Yükleyici ve damlalık, asıl zararlı yükü hedef sisteme getiren ve çalıştıran bileşenlerdir. Bu bileşenler kendi başlarına büyük bir zarar üretmez; görevleri bir sonraki aşamayı hazırlamaktır. Küçük ve sade oldukları için güvenlik kontrollerinden geçme olasılıkları yüksektir. Asıl yük ise ancak ortam uygun görüldüğünde getirilir. Bu tasarım, tespit riskini azaltır.

İki terim sıkça birbirinin yerine kullanılır ama aralarında bir fark vardır. Damlalık, taşıdığı yükü kendi içinde barındırır ve diske yazar. Yükleyici ise yükü uzak bir kaynaktan indirir. Bu fark, tespit yöntemlerini de değiştirir. Damlalıkta dosya analizi sonuç verirken, yükleyicide ağ analizi öne çıkar.

Yükleyici ve Damlalık Nedir?

Damlalık, taşıdığı zararlı yükü kendi içinde barındırıp sisteme yazan; yükleyici ise yükü uzak bir kaynaktan indirip çalıştıran zararlı bileşendir.

Her iki bileşen de modüler zararlı yazılım mimarisinin parçasıdır. Bu mimaride ilk aşama küçük ve esnek, sonraki aşamalar ise işlevsel ve büyüktür. Aşamalara ayırma, hem tespit riskini azaltır hem esneklik sağlar. Aynı ilk aşama farklı yüklerle kullanılabilir. Bu yeniden kullanılabilirlik, saldırgan için maliyet avantajıdır.

Nasıl Çalışırlar?

İlk aşama genellikle bir belge makrosu, bir betik ya da küçük bir çalıştırılabilir dosyadır. Çalıştığında önce ortamı değerlendirir: analiz ortamında mı, hangi ülkede, hangi işletim sistemi sürümü? Bu kontroller uygun sonuç verirse sonraki aşamaya geçilir. Uygun değilse bileşen sessizce sonlanır. Bu davranış, analiz ortamlarında yükün hiç görülmemesine yol açar.

Sonraki aşamada yük getirilir. Damlalıkta yük dosya içinden çıkarılır ve diske yazılır. Yükleyicide ise uzak bir adresten indirilir. İndirme genellikle şifreli kanaldan yapılır ve içerik ek olarak da şifrelenir. Bu katmanlar, ağ tarafındaki içerik denetimini etkisiz kılar.

Son aşamada yük çalıştırılır. Bazı varyasyonlar yükü diske hiç yazmadan doğrudan belleğe yükler. Dosyasız saldırı yaklaşımı bu aşamada devreye girer. Bu durumda disk üzerinde hiçbir kalıcı iz kalmaz. Tespit bellek ve davranış izlemesine kayar.

• Ortam kontrolü: analiz ortamı, coğrafya, sistem sürümü
• Yükün çıkarılması ya da uzak kaynaktan indirilmesi
• Şifreli ve katmanlı taşıma
• Diske yazmadan belleğe yükleme
• Kalıcılık mekanizmasının kurulması
• İlk aşamanın kendini silmesi

Neden Bu Mimari Kullanılır?

Birinci neden, tespit riskinin azaltılmasıdır. Küçük ve sade bir ilk aşama, imza tabanlı kontrollerden geçme olasılığı yüksektir. Asıl yük ise yalnızca uygun ortamlarda getirilir. Böylece güvenlik araştırmacılarının eline geçme olasılığı düşer. Bu, saldırgan için değerli bir avantajdır.

İkinci neden, esnekliktir. Aynı ilk aşama, farklı kampanyalarda farklı yüklerle kullanılabilir. Bugün bilgi hırsızı, yarın fidye yazılımı indirilebilir. Bu esneklik, altyapının yeniden kullanılmasını sağlar. Ekonomik açıdan verimlidir.

Üçüncü neden, satılabilirliktir. Bulaşma sağlayan gruplar, bu erişimi başka gruplara satabilir. Yükleyici, bu satışın teknik altyapısıdır. Bu nedenle küçük görünen bir bulaşma, ciddi bir operasyonun başlangıcı olabilir. Her bulaşma tam kapsamlı incelenmelidir.

Nasıl Tespit Edilir?

İlk aşama için davranış tespiti en etkili yöntemdir. Bir ofis uygulamasının betik motoru başlatması ya da bir belgenin ağ bağlantısı kurması olağandışıdır. Bu davranışlar, yükün ne olduğundan bağımsız olarak yakalanabilir. Süreç oluşturma kayıtları bu tespitin temelidir. Kayıt yapılandırması gereklidir.

İkinci yöntem, indirme davranışının izlenmesidir. Beklenmedik bir süreçten yapılan dosya indirme istekleri işaretlenebilir. Ayrıca yeni kaydedilmiş alan adlarına yapılan istekler dikkat çekicidir. Bu kurallar ağ ve proxy kayıtları üzerinde yazılır. Kapsam eksikliği sık görülür.

Üçüncü yöntem, kalıcılık mekanizmalarının izlenmesidir. Yükleyici genellikle bir kalıcılık kaydı bırakır. Bu kaydın tespiti, bulaşmayı ortaya çıkarır. Kalıcılık mekanizmaları için temel çizgi karşılaştırması kullanılır. Yöntem bilinmeyen tehditlerde de çalışır.

Müdahale Yaklaşımı

Bir yükleyici tespit edildiğinde, asıl yükün getirilip getirilmediği araştırılmalıdır. Yalnızca ilk aşamanın temizlenmesi yeterli değildir. Ağ kayıtları üzerinden indirme girişimleri incelenir. Başarılı bir indirme varsa kapsam genişletilir. Bu inceleme sistematik yapılmalıdır.

Ayrıca aynı kampanyanın başka sistemleri etkileyip etkilemediği kontrol edilir. Tespit edilen göstergeler ortam genelinde aranır. Bu arama için geriye dönük sorgu yeteneği gerekir. Kayıt saklama süresi bu yeteneği belirler. Kısa süreler inceleme kapsamını daraltır.

Kök neden analizi de yapılmalıdır. İlk aşamanın sisteme nasıl geldiği belirlenmeden aynı yol açık kalır. E-posta, web ya da taşınabilir medya kaynağı tespit edilir. İlgili kontrol güçlendirilir. Analiz olmadan olay tekrar eder.

Kullanılan Taşıyıcı Biçimleri

İlk aşama farklı biçimlerde taşınabilir. Ofis belgeleri içindeki makrolar uzun süre en yaygın biçim olmuştur. Makro çalıştırmanın varsayılan olarak engellenmesiyle saldırganlar başka biçimlere yönelmiştir. Sıkıştırılmış arşivler, disk görüntüsü dosyaları ve kısayol dosyaları bu alternatifler arasındadır. Bu kayma, savunmanın da güncellenmesini gerektirir.

Kısayol dosyaları özellikle etkili bir taşıyıcı hâline gelmiştir. Görünüşte zararsız bir simge, arka planda bir betik çalıştırabilir. Dosya uzantısının gizlenmesi bu aldatmayı kolaylaştırır. Uzantı gösteriminin açık olması basit bir önlemdir. Kurumsal politikayla uygulanabilir.

Disk görüntüsü dosyaları ise indirilen dosya işaretini taşımadığı için ek koruma katmanlarını atlar. Bu dosyaların e-posta ile alınmasının engellenmesi önerilir. Kurumsal e-posta politikasında uzantı listesi tanımlanmalıdır. Liste düzenli güncellenmelidir. Yeni biçimler eklenir.

Savunma Katmanlarının Dizilimi

İlk katman, taşıyıcının hiç ulaşmamasıdır. E-posta ağ geçidi ve web filtreleme bu katmanı oluşturur. İkinci katman, ulaşsa bile çalışamamasıdır. Uygulama denetimi ve makro kısıtlaması bu katmandadır. Üçüncü katman, çalışsa bile tespit edilmesidir. Davranış izleme bu katmanı sağlar.

Katmanların hepsinin kurulması gerekir çünkü hiçbiri tek başına yeterli değildir. Taşıyıcı biçimleri sürekli değiştiği için ilk katman her zaman atlanabilir. İkinci katman ise operasyonel kısıtlar nedeniyle her yerde uygulanamayabilir. Bu durumda üçüncü katman belirleyici olur. Kayıt kapsamı bu nedenle kritiktir.

Katmanların etkinliği dönemsel olarak sınanmalıdır. Bilinen taşıyıcı biçimlerinin kontrollü olarak denenmesi, hangi katmanın çalıştığını gösterir. Sonuçlar kapsama tablosuna işlenir. Mor takım çalışmaları bu sınamayı yürütür. Boşluklar somut hâle gelir.

Aşamalar Arası Bağlantının İzlenmesi

Çok aşamalı zincirlerde her aşama farklı bir iz bırakır. İlk aşama bir belge açılışı, ikinci aşama bir ağ isteği, üçüncü aşama bir süreç oluşturma olayı üretir. Bu izlerin birbirine bağlanması, zincirin tamamını görünür kılar. Korelasyon kuralları bu bağlantıyı kurar. Tekil olaylar tek başına anlam taşımayabilir.

Bağlantı kurmak için süreç soy ağacı bilgisi gereklidir. Hangi sürecin hangi süreci başlattığı bilinmeden zincir izlenemez. Bu bilginin kayıtlarda bulunması yapılandırmaya bağlıdır. Varsayılan ayarlar çoğu zaman yetersizdir. Kayıt planı bu ihtiyacı dikkate almalıdır.

Zincir tespiti aynı zamanda yanlış pozitifleri de azaltır. Tek başına gürültülü olan bir sinyal, zincirin parçası olduğunda yüksek güvenilirlik kazanır. Bu yaklaşım analist yükünü düşürür. Kural tasarımında bu ilke gözetilmelidir. Tekil sinyallere dayanan setler sürdürülemez.

Analiz Ortamında İnceleme

Yakalanan bir ilk aşama örneği, izole bir ortamda çalıştırılarak sonraki aşamalar gözlenebilir. Bu inceleme, indirilen yükün ne olduğunu ortaya çıkarır. Ancak ortam kontrolleri nedeniyle yük hiç indirilmeyebilir. Bu durumda statik analiz gerekir. İki yöntem birlikte kullanılır.

Analiz sonucunda elde edilen göstergeler tespit kurallarına dönüştürülür. İndirme adresleri, dosya özetleri ve davranış kalıpları bu göstergeleri oluşturur. Uzlaşma göstergeleri ortam genelinde aranır. Bu arama geriye dönük de yapılmalıdır. Kayıt saklama süresi kapsamı belirler.

Privia Security olarak çok aşamalı bulaşma zincirlerine karşı tespit kabiliyetini SOC olgunlaştırma kapsamında değerlendiriyoruz.