme erişimi sürdürmek hayati önem taşır. Yeniden başlatmalara ve parola değişikliklerine rağmen hedefte güvenilir ve uzun vadeli erişimi sürdürme taktiğine Kalıcılık (Persistence) denir — bu, yakında keşfedeceğiniz geniş ve ilgi çekici bir konudur.
RDP ile Kalıcılık Sağlama
Birçok Windows ihlali, dışa açık bir hizmet nedeniyle gerçekleşir: zayıf parolaya sahip RDP, güvenlik açığı bulunan bir e-posta sunucusu veya yanlış yapılandırılmış bir web uygulaması. Bu tür senaryolarda tehdit aktörleri, güvenlik açığı giderilene kadar aynı dışa açık hizmet üzerinden makineye tekrar tekrar erişebilir. Yine de tehdit aktörleri çoğu zaman ek bir Kalıcılık yöntemi uygular. Örneğin:
Arka Kapı Eklenmiş Kullanıcıları Tespit Etme
Artık tekrar Güvenlik olay günlüklerine dönme zamanı. Her kullanıcı oluşturma olayı, olay kimliği 4720 olarak kaydedilir. Tehdit aktörleri arka kapı eklenmiş hesaplara isim verirken oldukça yaratıcı olabileceğinden, yalnızca “hacker” gibi şüpheli isimleri tespit etmeye güvenmemelisiniz. Bunun yerine şunları incelemelisiniz:
Sonraki adımda, yeni oluşturulan bir kullanıcı tek başına saldırgana fazla bir avantaj sağlamaz; çünkü varsayılan kullanıcı izinleri uzaktan (RDP) oturum açmaya izin vermez veya makine üzerinde yönetici yetkileri vermez. Bunu aşmak için tehdit aktörleri, arka kapı ekledikleri hesabı ayrıcalıklı gruplardan birine ekler. Bu işlem Güvenlik olay kimliği 4732 ile izlenir. En sık kötüye kullanılan gruplar Administrators ve Remote Desktop Users gruplarıdır.
Parola Sıfırlama
Son olarak, daha gelişmiş senaryolarda tehdit aktörleri yeni bir hesap oluşturmak yerine eski veya kullanılmayan bir hesabın parolasını sıfırlayıp onu kullanabilir. Bu durum Güvenlik olay kimliği 4724 ile tespit edilebilir. Özetle, aşağıda bahsedilen olay kimliklerinin nasıl göründüğünü inceleyebilirsiniz:
Süreklilik: Görevler ve Hizmetler
Zararlı Yazılımda Kalıcılık
Arka kapı eklenmiş bir kullanıcı üzerinden kalıcılık sağlamak, eğer RDP aracılığıyla uzaktan giriş yapabiliyorsanız iyi çalışır. Ancak saldırı bir oltalama (phishing) saldırısı veya USB bulaşmasıyla başladıysa, bu mümkün değildir. Bu tür senaryolarda tehdit aktörlerinin, sistem yeniden başlatıldıktan sonra bile C2 sunucularıyla bağlantıyı sürdüren aktif bir zararlı yazılıma ihtiyacı vardır. Peki zararlı yazılımda kalıcılığı nasıl sağlayabilirler?
Servisler ve Görevler
Ne yazık ki savunmacılar için, bir Windows makinesinde kalıcılık sağlamak adına kelimenin tam anlamıyla yüzlerce yöntem vardır. Bir SOC L1 veya L2 analisti olarak hepsini bilmenize gerek yok, ancak en yaygın iki yöntemle başlayalım:
Servislerin Tespiti
DNS istemcisi veya Güvenlik Merkezi gibi birçok kritik Windows bileşeni birer servistir. Servisleri görüntülemek için services.msc aracını çalıştırabilir veya “Services” diye arama yapabilirsiniz; ancak bir servisi oluşturmak ya da değiştirmek için yönetici yetkileri ve sc.exe komutu gereklidir.
Tehdit aktörleri, başlangıçta belirli bir programı çalıştıracak kendi zararlı servislerini oluşturabilir ve MITRE örneklerinde de okuyabileceğiniz gibi bunu oldukça sık yaparlar. Günlüklerde zararlı servisleri üç şekilde tespit edebilirsiniz:
Zamanlanmış Görevlerin Tespiti
Zamanlanmış görevler, hem işletim sistemi hem de harici uygulamalar tarafından yoğun şekilde kullanılan bir Windows özelliğidir (örneğin güncellemeleri kontrol etmek veya her saat yedek almak için). Grafik arayüz üzerinden görevleri yönetmek için taskschd.msc aracını çalıştırabilir veya “Task Scheduler” diye arama yapabilirsiniz. Komut satırından ise schtasks.exe komutunu kullanabilirsiniz.
Servislerin aksine, zamanlanmış görevleri yapılandırmak ve gizlemek oldukça kolaydır. Bu nedenle, APT28 ve APT41 saldırılarında da görüldüğü gibi tehdit aktörleri tarafından en yaygın kalıcılık yöntemlerinden biridir. Servislere benzer şekilde, zamanlanmış görevleri üç şekilde tespit edebilirsiniz:
Çalıştırma Anahtarları (Run Keys) ve Başlangıç
Servisler ve zamanlanmış görevler genellikle sistem açılışında çalışır ve yapılandırılmaları için yönetici yetkileri gerektirir. Ancak bir programın yalnızca belirli bir kullanıcı oturum açtığında çalışması gerekiyorsa ne olur? Bu tür durumlar için Windows, hem yasal araçlar hem de zararlı yazılımlar tarafından aktif olarak kullanılan bazı kullanıcı bazlı kalıcılık yöntemleri sunar:
Başlangıç (Startup) Klasörünün Tespiti
Başlangıç klasörü, deneyimsiz kullanıcıların giriş sırasında çalışacak programları kolayca ayarlayabilmesi için tasarlanmıştır. Yapmanız gereken sadece başlangıç klasörünü açmak, programınızı veya program kısayolunuzu buraya taşımaktır; böylece sonraki oturum açmalarınızda programın otomatik olarak çalıştığını görürsünüz. Başlangıç klasörünü aşağıdaki yol üzerinden açabilirsiniz:
Başlangıç klasörü, meşru programlar tarafından sık kullanılan bir seçenek değildir, bu yüzden genellikle boş olur. Buna rağmen tehdit aktörleri çoğu zaman zararlı yazılımlarını buraya yerleştirir (Lumma Stealer örneği gibi) ve bunu, Başlangıç klasörü içindeki dosya oluşturma olaylarını izleyerek (Sysmon Olay Kimliği 11) tespit edebilirsiniz. Ayrıca, başlangıç üzerinden çalıştırılan programların explorer.exe üst (parent) sürecine sahip olacağını unutmayın; bu da onları meşru kullanıcı etkinliklerinden saldırıları ayırt etmeyi zorlaştırabilir.
Çalıştırma (Run) Anahtarlarının Tespiti
Run anahtarı kalıcılığı, başlangıç klasörüne çok benzer; hatta MITRE’de tek bir teknik altında birlikte değerlendirilir (MITRE ATT&CK). Aralarındaki temel fark, girişlerin nasıl eklendiğidir. Başlangıç klasörüne programı sadece kopyalamak yeterliyken, Run anahtarlarında Windows kayıt defteri (registry) içinde “Run” bölümüne yeni bir değer oluşturmanız ve programın yolunu buraya yazmanız gerekir:
“Run” girdilerini görüntülemek için regedit.exe’yi çalıştırabilir veya “Registry Editor” (Kayıt Defteri Düzenleyicisi) araması yaparak yukarıda gösterilen yola gidebilirsiniz. Günlüklerden (loglardan) zararlı bir girdiyi tespit etmek için ise Run anahtarlarını etkileyen kayıt defteri değişim olaylarını (Sysmon Olay Kimliği 13) izleyebilirsiniz:
Kalıcılığa Duyulan İhtiyaç
tehdit aktörlerinin sistemlerde nasıl aktif kalabildiğini öğrendiniz. Peki buna neden ihtiyaç duyarlar? Neden sadece verileri çalıp tespit edilmeden sistemden çıkmazlar? Bunun birkaç nedeni olabilir, ancak en önemlileri şunlardır:
Üçüncü maddeye biraz daha yakından bakalım. Çoğu durumda bir Windows ağı, kendi saldırıları, tespit yöntemleri ve tehditleri olan büyük bir Active Directory yapısı anlamına gelir — bunların başında fidye yazılımları (ransomware) gelir. Fidye yazılımları şirketleri en çok korkutan tehdittir. Neden mi? Çünkü tüm bir şirketi durma noktasına getirebilir; tıpkı McLaren hastanelerinde olduğu gibi 743.000 hastayı etkileyebilir. Bir düşünün: sunucularınızın şifrelendiğini, verilerinizin çalındığını ve fidye notlarının ofisteki tüm yazıcılardan otomatik olarak çıktığını görmek…
Okuduğunuz için teşekkür ederim
Selamun aleyküm dostlarım. Bu makalemizde tehdit aktörlerinin kurbanlarını neden ve nasıl kontrol altında tuttuklarını ve ele geçirilmiş bir ev sahibinin üç taktike odaklanarak daha büyük bir saldırının parçası olabileceğini araştıracağız. Komuta ve Kontrol,Kalıcılık ve Etki
Komuta ve Kontrol
USB solucanlarının ve oltalama (phishing) eklerinin bir makineyi “enfekte” edebildiğini zaten öğrendiniz geçtiğimiz makalelerde. Peki bunu tam olarak nasıl yaparlar? Tehdit aktörleri komutları nasıl gönderir ve kurbanın sisteminin kontrolünü nasıl sürdürür? Bu makale, bu konuya ışık tutacak ve MITRE’in Komuta ve Kontrol (C2) taktiğini inceleyeceğiz Allah’ın izniyle.
C2 Olmadan Saldırılar
Bazı durumlarda C2’ye hiç ihtiyaç duyulmaz. Örneğin, bir RDP ihlali sonrasında tehdit aktörleri komutlarını doğrudan RDP oturumu üzerinden yazabilir. Ancak bu yöntem, RDP oturumu kapatıldığında veya güvence altına alındığında kullanılamaz hale gelir. Bu nedenle çoğu tehdit aktörü, ihlal gerçekleştikten hemen sonra bir C2 altyapısı kurmayı tercih eder.
En Basit C2
Diğer İlk Erişim (Initial Access) yöntemlerinde, tehdit aktörleri her komut çalıştırmak istediklerinde RDP kullanamazlar. Bu yüzden, saldırganlara geri bağlanan ve 7/24 onların komutlarını bekleyen bir sürece ihtiyaç duyarlar. En basit durumda, oltalama (phishing) eki bu sürecin kendisi olur ve aşağıdaki Cobalt Strike ekran görüntüsünde olduğu gibi Komuta ve Kontrol (C2) kanalını kurar.
Daha gelişmiş senaryolarda ise ek dosya doğrudan geri bağlantı kurmaz. Bunun yerine ek bir C2 zararlı yazılımı indirir, bunu C:\Temp gibi bir klasöre gizler ve yeni, daha gizli bir süreç olarak çalıştırır. Bu yöntem, kurbanın orijinal eki silmesi durumunda bile saldırının devam etmesini sağladığı için avantajlıdır. Bunun yakın zamanda gerçekleşen fidye yazılımı vakalarında ve APT29 oltalama kampanyası sırasında nasıl kullanıldığını görebilirsiniz.
Kalıcılığa Genel Bakış
Veri hırsızı (data stealer) bulaşmaları genellikle çok kısa ömürlüdür: kurbanın sistemine sızarlar, verileri toplarlar, dışarı aktarırlar ve çıkarlar — tüm bunlar birkaç dakika içinde gerçekleşir. Ancak çoğu diğer saldırı türü için, İlk Erişimden (Initial Access) sonra günler hatta aylar boyunca kurban sisteme erişimi sürdürmek hayati önem taşır. Yeniden başlatmalara ve parola değişikliklerine rağmen hedefte güvenilir ve uzun vadeli erişimi sürdürme taktiğine Kalıcılık (Persistence) denir — bu, yakında keşfedeceğiniz geniş ve ilgi çekici bir konudur.
Birçok Windows ihlali, dışa açık bir hizmet nedeniyle gerçekleşir: zayıf parolaya sahip RDP, güvenlik açığı bulunan bir e-posta sunucusu veya yanlış yapılandırılmış bir web uygulaması. Bu tür senaryolarda tehdit aktörleri, güvenlik açığı giderilene kadar aynı dışa açık hizmet üzerinden makineye tekrar tekrar erişebilir. Yine de tehdit aktörleri çoğu zaman ek bir Kalıcılık yöntemi uygular. Örneğin:
- İhlal edilen hizmette ek, gizli bir güvenlik açığı oluşturmak (örneğin bir arka kapı veya web kabuğu (web shell))
- Yeni bir kullanıcı oluşturmak (T1136), bu kullanıcıyı yönetici yapmak (T1098) ve sonraki RDP oturum açmaları için kullanmak
Kod:
# 1. Two methods to create the "mr.backd00r" user
CMD C:\> net user "mr.backd00r" "p@ssw0rd!" /add
PS C:\> New-LocalUser "mr.backd00r" -Password [...]
# 2. Two methods to add the user to Administrators
CMD C:\> net localgroup Administrators "mr.backd00r" /add
PS C:\> Add-LocalGroupMember "Administrators" -Member "mr.backd00r"Arka Kapı Eklenmiş Kullanıcıları Tespit Etme
Artık tekrar Güvenlik olay günlüklerine dönme zamanı. Her kullanıcı oluşturma olayı, olay kimliği 4720 olarak kaydedilir. Tehdit aktörleri arka kapı eklenmiş hesaplara isim verirken oldukça yaratıcı olabileceğinden, yalnızca “hacker” gibi şüpheli isimleri tespit etmeye güvenmemelisiniz. Bunun yerine şunları incelemelisiniz:
- Hesabı kim oluşturdu? Bu kişi hesap oluşturduğunu doğrulayabiliyor mu?
- Hesabı oluşturan kişinin giriş yaptığı kaynak IP adresi ve zaman nedir? Beklenen bir durum mu?
- Oluşturucunun oturumu içinde başka hangi şüpheli olayları görebilirsiniz?
Sonraki adımda, yeni oluşturulan bir kullanıcı tek başına saldırgana fazla bir avantaj sağlamaz; çünkü varsayılan kullanıcı izinleri uzaktan (RDP) oturum açmaya izin vermez veya makine üzerinde yönetici yetkileri vermez. Bunu aşmak için tehdit aktörleri, arka kapı ekledikleri hesabı ayrıcalıklı gruplardan birine ekler. Bu işlem Güvenlik olay kimliği 4732 ile izlenir. En sık kötüye kullanılan gruplar Administrators ve Remote Desktop Users gruplarıdır.
Parola Sıfırlama
Son olarak, daha gelişmiş senaryolarda tehdit aktörleri yeni bir hesap oluşturmak yerine eski veya kullanılmayan bir hesabın parolasını sıfırlayıp onu kullanabilir. Bu durum Güvenlik olay kimliği 4724 ile tespit edilebilir. Özetle, aşağıda bahsedilen olay kimliklerinin nasıl göründüğünü inceleyebilirsiniz:
Süreklilik: Görevler ve Hizmetler
Zararlı Yazılımda Kalıcılık
Arka kapı eklenmiş bir kullanıcı üzerinden kalıcılık sağlamak, eğer RDP aracılığıyla uzaktan giriş yapabiliyorsanız iyi çalışır. Ancak saldırı bir oltalama (phishing) saldırısı veya USB bulaşmasıyla başladıysa, bu mümkün değildir. Bu tür senaryolarda tehdit aktörlerinin, sistem yeniden başlatıldıktan sonra bile C2 sunucularıyla bağlantıyı sürdüren aktif bir zararlı yazılıma ihtiyacı vardır. Peki zararlı yazılımda kalıcılığı nasıl sağlayabilirler?
Servisler ve Görevler
Ne yazık ki savunmacılar için, bir Windows makinesinde kalıcılık sağlamak adına kelimenin tam anlamıyla yüzlerce yöntem vardır. Bir SOC L1 veya L2 analisti olarak hepsini bilmenize gerek yok, ancak en yaygın iki yöntemle başlayalım:
| Kalıcılık Yöntemi | Saldırı Örneği | Olay Kimliği Kaydı |
|---|---|---|
| Windows Servisi Oluşturma (İşletim sistemi başlatıldıktan sonra çalışır) | sc create "BadService" binpath= "C:\malware.exe" start= auto | sc.exe çalıştırılması: Sysmon / 1Servis oluşturma: Security / 4697 |
| Zamanlanmış Görev Oluşturma (İşletim sistemi başlatıldıktan sonra çalışır) | schtasks /create /tn "BadTask" /tr "C:\malware.exe" /sc onstart /ru System | schtasks.exe çalıştırılması: Sysmon / 1Zamanlanmış görev oluşturma: Security / 4698 |
Servislerin Tespiti
DNS istemcisi veya Güvenlik Merkezi gibi birçok kritik Windows bileşeni birer servistir. Servisleri görüntülemek için services.msc aracını çalıştırabilir veya “Services” diye arama yapabilirsiniz; ancak bir servisi oluşturmak ya da değiştirmek için yönetici yetkileri ve sc.exe komutu gereklidir.
Tehdit aktörleri, başlangıçta belirli bir programı çalıştıracak kendi zararlı servislerini oluşturabilir ve MITRE örneklerinde de okuyabileceğiniz gibi bunu oldukça sık yaparlar. Günlüklerde zararlı servisleri üç şekilde tespit edebilirsiniz:
- Sysmon olay kimliği 1 üzerinden sc.exe create komutunun çalıştırılmasını tespit etmek
- Security olay kimliği 4697 veya System olay kimliği 7045 üzerinden servis oluşturulmasını tespit etmek
- services.exe üst (parent) sürecine sahip şüpheli işlemleri tespit etmek
Zamanlanmış Görevlerin Tespiti
Zamanlanmış görevler, hem işletim sistemi hem de harici uygulamalar tarafından yoğun şekilde kullanılan bir Windows özelliğidir (örneğin güncellemeleri kontrol etmek veya her saat yedek almak için). Grafik arayüz üzerinden görevleri yönetmek için taskschd.msc aracını çalıştırabilir veya “Task Scheduler” diye arama yapabilirsiniz. Komut satırından ise schtasks.exe komutunu kullanabilirsiniz.
Servislerin aksine, zamanlanmış görevleri yapılandırmak ve gizlemek oldukça kolaydır. Bu nedenle, APT28 ve APT41 saldırılarında da görüldüğü gibi tehdit aktörleri tarafından en yaygın kalıcılık yöntemlerinden biridir. Servislere benzer şekilde, zamanlanmış görevleri üç şekilde tespit edebilirsiniz:
- Sysmon olay kimliği 1 üzerinden schtasks.exe /create komutunun çalıştırılmasını tespit etmek
- Security olay kimliği 4698 üzerinden zamanlanmış görev oluşturma olaylarını tespit etmek ve analiz etmek
- svchost.exe [...] -s Schedule üst (parent) sürecine sahip şüpheli işlemleri tespit etmek
Çalıştırma Anahtarları (Run Keys) ve Başlangıç
Servisler ve zamanlanmış görevler genellikle sistem açılışında çalışır ve yapılandırılmaları için yönetici yetkileri gerektirir. Ancak bir programın yalnızca belirli bir kullanıcı oturum açtığında çalışması gerekiyorsa ne olur? Bu tür durumlar için Windows, hem yasal araçlar hem de zararlı yazılımlar tarafından aktif olarak kullanılan bazı kullanıcı bazlı kalıcılık yöntemleri sunar:
| Kalıcılık Yöntemi | Saldırı Örneği | Olay Kimliği Kaydı |
|---|---|---|
| Zararlı yazılımı Başlangıç Klasörüne ekleme (Kullanıcı oturum açtığında çalışır) | copy C:\malware.exe "%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\malware.exe" | Yeni başlangıç öğesi: Sysmon Olay Kimliği 11 |
| Zararlı yazılımı “Run” anahtarlarına ekleme (Kullanıcı oturum açtığında çalışır) | reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v BadKey /t REG_SZ /d "C:\malware.exe" | Yeni kayıt defteri değeri: Sysmon Olay Kimliği 13 |
Başlangıç (Startup) Klasörünün Tespiti
Başlangıç klasörü, deneyimsiz kullanıcıların giriş sırasında çalışacak programları kolayca ayarlayabilmesi için tasarlanmıştır. Yapmanız gereken sadece başlangıç klasörünü açmak, programınızı veya program kısayolunuzu buraya taşımaktır; böylece sonraki oturum açmalarınızda programın otomatik olarak çalıştığını görürsünüz. Başlangıç klasörünü aşağıdaki yol üzerinden açabilirsiniz:
Kod:
C:\Users\<USER>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Or for all users: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUpÇalıştırma (Run) Anahtarlarının Tespiti
Run anahtarı kalıcılığı, başlangıç klasörüne çok benzer; hatta MITRE’de tek bir teknik altında birlikte değerlendirilir (MITRE ATT&CK). Aralarındaki temel fark, girişlerin nasıl eklendiğidir. Başlangıç klasörüne programı sadece kopyalamak yeterliyken, Run anahtarlarında Windows kayıt defteri (registry) içinde “Run” bölümüne yeni bir değer oluşturmanız ve programın yolunu buraya yazmanız gerekir:
Kod:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Or for all users: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runtehdit aktörlerinin sistemlerde nasıl aktif kalabildiğini öğrendiniz. Peki buna neden ihtiyaç duyarlar? Neden sadece verileri çalıp tespit edilmeden sistemden çıkmazlar? Bunun birkaç nedeni olabilir, ancak en önemlileri şunlardır:
- Ana bilgisayarı bir botnet’e eklemek ve daha fazla saldırı için kullanmak
- Kraken Botnet’in kripto madencisi, veri hırsızı ve C2 yeteneklerini birleştirmesi gibi
- Devlet destekli bir kampanyanın parçası olarak kurbanı gizlice izlemek
- Volt Typhoon’un ABD elektrik şebekesinde neredeyse bir yıl boyunca tespit edilmeden kalması gibi
- Kurbanı ağa giriş noktası olarak kullanmak; tüm ağı ele geçirmek aylar sürebilir
- Saldırganların tam bir ağı ele geçirmek için 29 gün harcadığı vaka gibi
Üçüncü maddeye biraz daha yakından bakalım. Çoğu durumda bir Windows ağı, kendi saldırıları, tespit yöntemleri ve tehditleri olan büyük bir Active Directory yapısı anlamına gelir — bunların başında fidye yazılımları (ransomware) gelir. Fidye yazılımları şirketleri en çok korkutan tehdittir. Neden mi? Çünkü tüm bir şirketi durma noktasına getirebilir; tıpkı McLaren hastanelerinde olduğu gibi 743.000 hastayı etkileyebilir. Bir düşünün: sunucularınızın şifrelendiğini, verilerinizin çalındığını ve fidye notlarının ofisteki tüm yazıcılardan otomatik olarak çıktığını görmek…
Okuduğunuz için teşekkür ederimCW-Ommah
Bug Researchers Tim Sundu...
Bug Researchers Tim Sundu...
