Makro virüsü, ofis belgelerinin içine gömülen ve belge açıldığında çalışan zararlı koddur. Makrolar aslında meşru bir özelliktir; tekrarlayan işlemleri otomatikleştirmek için tasarlanmıştır. Ancak bu otomasyon yeteneği, dosya indirme ve komut çalıştırma gibi işlemleri de kapsar. Bu nedenle uzun yıllar boyunca en yaygın bulaşma yollarından biri olmuştur. Bugün de tamamen ortadan kalkmamıştır.

Yöntemin yaygınlığının nedeni, ofis belgelerinin günlük iş akışının doğal parçası olmasıdır. Bir fatura, sözleşme ya da rapor dosyasının açılması şüphe uyandırmaz. Kullanıcı belgeyi açar ve makro çalıştırma uyarısını da çoğu zaman onaylar. Bu davranış, saldırının başarı oranını yükseltir. Savunma bu noktada devreye girer.

Makro Virüsü Nedir?

Makro virüsü, ofis belgelerine gömülen ve belge açıldığında ya da kullanıcı onayıyla çalışarak zararlı işlemler yürüten koddur.

Makro kodu genellikle asıl zararlı yükü taşımaz; onu indirir ve çalıştırır. Bu nedenle makro, çok aşamalı bir zincirin ilk halkasıdır. Yükleyici ve damlalık mantığı burada da geçerlidir. Belge küçük ve zararsız görünür. Asıl yük sonradan gelir.

Nasıl Çalışır?

Kullanıcı belgeyi açtığında, ofis uygulaması makroları varsayılan olarak devre dışı bırakır ve bir uyarı gösterir. Saldırgan bu noktada kullanıcıyı ikna etmeye çalışır. Belge içeriği bulanıklaştırılarak içeriği görmek için makroların etkinleştirilmesi gerektiği söylenir. Bu aldatma yaygın ve etkilidir. Kullanıcı onay verdiğinde kod çalışır.

Çalışan kod genellikle bir betik motorunu başlatır ve uzak bir adresten yük indirir. Bu davranış, ofis uygulamasının alt süreç başlatması olarak kayıtlara düşer. Bu olay güçlü bir tespit göstergesidir. Kural olarak tanımlanması önerilir. Yanlış pozitif oranı düşüktür.

Bazı varyasyonlar makro yerine başka gömülü nesneler kullanır. Belge içine yerleştirilen bağlantılar ve nesneler de benzer sonuç üretebilir. Bu nedenle savunma yalnızca makrolara odaklanmamalıdır. Belge işleme davranışının tamamı izlenmelidir. Kapsam geniş tutulur.

• Belge açıldığında otomatik çalışan makro yordamları
• Kullanıcıyı makro etkinleştirmeye ikna eden sahte içerik
• Betik motoru başlatarak uzak yük indirme
• Belge içine gömülü nesneler ve bağlantılar
• Şablon dosyaları üzerinden kalıcılık

Nasıl Korunulur?

En etkili önlem, internetten indirilen belgelerde makro çalıştırmanın merkezî olarak engellenmesidir. Modern ofis sürümlerinde bu davranış varsayılan hâle gelmiştir. Kurumsal politikayla zorunlu kılınması önerilir. Kullanıcının bu ayarı değiştirememesi gerekir. Politika merkezî yönetilmelidir.

İç kaynaklı belgelerde makro ihtiyacı varsa, yalnızca imzalı makroların çalışmasına izin verilebilir. Bu yaklaşım, meşru otomasyonu korurken bilinmeyen kodları engeller. İmzalama altyapısı gerektirir. Kurulum bir kereye mahsustur. Sonrasında yönetimi kolaydır.

Ayrıca korumalı görünüm özelliğinin etkin tutulması gerekir. Bu özellik, dış kaynaklı belgeleri kısıtlı bir modda açar. Kullanıcı düzenlemeyi etkinleştirmedikçe kod çalışmaz. Bu ek adım, düşünme fırsatı yaratır. Ayarın kapatılmaması sağlanmalıdır.

Tespit ve İzleme

Tespitin en güvenilir göstergesi, ofis uygulamasının beklenmedik bir alt süreç başlatmasıdır. Bir belge işleme uygulamasının betik motoru ya da komut satırı başlatması olağan değildir. Bu olay yüksek öncelikli uyarı olarak tanımlanmalıdır. Süreç oluşturma kayıtları gereklidir. Yapılandırma kontrol edilmelidir.

İkinci gösterge, ofis uygulamasının ağ bağlantısı kurmasıdır. Belge açıldıktan sonra dış bir adrese yapılan istek incelenmelidir. Bu davranış bazı meşru senaryolarda da görülür. Bağlam değerlendirmesi gerekir. Hedef adres analizi yardımcı olur.

Üçüncü gösterge, geçici dizinlere yazılan çalıştırılabilir dosyalardır. Bu dosyaların oluşturulması ve çalıştırılması izlenmelidir. Uç nokta güvenliği çözümleri bu izlemeyi sağlar. Kayıt kalitesi belirleyicidir. Yapılandırma önceliklidir.

Makro Dışındaki Belge Riskleri

Ofis belgeleri yalnızca makro yoluyla risk oluşturmaz. Gömülü nesneler, dış veri bağlantıları ve alan kodları da zararlı amaçla kullanılabilir. Bazı teknikler hiç makro içermeden uzak bir kaynaktan içerik yükler. Bu yükleme, kullanıcı kimlik bilgilerinin sızmasına yol açabilir. Bu nedenle savunma yalnızca makrolara odaklanmamalıdır.

Dış içerik yükleme davranışının engellenmesi önerilir. Belgelerin otomatik olarak dış kaynaklara bağlanmaması, birçok tekniği etkisiz kılar. Bu ayar merkezî politikayla uygulanabilir. Meşru kullanım senaryoları için istisna tanımlanır. İstisnalar dar tutulur.

Ayrıca belge dosya biçimlerinin kısıtlanması da bir seçenektir. Makro içeremeyen biçimlerin tercih edilmesi, riski yapısal olarak azaltır. Bu tercih iş akışını etkileyebilir. Değerlendirme iş birimleriyle birlikte yapılır. Kademeli geçiş mümkündür.

Kullanıcı Tarafındaki Savunma

Makro etkinleştirme uyarısının anlamının çalışanlara anlatılması gerekir. Bu uyarı, kullanıcının son karar noktasıdır. Beklenmeyen bir belgede makro etkinleştirme talebinin her zaman şüpheli olduğu öğretilmelidir. Bu kural basit ve hatırlanabilirdir. Somut örneklerle desteklenmelidir.

Bildirim kanalının kolay erişilebilir olması da önemlidir. Şüphelenen kullanıcının belgeyi güvenlik ekibine iletebilmesi gerekir. Gelen bildirimlere geri dönüş yapılması katılımı artırır. İnceleme akışı önceden tanımlanmalıdır. Süreç hızlı işlemelidir.

Simülasyon çalışmalarında bu senaryonun yer alması da faydalıdır. Belge eki içeren senaryolar, kullanıcı davranışını gerçekçi biçimde ölçer. Sonuçlar birim bazında raporlanır. Farkındalık eğitimi programları bu sonuçlara göre şekillendirilir. Ölçüm olmadan iyileştirme yapılamaz.

Kurumsal Politika Kontrol Listesi

İlk madde, internetten gelen belgelerde makro çalıştırmanın engellenmesidir. İkinci madde, korumalı görünüm özelliğinin etkin ve değiştirilemez olmasıdır. Üçüncü madde, yalnızca imzalı makrolara izin verilmesidir. Dördüncü madde, dış içerik yüklemenin varsayılan olarak engellenmesidir. Beşinci madde, ofis uygulamalarının alt süreç başlatmasının izlenmesidir.

Bu maddelerin merkezî politikayla uygulanması ve kullanıcı tarafından değiştirilememesi gerekir. Tek tek makinelerde yapılan ayarlar zamanla bozulur. Politika uyumu düzenli raporlanmalıdır. Sapmalar düzeltilir. Denetim otomatikleştirilebilir.

Ayrıca ofis uygulamalarının güncel tutulması da gereklidir. Yeni sürümler daha katı varsayılanlar ve ek korumalar getirir. Eski sürümlerde bu korumalar bulunmaz. Güncelleme planı bu nedenle önceliklidir. Envanter sürüm bilgisini içermelidir.

Privia Security olarak belge tabanlı bulaşma senaryolarına karşı politika ve tespit yapılandırmalarını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.