Siber Saldırılarda Suçlu Içimizdeki Düşman

Kişisel verilerimizin neredeyse tamamının dijital olarak kayıt altında olduğu çağımızda siber saldırılar bireylerden teknoloji devlerine kadar herkesin korkulu rüyası. Bilinenin aksine, bu saldırıların tek bir anda gerçekleşenleri olduğu gibi, 122 gün sürenleri de var. Üstelik Kaspersky Global Acil Durum Müdahale ekibinin 2019’da incelediği siber saldırıların yaklaşık üçte birinde yasal uzaktan yönetim araçlarının kullanıldığı görülüyor. Saldırganlar bu sayede uzun süre tespit edilmeden faaliyetlerini sürdürebiliyor. Elde edilen bulgular Kaspersky’nin yeni Vaka Müdahalesi Analitiği Raporu’nda yayınlandı.

Takip ve yönetim yazılımları ağ yöneticilerinin günlük işlerini yapmasına, sorunları çözmesine ve çalışanlara teknik destek sunmasına yardımcı oluyor. Ancak siber suçlular da bu yasal araçlardan yararlanabiliyor ve şirketlerin altyapılarına saldırmak için kullanabiliyor. Çünkü güvenlik çözümlerinin yasal araçlara düzenlenen saldırıları tespit etmesi daha zor oluyor. Yapılan işlemlerin planlı bir siber suç faaliyeti mi yoksa standart bir sistem yönetim görevi mi olduğu kolay anlaşılamıyor. Saldırgan bu yazılımlarla uç noktalarda program çalıştırabiliyor, hassas bilgilere erişebiliyor, zararlı yazılımları tespit etmekte kullanılan güvenlik kontrollerini aşabiliyorlar.

Vaka müdahalelerinden toplanan anonim veriler incelendiğinde saldırganların 18 farklı yasal aracı kötü amaçlar için kullandığı görüldü. Bunlar arasında en çok kullanılanı ise PowerShell (vakaların yüzde 25’i) oldu. Bu güçlü yönetim aracı bilgi sızdırmaktan zararlı yazılım çalıştırmaya kadar birçok amaç için kullanılabiliyor. PsExec adlı aracınsa saldırıların yüzde 22’sinde kullanıldığı tespit edildi. Bu arayüz uygulaması uzak uç noktalarda işlemler çalıştırmakta kullanılıyor. Ağ ortamları hakkında bilgi toplamak için tasarlanan SoftPerfect Network Scanner ise yüzde 14 ile saldırganların en çok kullandığı üçüncü araç oldu.

Kaspersky Global Acil Durum Müdahale Ekibi Direktörü Konstantin Sapronov, konuya ilişkin açıklamasında “Saldırganlar tespit edilmemek ve ağda uzun süre görünmeden olabildiğince kalabilmek için genellikle normal kullanıcı işleri, yönetici görevleri ve sistem taraması için kullanılan yazılımlardan yararlanıyor. Bu araçlar sayesinde kurumsal ağda bilgi toplayıp dolaşabiliyor, yazılım ve donanım ayarlarını değiştirebiliyor ve zararlı faaliyetlerde bulunabiliyorlar. Örneğin, yasal yazılımlarla verileri şifrelemeleri mümkün. Yasal yazılımlar saldırganların güvenlik analistlerinden saklanmasına da yardımcı oluyor. Saldırılar genellikle hasar verildikten sonra fark ediliyor. Bu araçların kullanımından vazgeçmek de birçok nedenden dolayı mümkün değil. Ancak düzgün tutulan kayıtlar ve takip sistemleri ağdaki şüpheli faaliyetleri tespit etmeye ve karmaşık saldırıları erkenden fark etmeye yardımcı oluyor.” dedi.

Uzaktan yönetim yazılımlarının bir altyapıya sızmada kullanılmasını önlemek için Kaspersky şu önlemlerin alınmasını tavsiye ediyor:

Harici IP adreslerinin uzaktan yönetim araçlarını kullanmasını kısıtlayın. Uzaktan kontrol arayüzlerine yalnızca belirli sayıda uç noktadan erişime izin verin.
Tüm bilgi teknoloji sistemleri için sıkı parola politikası belirleyin ve çok aşamalı doğrulama kullanın.
Çalışanlara kısıtlı yetki tanıyın, yüksek yetkili hesapları yalnızca işini tamamlamak için ihtiyaç duyanlara verin.