Zararlı yazılım, bir sisteme zarar vermek, veri çalmak ya da yetkisiz erişim sağlamak amacıyla yazılmış her türlü kodun genel adıdır. Terim, çok farklı davranış ve amaçlara sahip yazılım ailelerini kapsar. Ortak nokta, kullanıcının bilgisi ve rızası dışında zararlı bir işlev yerine getirmeleridir. Bu geniş tanım, savunma planlamasında ailelere göre ayrıştırma gerektirir. Her aile farklı kontroller gerektirir.

Zararlı yazılımların geldiği nokta, klasik virüs anlayışından oldukça uzaktır. Günümüzde çoğu zararlı yazılım modüler yapıdadır; temel bileşen bulaştıktan sonra ihtiyaç duyulan modülleri indirir. Bu yapı, aynı altyapının farklı amaçlarla kullanılmasını sağlar. Bir bulaşma, sonradan fidye yazılımına ya da veri hırsızlığına dönüşebilir. Bu nedenle her bulaşma ciddiye alınmalıdır.

Zararlı Yazılım Nedir?

Zararlı yazılım, kullanıcının bilgisi ve rızası dışında sisteme zarar vermek, veri elde etmek ya da yetkisiz erişim sağlamak amacıyla geliştirilmiş yazılımların genel adıdır.

Sınıflandırma genellikle yayılma biçimine ve amaca göre yapılır. Yayılma biçimine göre virüsler, solucanlar ve truva atları ayrılır. Amaca göre ise fidye yazılımları, casus yazılımlar, arka kapılar ve silici yazılımlar gruplandırılır. Bir zararlı yazılım birden çok kategoriye girebilir. Bu nedenle sınıflandırma kesin değil işlevseldir.

Başlıca Türler

Virüsler, kendini başka dosyalara ekleyerek yayılan kodlardır ve çalıştırılmaları kullanıcı eylemine bağlıdır. Solucanlar ise kullanıcı müdahalesi olmadan ağ üzerinden kendiliğinden yayılır. Solucan davranışı, yayılma hızını belirgin biçimde artırır. Truva atları ise faydalı görünen ama zararlı işlev taşıyan programlardır. Üç kategori, klasik ayrımın temelini oluşturur.

Fidye yazılımları verileri şifreleyerek erişilemez hâle getirir ve ödeme talep eder. Casus yazılımlar kullanıcı etkinliğini izler ve bilgi toplar. Tuş kaydediciler bu kategorinin bilinen bir alt türüdür. Arka kapılar ise kalıcı uzaktan erişim sağlar. Silici yazılımlar ise geri dönüşü olmayan hasar üretmeyi amaçlar.

Kök seviyesinde gizlenme sağlayan bileşenler ayrı bir kategori oluşturur. Bu bileşenler işletim sisteminin kendisini yanıltarak varlıklarını gizler. Rootkit ve önyükleme seviyesindeki varyasyonları bu gruptadır. Tespitleri, standart araçlarla mümkün olmayabilir. Bu nedenle ayrı inceleme yöntemleri gerektirir.

• Virüs: başka dosyalara eklenerek yayılan kod
• Solucan: kullanıcı müdahalesi olmadan ağ üzerinden yayılan kod
• Truva atı: faydalı görünüp zararlı işlev taşıyan program
• Fidye yazılımı: verileri şifreleyip ödeme talep eden kod
• Casus yazılım: kullanıcı etkinliğini izleyen ve bilgi toplayan kod
• Arka kapı: kalıcı uzaktan erişim sağlayan bileşen
• Rootkit: işletim sistemi düzeyinde gizlenme sağlayan bileşen

Nasıl Bulaşır?

En yaygın bulaşma yolu e-posta ekleri ve bağlantılarıdır. Kullanıcının bir belgeyi açması ya da bir bağlantıya tıklaması zinciri başlatır. Bu nedenle e-posta güvenliği ve kullanıcı farkındalığı temel katmanlardır. Ancak tek başına yeterli değildir. Kullanıcı hatası her zaman mümkündür.

İkinci yol, internete açık hizmetlerdeki zafiyetlerin sömürülmesidir. Bu yol kullanıcı müdahalesi gerektirmez ve otomatik olarak yürütülebilir. Sunucular bu yolla doğrudan hedef alınır. Yama yönetimi bu riski azaltan temel kontroldür. Envanter eksikliği en yaygın nedendir.

Üçüncü yol, yazılım tedarik zinciridir. Güvenilir bir kaynaktan indirilen bir paketin ya da güncellemenin zararlı kod içermesi mümkündür. Tedarik zinciri saldırıları bu yolu kullanır. Bu senaryoda kullanıcı ya da yönetici hiçbir hata yapmamıştır. Savunma, bütünlük doğrulama ve davranış izlemeye dayanır.

Dördüncü yol, taşınabilir medyadır. USB bellekler ve harici diskler, özellikle ağdan izole ortamlarda önemli bir bulaşma kaynağıdır. Cihaz denetimi politikaları bu riski azaltır. Endüstriyel ortamlarda bu kanal özellikle kritiktir. Fiziksel kontrollerle desteklenmelidir.

Savunma Katmanları

Birinci katman önlemedir. Yama yönetimi, uygulama denetimi, e-posta ve web filtreleme, en az yetki ilkesi bu katmanda yer alır. Bu kontroller bulaşma olasılığını düşürür. Hiçbiri tek başına yeterli değildir. Birlikte uygulandıklarında etkili olurlar.

İkinci katman tespittir. Uç nokta davranış izleme, ağ trafiği analizi ve kayıt korelasyonu bu katmanı oluşturur. Önleme başarısız olduğunda tespit devreye girer. Tespit hızı, etkinin büyüklüğünü belirler. Bu nedenle kayıt kapsamı kritik önemdedir.

Üçüncü katman müdahale ve kurtarmadır. İzolasyon, temizlik ve yedekten geri yükleme bu katmandadır. Kurtarma kabiliyeti, en kötü senaryoda iş sürekliliğini sağlar. Olay müdahale planı bu katmanı düzenler. Plan tatbikatla sınanmalıdır.

Analiz ve Öğrenme

Yakalanan bir örneğin analiz edilmesi, savunmaya doğrudan katkı sağlar. Analiz sonucunda elde edilen göstergeler tespit kurallarına dönüştürülür. Ayrıca bulaşma yolu belirlenerek aynı yolun kapatılması sağlanır. Zararlı yazılım analizi bu süreci yürütür. Analiz kapasitesi içeride ya da dışarıda olabilir.

Analizden çıkan bilgiler paylaşıldığında sektörel fayda da üretir. Sektörel bilgi paylaşım yapıları bu paylaşımı düzenler. Paylaşım, kurumun kendi savunmasını da güçlendirir çünkü karşılığında başka bilgiler alınır. Bu döngü, kolektif savunmanın temelidir. Katılım kurumsal politikayla desteklenmelidir.

Modüler Yapı ve Yükleyiciler

Modern zararlı yazılımların çoğu modüler bir mimariye sahiptir. İlk bulaşan bileşen küçük bir yükleyicidir ve asıl işlevi taşımaz. Yükleyici, ortamı değerlendirdikten sonra ihtiyaç duyulan modülleri indirir. Bu yapı, tespit edilme riskini azaltır ve esneklik sağlar. Aynı yükleyici farklı hedeflerde farklı yükler çalıştırabilir.

Bu yapının savunma açısından sonucu, ilk tespitin küçük ve önemsiz görünebilmesidir. Basit bir yükleyicinin temizlenmesi, sorunun çözüldüğü izlenimi verir. Oysa aynı yükleyici daha sonra fidye yazılımı da indirebilir. Bu nedenle her bulaşma tam kapsamlı incelenmelidir. Yüzeysel temizlik risklidir.

Yükleyicilerin bir kısmı hizmet olarak satılır. Bir grup bulaşmayı sağlar, başka gruplar ise bu bulaşmayı satın alarak kendi yüklerini çalıştırır. Bu iş bölümü, tek bir bulaşmanın birden çok saldırıya dönüşmesine yol açar. Erken müdahale bu nedenle kritik önemdedir. Bekleyen bir bulaşma, satılabilir bir varlıktır.

Bulaşma Sonrası Davranış

Bulaşan bileşenin ilk işi genellikle ortamı tanımaktır. İşletim sistemi sürümü, etki alanı üyeliği, kurulu güvenlik yazılımları ve kullanıcı yetkileri toplanır. Bu bilgiler, saldırganın sonraki adımını belirler. Değerli görülmeyen ortamlarda bileşen pasif kalabilir. Bu davranış, hedefli operasyonların işaretidir.

İkinci adım genellikle kalıcılık kurmaktır. Sistem yeniden başlatıldığında bileşenin tekrar çalışması sağlanır. Kalıcılık mekanizmaları bu aşamada devreye girer. Bu mekanizmaların tespiti, bulaşmayı ortaya çıkarır. Temel çizgi karşılaştırması etkili bir yöntemdir.

Üçüncü adım, komuta altyapısıyla iletişim kurmaktır. Bu iletişim olmadan saldırgan hiçbir talimat veremez. Çıkış trafiğinin izlenmesi bu nedenle kritik bir savunma katmanıdır. Kanalın tespiti, saldırının ortaya çıkarılmasını sağlar. Kayıt toplama ön koşuldur.

Sınıflandırmanın Sınırları

Klasik sınıflandırma kategorileri günümüz zararlı yazılımlarını tam olarak tanımlamaz. Aynı bileşen hem solucan gibi yayılabilir hem fidye yazılımı gibi şifreleyebilir hem de arka kapı bırakabilir. Bu nedenle kategoriler kesin sınırlar değil işlevsel tanımlardır. Savunma planlaması davranışlara odaklanmalıdır. Kategori adı tek başına yol göstermez.

Davranış temelli sınıflandırma daha kullanışlıdır. Bir bileşenin hangi teknikleri kullandığı, hangi kontrollerin etkili olacağını gösterir. MITRE ATT&CK eşlemesi bu sınıflandırmayı sağlar. Analiz sonuçları bu çerçeveye işlenir. Kapsama haritası bu şekilde beslenir.

Bu yaklaşım, savunma yatırımının doğru yönlendirilmesini de sağlar. Belirli bir zararlı yazılım ailesine odaklanmak yerine, yaygın kullanılan tekniklere odaklanmak daha geniş kapsama üretir. Teknikler ailelerden daha yavaş değişir. Bu istikrar, yatırımın ömrünü uzatır. Öncelik sıralaması buna göre yapılmalıdır.

Kurumsal Kontrol Listesi

İlk madde, uygulama denetimi politikalarının uygulanmasıdır. Yalnızca onaylı yazılımların çalışmasına izin verilmesi, bilinmeyen bileşenleri baştan engeller. İkinci madde, makro ve betik çalıştırmanın merkezî olarak kısıtlanmasıdır. Üçüncü madde, yerel yönetici hakkının kaldırılmasıdır. Bu üç kontrol birlikte, yaygın bulaşma yollarının büyük bölümünü kapatır.

Dördüncü madde, uç nokta davranış izlemesinin etkin olmasıdır. Beşinci madde, çıkış trafiği görünürlüğünün sağlanmasıdır. Altıncı madde, yedeklerin ayrı korunması ve geri yükleme tatbikatının yapılmasıdır. Bu maddeler önleme, tespit ve kurtarma katmanlarını birlikte kapsar. Kontrol listesi dönemsel olarak doğrulanmalıdır.

Privia Security olarak zararlı yazılım bulaşma yollarını ve savunma katmanlarının etkinliğinisiber risk analizi kapsamında değerlendiriyoruz.