Bilgi hırsızı, bulaştığı sistemde saklanan kimlik bilgilerini, oturum çerezlerini ve diğer hassas verileri toplayıp saldırgana gönderen zararlı yazılım türüdür. Çalışması genellikle kısa sürer; veriler toplanıp gönderildikten sonra bileşen kendini silebilir. Bu kısa ömür, tespiti zorlaştırır. Buna karşılık etkisi uzun sürelidir çünkü çalınan kimlikler aylarca kullanılabilir. Bu nedenle olay, tek seferlik bir bulaşma olarak değerlendirilmemelidir.

Toplanan veriler genellikle pazarlarda satılır. Alıcılar bu verileri hesap ele geçirme, kurumsal ağa erişim ya da dolandırıcılık için kullanır. Bu ikincil kullanım, ilk bulaşmadan çok sonra gerçekleşebilir. Bu nedenle bir bilgi hırsızı bulaşması, sonraki bir fidye olayının başlangıcı olabilir. Erken müdahale kritik önemdedir.

Bilgi Hırsızı Nedir?

Bilgi hırsızı, sistemde saklanan parolaları, oturum çerezlerini, kripto cüzdanlarını ve diğer hassas verileri toplayarak saldırgana ileten zararlı yazılım türüdür.

Toplanan veriler arasında tarayıcıda kayıtlı parolalar, oturum çerezleri, otomatik doldurma bilgileri ve uygulama kimlik bilgileri bulunur. Ayrıca sistem bilgisi ve ekran görüntüsü de alınabilir. Çerez hırsızlığı bu ailenin en etkili yeteneğidir. Çerezler, doğrulama adımlarını atlamayı sağlar.

Nasıl Bulaşır?

En yaygın yol, korsan yazılım ve oyun hileleri gibi cazip içeriklerdir. Kullanıcı bilerek indirdiği bir dosyayı çalıştırır ve bileşen yerleşir. İkinci yol, sahte reklamlar üzerinden yönlendirilen sahte indirme sayfalarıdır. Bu sayfalar meşru yazılımların resmî sitelerine benzetilir. Arama sonuçlarındaki reklamlar bu amaçla kullanılır.

Üçüncü yol, e-posta ekleridir. Fatura ya da sipariş görünümlü dosyalar bu amaçla kullanılır. Kurumsal ortamda uygulama denetimi bu yolların çoğunu kapatır. Kullanıcının indirdiği dosyanın çalışamaması, bulaşmayı engeller. Bu kontrol önceliklidir.

• Korsan yazılım ve hile programları
• Sahte indirme sayfaları ve reklam yönlendirmeleri
• E-posta ekleri ve sıkıştırılmış arşivler
• Zararlı tarayıcı eklentileri
• Sahte güncelleme uyarıları

Nasıl Korunulur?

İlk koruma, tarayıcıda parola saklamamaktır. Kurumsal bir parola kasası kullanılması, hem güvenlik hem kullanılabilirlik sağlar. Parola kasası çözümleri ana parola ve ek doğrulama ile korunur. Bu koruma, tarayıcı deposundan çok daha güçlüdür. Geçiş kademeli yapılabilir.

İkinci koruma, oturum güvenliğidir. Belirteçlerin cihaza bağlanması ve kısa ömürlü tutulması, çalınan çerezin işe yaramamasını sağlar. Ayrıca olağandışı bağlamdan kullanılan oturumlar tespit edilebilir. Bu kontroller kimlik sağlayıcısı tarafında yapılandırılır. Varsayılan ayarlar genellikle gevşektir.

Üçüncü koruma, uygulama denetimidir. Kullanıcının indirdiği rastgele bir dosyanın çalışamaması, bu ailenin en yaygın bulaşma yolunu kapatır. Bu kontrol, birçok başka tehdide karşı da koruma sağlar. Uygulama kademeli yapılmalıdır. Önce denetim modunda izlenir.

Toplanan Verinin Kullanımı

Toplanan veriler genellikle paketler hâlinde satılır. Bir paket, tek bir cihazdan çıkan tüm kimlik bilgilerini ve çerezleri içerir. Alıcılar bu paketleri hesap ele geçirme ya da kurumsal erişim için kullanır. Kurumsal kimlik bilgisi içeren paketler daha yüksek fiyatla satılır. Bu ekonomi, hedeflemeyi de yönlendirir.

Bir kurumsal cihazdan çıkan veriler, sonraki bir fidye operasyonunun başlangıcı olabilir. Bu nedenle bilgi hırsızı bulaşması düşük öncelikli görülmemelidir. Fidye yazılımı saldırıları çoğu zaman bu şekilde başlar. Erken müdahale zinciri kırar. Öncelik yükseltilmelidir.

Kişisel cihazlardan çıkan kurumsal kimlik bilgileri de risk oluşturur. Uzaktan çalışan personelin kişisel cihazında kayıtlı kurumsal parolalar bu kapsamdadır. Bu nedenle kurumsal erişimin yönetilen cihazlarla sınırlanması önerilir. Kontrol koşullu erişimle uygulanır. Kapsam net tanımlanmalıdır.

Sızıntı İzleme

Kurumsal kimlik bilgilerinin sızıntı kaynaklarında görünüp görünmediğinin izlenmesi değerli bir erken uyarıdır. Tespit edilen hesaplar için parola yenileme ve oturum sonlandırma uygulanır. Bu izleme otomatikleştirilebilir. Kimlik bilgisi sızıntısı izleme süreci bunu sağlar. Bulgular hızla işlenmelidir.

İzleme kapsamının çerezleri de içermesi önerilir. Parola değişikliği çalınan çerezi geçersiz kılmayabilir. Bu nedenle oturum sonlandırma ayrıca yapılmalıdır. İki adım birlikte uygulanır. Kontrol listesinde yer almalıdır.

Kurumsal Etki Değerlendirmesi

Bir bilgi hırsızı bulaşması tespit edildiğinde, o cihazdan erişilen tüm hesaplar risk altında sayılmalıdır. Kurumsal hesaplar, bulut servisleri ve üçüncü taraf uygulamalar bu kapsamdadır. Kapsam listesi çıkarılarak parola yenileme ve oturum sonlandırma uygulanır. Bu işlem hızlı yapılmalıdır. Gecikme, kimliklerin satılmasına imkân verir.

Ayrıca cihazda kayıtlı olan diğer verilerin de değerlendirilmesi gerekir. Yerel belgeler, yapılandırma dosyaları ve anahtarlar sızmış olabilir. Bu değerlendirme, bildirim yükümlülüklerini de etkiler. İnceleme kapsamlı yapılmalıdır. Yüzeysel temizlik yetersizdir.

Privia Security olarak kimlik ve oturum katmanındaki riskleri siber risk analizi kapsamında değerlendiriyoruz.