Bankacılık truva atı, finansal işlemleri hedef alan ve kullanıcının hesabından yetkisiz transfer yapmayı amaçlayan zararlı yazılım türüdür. Bulaştığı cihazda tarayıcı oturumlarını izler ve bankacılık sitelerine girildiğinde devreye girer. Kullanıcının girdiği bilgileri toplar, sayfa içeriğini değiştirir ve işlem verilerini manipüle eder. Kullanıcı ekranda doğru bilgileri görürken sunucuya farklı veriler gider. Bu nedenle işlem tamamlanana kadar fark edilmez.

Bu ailenin uzun bir geçmişi vardır ve teknikleri sürekli gelişmiştir. İlk örnekler yalnızca kimlik bilgisi topluyordu; günümüzdekiler ise işlem içeriğini gerçek zamanlı değiştirebilmektedir. Ayrıca ikinci faktör doğrulamayı atlatmak için ek modüller içerirler. Bu gelişim, savunmanın da işlem düzeyine taşınmasını gerektirmiştir. Kimlik doğrulama tek başına yeterli değildir.

Bankacılık Truva Atı Nedir?

Bankacılık truva atı, kullanıcının finansal işlemlerini izleyerek kimlik bilgilerini toplayan ve işlem içeriğini değiştirerek yetkisiz transfer gerçekleştiren zararlı yazılım türüdür.

Teknik olarak bu yazılımlar tarayıcı süreçlerine müdahale eder. Sayfa yüklendikten sonra içeriğe ek alanlar eklenebilir ya da mevcut alanların değeri değiştirilebilir. Bu tekniğe web enjeksiyonu denir. Tarayıcıdaki adam saldırısının uygulama biçimidir. Şifreli bağlantı bu müdahaleyi engellemez.

Nasıl Çalışır?

Bulaşma sonrası yazılım, hedef listesindeki bankacılık adreslerini bekler. Kullanıcı bu adreslerden birine girdiğinde, önceden tanımlı enjeksiyon kuralları uygulanır. Kurallar, hangi sayfada hangi değişikliğin yapılacağını belirtir. Bu kurallar komuta altyapısından güncellenebilir. Böylece yazılım yeni hedeflere hızla uyarlanır.

Enjeksiyon ile ek bilgi de istenebilir. Kullanıcıdan kart bilgisi, kimlik numarası ya da ek doğrulama kodu istenen sahte alanlar eklenir. Bu alanlar bankanın gerçek sayfasında görünür ve inandırıcıdır. Kullanıcı isteğin bankadan geldiğini düşünür. Bu nedenle bankalar hangi bilgileri istemeyeceklerini açıkça duyurmalıdır.

• Tarayıcı süreçlerine kod enjeksiyonu
• Sayfa içeriğine sahte alan ekleme
• İşlem tutarı ve alıcı bilgisinin arka planda değiştirilmesi
• Ekranda gösterilen bakiyenin sahtelenmesi
• Doğrulama kodlarının anlık toplanması

Nasıl Korunulur?

En etkili yapısal koruma, işlem doğrulamasının cihaz dışına taşınmasıdır. İşlem özetinin ayrı bir kanalda gösterilip onaylanması, tarayıcıdaki değişikliği görünür kılar. Onay ekranında alıcı ve tutar bilgisinin yer alması bu yöntemin özüdür. Yalnızca kod girilen akışlar koruma sağlamaz. Bankaların bu tasarımı benimsemesi gerekir.

Kullanıcı tarafında ise uç nokta hijyeni belirleyicidir. Güncel işletim sistemi, uygulama denetimi ve yerel yönetici hakkının bulunmaması bulaşma olasılığını düşürür. Ayrıca finansal işlemler için ayrılmış temiz bir cihaz kullanımı da bir seçenektir. Kurumsal ortamda bu ayrım uygulanabilir. Maliyeti sınırlıdır.

Kurumsal ödeme süreçlerinde ise ikinci kanaldan doğrulama zorunlu olmalıdır. Tek bir cihaz üzerinden tamamlanan yüksek tutarlı işlemler risklidir. Görevler ayrılığı ilkesi bu süreçte uygulanmalıdır. İki kişi kuralı ek koruma sağlar. Uygulama yazılı olmalıdır.

Mobil Bankacılık Hedefli Varyasyonlar

Mobil cihazlarda bu ailenin karşılığı, bankacılık uygulamalarının üzerine yerleşen sahte ekranlardır. Kullanıcı gerçek uygulamayı açtığında, üzerine sahte bir giriş ekranı bindirilir. Girilen bilgiler saldırgana gider ve ardından gerçek uygulamaya yönlendirme yapılır. Kullanıcı hiçbir anormallik fark etmez. Bu teknik ekran bindirme olarak bilinir.

Ayrıca gelen kısa mesajların okunması ve gizlenmesi de yaygın bir yetenektir. Böylece doğrulama kodları saldırgana ulaşırken kullanıcı bunları görmez. Bu yetenek, mesaj okuma izniyle elde edilir. İzin denetimi bu nedenle kritik önemdedir. Kaynak dışı kurulum engellenmelidir.

Korunma için resmî mağaza dışından uygulama kurulmaması esastır. Ayrıca erişilebilirlik ve mesaj okuma izinlerinin dikkatle değerlendirilmesi gerekir. Mobil zararlı yazılımlar bu izinler üzerinden çalışır. Kurumsal cihazlarda merkezî kısıtlama uygulanır. Kişisel cihazlarda farkındalık öne çıkar.

Bankaların Tarafındaki Kontroller

Finansal kurumlar tarafında risk motorları önemli bir katman oluşturur. İşlem tutarı, alıcı geçmişi, cihaz parmak izi ve davranış örüntüsü birlikte değerlendirilir. Olağandışı işlemler ek doğrulamaya yönlendirilir ya da geciktirilir. Bu katman, uç noktadaki bulaşmayı göremeyen kurumlar için değerlidir. Yatırım karşılığını verir.

Ayrıca yeni alıcı tanımlarında bekleme süresi uygulanması yaygın bir kontroldür. Bu süre, kullanıcının durumu fark etmesine imkân tanır. Kullanıcı deneyimini bir miktar etkiler ama etkiyi belirgin biçimde azaltır. Denge risk temelli kurulur. Yüksek tutarlarda süre uzatılabilir.

Kullanıcı bilgilendirmesi de bir kontroldür. İşlem sonrası anlık bildirim gönderilmesi, yetkisiz işlemin hızla fark edilmesini sağlar. Bildirimin ayrı bir kanaldan gitmesi önemlidir. Aynı cihazdan giden bildirim gizlenebilir. Kanal çeşitliliği koruma sağlar.

Kurumsal Ödeme Süreçlerine Etkisi

Bu aile yalnızca bireysel kullanıcıları değil kurumsal ödeme süreçlerini de hedefler. Muhasebe biriminde kullanılan bir bilgisayara bulaşan bileşen, toplu ödeme dosyalarını değiştirebilir. Bu değişiklik dosya yüklenmeden önce yapıldığında bankanın kontrolleri devreye girmez. Bu nedenle ödeme dosyalarının bütünlüğü ayrıca doğrulanmalıdır. Özet değeri karşılaştırması bu doğrulamayı sağlar.

Ödeme işlemlerinin ayrılmış ve sıkılaştırılmış cihazlardan yapılması yaygın bir kontroldür. Bu cihazlarda internet erişimi ve e-posta bulunmaz. Böylece bulaşma yollarının büyük bölümü kapatılır. Maliyeti düşük, etkisi yüksektir. Kritik finansal roller için önerilir.

Privia Security olarak finansal işlem akışlarındaki doğrulama zayıflıklarını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.