ETW devre dışı bırakma, Windows’un çekirdek düzeyindeki olay izleme altyapısı olan Event Tracing for Windows’u (ETW) saldırganın kendi süreci içinde manipüle ederek, güvenlik ürünlerine akan telemetriyi kesme ya da bozma tekniğidir. Amaç, izlerin kaydını üreten kaynağı susturmak ve böylece takip edilmeden hareket etmektir.

Alarm zilini çalmak yerine, saldırgan zilin kablosunu içeriden keser.

ETW Ne İşe Yarar?

ETW, işletim sisteminin ve uygulamaların olaylarını verimli biçimde toplayan yerleşik bir izleme mekanizmasıdır. Modern güvenlik ürünleri, özellikle betik ve bellek içi saldırıları görmek için .NET çalışma zamanı ve PowerShell gibi kaynakların ürettiği ETW akışlarına büyük ölçüde dayanır. Bu akış kesildiğinde, savunma ürününün gözü kapanır; olay hiç gerçekleşmemiş gibi görünür. ETW’nin değeri budur ve saldırgan tam da bu değeri hedef alır.

Nasıl Devre Dışı Bırakılır?

En yaygın yöntemler, saldırganın kendi süreci içinde olay üreten fonksiyonu bellek içinde yamalamak (örneğin çıkışa yönlendirmek), ilgili sağlayıcının bayraklarını değiştirmek ya da izleme oturumunun anahtar verilerini bozmaktır. Bu müdahaleler çoğu zaman tüm sistemi değil yalnızca saldırganın çalıştığı süreci etkiler; böylece ortalık genelinde bir alarm çıkmadan, o sürecin ürettiği kanıtlar sessizce yok olur. Yamanın bellekte kalması, diske iz bırakmayı da azaltır.

Saldırı Zincirindeki Yeri

Bu bir Savunmadan kaçınma tekniğidir ve genelde tek başına değil, bir hazırlık adımı olarak kullanılır. Saldırgan görünürlüğü kestikten sonra asıl amacına -örneğin kimlik bilgisi toplama ya da bir Yetki yükseltme denemesine- geçer. ETW akışını yamalamak çoğu zaman zaten belirli bir yetki gerektirdiğinden, bu adım saldırının erken değil orta aşamalarında görülür; yani saldırgan sisteme bir tutunma sağladıktan sonra izini karartmaya çalışır.

Tespit ve Karşı Önlem

İronik biçimde, ETW’yi köreltme girişiminin kendisi bir sinyaldir. İzleme fonksiyonlarının beklenmedik bellek değişikliklerine uğraması, bilinen sağlayıcıların aniden susması ya da bir sürecin telemetri üretmeyi kesmesi, davranış temelli bir Uç nokta güvenliği çözümü tarafından anomali olarak işaretlenebilir. ETW’ye tek kaynak olarak güvenmemek, çekirdek düzeyinde bağımsız bir görünürlük katmanı eklemek ve telemetri boşluklarını alarma bağlamak savunmayı sağlamlaştırır. Kurumların bu tür kör nokta oluşturma denemelerinin kendi ortamlarında ne kadar başarılı olduğunu ölçmesi için gerçekçi bir red team hizmeti, tespit yeteneğini gerçek koşullarda sınar.