BlueKeep, Windows’un Uzak Masaüstü Protokolü’nde (RDP) 2019’da açıklanan ve CVE-2019-0708 koduyla anılan kritik bir uzaktan kod çalıştırma zafiyetidir. Zafiyet, RDP hizmetinin oturum kanallarını yöneten kısmındaki bir bellek yönetim hatasından kaynaklanır ve saldırganın herhangi bir kimlik doğrulaması yapmadan hedef sisteme özenle hazırlanmış paketler göndererek kod çalıştırmasına imkân verir.

BlueKeep, RDP hizmetinin sanal kanal yönetimindeki bir kullanım-sonrası-serbest bırakma hatasını sömürerek kimlik doğrulaması olmadan uzaktan SYSTEM yetkisiyle kod çalıştırılmasına imkân veren zafiyettir.

Neden Bu Kadar Ciddiye Alındı?

BlueKeep’i sıradan bir RDP hatasından ayıran özellik, kimlik doğrulaması gerektirmemesi ve etkileşimsiz biçimde tetiklenebilmesiydi. Bu iki nitelik, zafiyetin makineden makineye kendiliğinden yayılabilecek bir Solucan hâline getirilebileceği anlamına geliyordu. Microsoft, tehdidi 2017’deki WannaCry salgınına yol açan EternalBlue ile aynı sınıfa koyacak kadar ciddi buldu ve olağandışı bir biçimde, destek süresi çoktan bitmiş Windows XP ve Server 2003 için bile acil yama yayımladı.

İnternete doğrudan açık yüz binlerce RDP uç noktasının bulunması riski büyüttü. Bir kurumun dış yüzeyinde açıkta duran tek bir savunmasız RDP portu, tüm iç ağa açılan bir kapı olabilirdi. Bu tablo, dışarıya bakan servisleri sürekli haritalayan düzenli bir Zafiyet tarama pratiğinin neden vazgeçilmez olduğunu somut biçimde gösterdi.

Sömürü Nasıl İşler?

Sömürü, RDP el sıkışması sırasında açılan bir sanal kanalla ilgilidir. Saldırgan, bu kanalı beklenmedik bir isimle bağlayarak hizmetin belleği yanlış yönetmesine yol açar; sonuçta serbest bırakılmış bir bellek bölgesi tekrar kullanılır. Bu durum kontrollü biçimde şekillendirildiğinde, saldırganın seçtiği kod hizmetin ayrıcalığıyla, yani genellikle SYSTEM bağlamında çalışır. Kamuya açık istismar kodları başlangıçta çoğu zaman sistemi çökertse de, zamanla kararlı kod çalıştıran sürümleri geliştirildi.

Korunma

En kesin çözüm, Microsoft’un ilgili güncellemesini uygulamaktır; bu da gecikmesiz işleyen bir Yama yönetimi sürecine bağlıdır. Yama uygulanamadığı durumlarda, RDP’de Ağ Düzeyinde Kimlik Doğrulama’nın (NLA) etkinleştirilmesi, sömürü için önce geçerli bir kimlik gerektirdiğinden riski belirgin biçimde azaltır. RDP’nin internete doğrudan açılmaması, VPN arkasına alınması ve gereksiz yerlerde tamamen kapatılması ilk savunma hattıdır. BlueKeep, açıklandığı an savunması olmayan bir Sıfırıncı gün saldırısı olmasa da, açıkta kalan sistemler için uzun süre gerçek bir tehdit oldu.

İnternete açık bir RDP servisinin sömürüldüğünden şüphelenildiğinde, saldırganın sisteme ne bıraktığını ve iç ağda ne kadar ilerlediğini belirlemek uzman bir bakış ister. Privia Security’nin olay inceleme ve olay müdahalesi ekibi, etkilenen makineleri adli olarak inceleyerek olayın kapsamını netleştirir.