Dosyasız saldırı, zararlı kodun disk üzerinde bir dosya oluşturmadan doğrudan bellekte çalıştırılmasıdır. Klasik uç nokta korumaları dosyaları tarayarak çalıştığı için, hiç dosya oluşmadığında bu kontroller devreye giremez. Kod genellikle bir betik motoru ya da meşru bir süreç içinde çalıştırılır. Sistem yeniden başlatıldığında kod kaybolur; bu nedenle kalıcılık ayrı bir yöntemle sağlanır. Kalıcılık mekanizması çoğu zaman kayıt defteri ya da zamanlanmış görev içinde saklanır.

Yaklaşım, uç nokta korumalarının gelişmesine bir yanıt olarak yaygınlaşmıştır. Dosya tabanlı tespitin güçlenmesi, saldırganları dosya bırakmamaya yöneltmiştir. Bu değişim, savunmanın da bellek ve davranış izlemeye kaymasını gerektirmiştir. Bugün etkili bir uç nokta çözümünün temel yeteneği budur. Yalnızca dosya taraması yapan çözümler yetersiz kalır.

Dosyasız Saldırı Nedir?

Dosyasız saldırı, zararlı kodun kalıcı bir dosya oluşturmadan bellekte ya da mevcut meşru süreçler içinde çalıştırılmasıyla yürütülen saldırı yöntemidir.

Tam anlamıyla dosyasız bir saldırı nadirdir; genellikle bir başlangıç dosyası ya da betik bulunur. Ancak asıl zararlı yük diske hiç yazılmaz. Bu nedenle kavram, tamamen dosyasız olmaktan çok disk izini en aza indirmeyi ifade eder. İnceleme sırasında bu ayrım önemlidir. Küçük bir başlangıç izi bulunabilir.

Nasıl Çalışır?

Tipik bir akış, kullanıcının bir belge açması ya da bir bağlantıya tıklamasıyla başlar. Tetiklenen bileşen bir betik motorunu çalıştırır ve bu motor uzak bir kaynaktan kod indirerek doğrudan belleğe yükler. İndirilen kod diske yazılmadığı için dosya taraması devreye girmez. Kod, meşru bir sürecin içine enjekte edilerek çalıştırılabilir. Böylece süreç listesinde de olağandışı bir şey görünmez.

Kalıcılık için genellikle kayıt defterine kodlanmış bir yük saklanır. Açılışta çalışan bir tetikleyici bu yükü okuyup yeniden belleğe yükler. Bu yöntemde de diskte çalıştırılabilir dosya bulunmaz. İnceleme, kayıt defteri içeriğinin analizini gerektirir. Standart dosya taramaları bu yükü bulamaz.

• Betik motoru üzerinden uzak kaynaktan kod yükleme
• Meşru süreçlere kod enjeksiyonu
• Kayıt defterinde kodlanmış yük saklama
• Yönetim altyapısı bileşenlerinin kötüye kullanımı
• Bellekte çalışan uzaktan erişim bileşenleri

Nasıl Tespit Edilir?

Tespit, dosya değil davranış üzerinden yapılır. Bir ofis uygulamasının betik motoru başlatması, bir sürecin başka bir sürece kod yazması ya da olağandışı bir ağ bağlantısı kurulması güçlü işaretlerdir. Bu davranışların yakalanması için uygun kayıtların toplanması gerekir. Süreç oluşturma ve bellek erişimi kayıtları temel girdilerdir. Kayıt yapılandırması tespitin ön koşuludur.

Bellek analizi de önemli bir yöntemdir. Şüpheli bir sistemde bellek görüntüsü alınarak çalışan kodun incelenmesi mümkündür. Bu inceleme, diskte hiçbir iz bulunmayan durumlarda tek kanıt kaynağı olabilir. Görüntünün sistem kapatılmadan alınması gerekir. Kapatma, tüm kanıtı yok eder.

Nasıl Korunulur?

İlk önlem, betik motorlarının kısıtlanması ve kaydının açılmasıdır. Kısıtlı çalışma modları, imzasız betiklerin çalışmasını engeller. İkinci önlem, ofis uygulamalarında makro ve içerik çalıştırmanın merkezî politikayla kısıtlanmasıdır. Üçüncü önlem, uç nokta güvenliği çözümünün bellek ve davranış izleme yeteneklerinin etkin olmasıdır. Bu üç önlem birlikte, saldırının yaygın biçimlerini büyük ölçüde engeller.

Adli İncelemede Zorluklar

Dosyasız saldırılarda geleneksel disk incelemesi sınırlı sonuç verir. Zararlı kod diske yazılmadığı için dosya sistemi analizinde bulunamaz. Bu durumda inceleme, bellek görüntüsü ve olay kayıtları üzerinden yürütülür. Sistem kapatıldığında bellek içeriği kaybolacağı için müdahale sırası kritik önem taşır. Kapatma kararı, kanıt toplama tamamlanmadan verilmemelidir.

Kayıt defteri ve yapılandırma alanları da incelenmelidir. Kalıcılık için saklanan kodlanmış yükler bu alanlarda bulunabilir. Bu yükler genellikle uzun ve olağandışı değerler olarak görünür. Otomatik araçlar bu tür anormallikleri işaretleyebilir. Elle inceleme ise zaman alıcıdır.

Ağ kayıtları da tamamlayıcı bir kaynaktır. Kodun indirildiği adres ve kurulan iletişim kanalı, ağ kayıtlarında iz bırakır. Bu izler, diskte hiçbir kanıt bulunmadığında bile olayı doğrulayabilir. Ağ adli analizi bu incelemeyi yürütür. Kayıt saklama süresi belirleyici olur.

Bellek Analizi

Bellek analizi, çalışan süreçlerin, yüklenmiş modüllerin ve ağ bağlantılarının incelenmesini sağlar. Enjekte edilmiş kod bölgeleri, olağandışı bellek izinleriyle tespit edilebilir. Ayrıca süreçler arası ilişkiler bellek görüntüsünden çıkarılabilir. Bu analiz, dosyasız saldırılarda en değerli kanıt kaynağıdır. Uygulanması için özel araç ve uzmanlık gerekir.

Bellek görüntüsünün doğru biçimde alınması da önemlidir. Görüntü alma işlemi sistemi etkilediği için, standart bir yöntem ve araç belirlenmelidir. Alınan görüntünün bütünlüğü özet değeriyle kayıt altına alınır. Bu adım, kanıtın hukuki değerini korur. Süreç önceden yazılı olmalıdır.

Bazı ortamlarda uç nokta çözümleri bellek anlık görüntülerini otomatik olarak toplar. Bu yetenek, olay anında hızlı inceleme imkânı sağlar. Yetenek yoksa manuel toplama planı hazır tutulmalıdır. Plansız durumlarda kanıt kaybı yaşanır. Hazırlık, müdahale kalitesini doğrudan belirler.

Önleme Odaklı Yaklaşım

Tespit zor olduğu için önleme daha da değerli hâle gelir. Betik motorlarının kısıtlanması, makro çalıştırmanın engellenmesi ve uygulama denetimi bu saldırıların çoğunu baştan engeller. Bu kontroller, kullanıcı hatası olsa bile kodun çalışmasını önler. Uygulama kademeli yapılmalıdır. Ani kısıtlamalar operasyonu aksatır.

Ayrıca kullanıcıların yerel yönetici hakkına sahip olmaması, enjeksiyon tekniklerinin çoğunu etkisiz kılar. En az yetki ilkesi burada da temel kontroldür. Bu kontrol uygulanmadan yapılan tespit yatırımları sınırlı getiri sağlar. Öncelik sıralaması buna göre yapılmalıdır. Önleme her zaman daha ucuzdur.

Privia Security olarak uç nokta görünürlüğünü ve davranış tespit kabiliyetiniSOC olgunlaştırma kapsamında değerlendiriyor, kayıt eksiklerini önceliklendirilmiş biçimde raporluyoruz.