COM hijacking, Windows’un Bileşen Nesne Modeli (Component Object Model) altyapısındaki kayıt yapısını manipüle ederek kötü amaçlı kodu meşru bir bileşenin yerine çalıştıran bir tekniktir. Windows’ta uygulamalar birbirinin işlevlerini COM nesneleri üzerinden çağırır; bir bileşen istendiğinde işletim sistemi onun kod dosyasını nerede bulacağını kayıt defterinden okur. Saldırgan bu arama yolunu kendi lehine değiştirdiğinde, sistem farkında olmadan onun kodunu yükler.

COM hijacking, işletim sisteminin meşru bir bileşeni ararken izlediği yola sızarak, güvenilen çağrının içine saldırganın kodunu yerleştirir.

Nasıl Çalışır?

Her COM nesnesi, CLSID adı verilen benzersiz bir tanımlayıcıyla kayıt defterinde tutulur ve bu kaydın altında bileşenin dosya yolu belirtilir. Tekniğin özü, Windows’un bu tanımlayıcıyı ararken önce kullanıcıya özel kovanı (HKEY_CURRENT_USER), sonra makine genelindeki kovanı (HKEY_LOCAL_MACHINE) yoklamasıdır. Saldırgan, yönetici yetkisi gerektirmeyen kullanıcı kovanına, var olan meşru bir bileşenin CLSID’sini kopyalayıp onu kendi kötü amaçlı dosyasına yönlendiren bir kayıt ekler. Bileşen bir sonraki çağrıldığında sistem önce bu sahte girdiyi bulur ve saldırganın kodunu çalıştırır.

Sık kullanılan bir başka varyant, kayıt defterinde tanımlı ama diskte karşılığı olmayan bileşenleri hedef alır. Bazı yazılımlar kaldırıldığında ya da hiç yüklenmediğinde, kayıtları geride kalabilir; bu boşta duran girdiler saldırgan için ideal bir yuvadır, çünkü meşru bir dosyanın üzerine yazmadan yalnızca boş yolu kendi dosyasıyla doldurmak yeterlidir. Bu, hem daha az iz bırakır hem de mevcut işlevi bozmadığı için tespiti güçleştirir.

Kalıcılık ve Gizlenme Değeri

Bu tekniğin saldırgan için asıl değeri, kod çalıştırmayı meşru bir mekanizmaya bağlamasıdır. Ele geçirilen bileşen, sık kullanılan bir sistem sürecinin veya açılışta çalışan bir uygulamanın ihtiyaç duyduğu bir nesneyse, saldırganın kodu her yeniden başlatmada ve her ilgili çağrıda otomatik olarak yüklenir. Böylece Kalıcılık sağlama hedefi, ayrı bir başlangıç girdisi ya da zamanlanmış görev bırakmadan, sistemin kendi normal davranışının içine gizlenerek elde edilir.

Kod, güvenilen bir süreç tarafından yüklendiği için bu yaklaşım aynı zamanda güçlü bir Savunmadan kaçınma sağlar. Kötü amaçlı işlem, bilinen bir sistem programının kimliği altında çalışır; süreç ağacına bakan bir analist onu meşru etkinlikten ayırmakta zorlanır. Ayrıca kullanıcı kovanındaki değişiklik yönetici yetkisi gerektirmediğinden, saldırgan düşük ayrıcalıkla başladığı bir tutunma noktasında dahi bu tekniği uygulayabilir.

Tespit ve Savunma

Savunma tarafında en etkili yöntem, kullanıcı kovanındaki CLSID kayıtlarının izlenmesidir; çünkü meşru yazılım bileşenlerini genellikle makine genelindeki kovana yazar, kullanıcıya özel kovandaki bir CLSID geçersiz kılması ise doğası gereği şüphelidir. Kayıt defteri değişikliklerini ve süreçlerin yüklediği dosyaları izleyen bir Uç nokta güvenliği çözümü, meşru sürecin beklenmedik bir konumdan dosya yüklemesini yakalayabilir. Bu teknik, düşük yetkiyle elde edilen bir erişimi kalıcılığa ve zaman içinde daha geniş yetkiye taşıyan Yetki yükseltme senaryolarının bir parçası olarak da kullanılır.

Bu tür gizli kalıcılık tekniklerinin bir kurumun ortamında gerçekten tespit edilip edilemeyeceğini masabaşı değerlendirmeyle anlamak zordur. Tekniğin canlı bir ortamda uygulanıp savunma ekiplerinin tepkisinin ölçülmesi, kontrollü bir red team hizmeti kapsamında yapıldığında, izleme ve tespit yeteneklerindeki gerçek boşluklar somut biçimde ortaya çıkar.