DLL side-loading, Windows uygulamalarının ihtiyaç duydukları kütüphaneleri (DLL dosyalarını) belirli bir sırayla aramasından yararlanan bir tekniktir. Saldırgan, meşru ve imzalı bir programın yanına aynı isimde zararlı bir DLL yerleştirerek, program çalıştığında kendi kodunun güvenilir uygulamanın süreci içinde yüklenmesini sağlar.

DLL side-loading, saldırganın kendi kodunu çalıştırmak yerine, imzalı bir uygulamaya onu kendisi için çalıştırtmasıdır.

Arama Sırası Neden Sorun Yaratır?

Bir uygulama tam yolunu belirtmeden bir DLL istediğinde, Windows onu önceden tanımlı bir sırayla arar ve genellikle ilk baktığı yer uygulamanın kendi bulunduğu klasördür. Saldırgan bu klasöre yazma iznine sahipse ya da uygulamayı kendi hazırladığı bir dizinden çalıştırabiliyorsa, aranan isimle aynı adı taşıyan zararlı DLL’ini oraya bırakır. Uygulama, sistem klasöründeki gerçek kütüphane yerine bu sahte dosyayı yükler.

Tekniğin gücü, çalışan sürecin sahibinin meşru uygulama olmasından gelir. Zararlı kod, imzalı ve tanınan bir programın belleği içinde yaşadığından, birçok güvenlik ürünü bu süreci güvenilir kabul eder. Saldırgan böylece savunmadan kaçınma sağlar; kendi zararlı çalıştırılabilirini diske koymak yerine tanınan bir uygulamayı taşıyıcı olarak kullanır.

Saldırıda Nasıl Kullanılır?

Side-loading, genellikle iyi bilinen yazılım üreticilerine ait, geçerli imzalı yürütülebilir dosyalarla eşleştirilir. Saldırgan böyle bir dosyayı zararlı DLL’iyle birlikte paketleyip hedefe ulaştırır; kurban meşru programı açtığında zararlı kod arka planda yüklenir. Bu yapı, sistem her yeniden başladığında ya da uygulama her açıldığında zararlı kodun tekrar çalışmasını sağlayarak kalıcılık sağlama için de kullanılır.

Meşru dosyanın taşıdığı geçerli imza, savunmayı zorlaştıran unsurlardan biridir. Kod imzalama sertifikaları yalnızca imzalanan çalıştırılabilir dosyanın değiştirilmediğini garanti eder; yanına konan ve dinamik olarak yüklenen DLL’i kapsamaz. Bu yüzden imza doğrulaması geçen bir uygulama bile side-loading yoluyla zararlı kod çalıştırabilir.

Tespit ve Önleme

Etkili savunma, dosya imzasına değil davranışa bakan bir bakış gerektirir. Meşru bir uygulamanın alışılmadık bir klasörden çalışması, beklenmedik bir DLL yüklemesi ya da tanınan bir programın ağa çıkması gibi anomaliler side-loading’in işaretidir. Bu tür ince davranışları yakalamak için uç nokta güvenliği çözümlerinin süreç ağacını, yüklenen modülleri ve dosya konumlarını birlikte değerlendirmesi gerekir.

Uygulamaların yalnızca izin verilen dizinlerden çalıştırılması, kullanıcıların uygulama klasörlerine yazma yetkisinin kısıtlanması ve DLL yükleme yollarının sabitlenmesi bu saldırının zeminini daraltır. Privia Security’nin red team hizmeti kurum ortamında hangi meşru uygulamaların side-loading’e elverişli olduğunu test eder ve savunma ekiplerinin bu sessiz tekniği tespit kabiliyetini gerçek senaryolarla ölçer.