Reklam yazılımı, kullanıcıya istem dışı reklam gösteren ve çoğu zaman gezinme davranışını izleyen yazılım türüdür. Genellikle ücretsiz yazılımlarla birlikte kurulur ve kullanıcı bunu fark etmeden onaylar. Doğrudan veri çalmayı hedeflemediği için düşük öncelikli görülür. Ancak topladığı davranış verisi ve açtığı erişim yolu ciddi risk oluşturur. Bu nedenle kurumsal ortamda tolere edilmemelidir.

Sınır, meşru reklam gösterimi ile zararlı davranış arasında bulanıklaşabilir. Kullanıcının açık onayıyla çalışan ve kolayca kaldırılabilen bir bileşen ile gizlenen ve kaldırılmaya direnen bir bileşen farklı kategorilerdedir. İkinci grup, zararlı yazılım olarak değerlendirilir. Ayrım, davranışa göre yapılır. Onay ve kaldırılabilirlik iki temel ölçüttür.

Reklam Yazılımı Nedir?

Reklam yazılımı, kullanıcının açık talebi olmadan reklam gösteren, gezinme davranışını izleyen ve çoğu zaman başka yazılımlarla birlikte gizlice kurulan yazılım türüdür.

Bileşen genellikle tarayıcıya eklenti olarak ya da sisteme uygulama olarak yerleşir. Tarayıcı eklentisi biçimindeki varyasyonlar, ziyaret edilen sayfaların içeriğini değiştirebilir. Bu yetenek, reklam eklemenin ötesine geçebilir. Aynı yetenekle form verileri okunabilir. Bu nedenle risk yalnızca rahatsızlıkla sınırlı değildir.

Nasıl Bulaşır?

En yaygın bulaşma yolu, ücretsiz yazılımlarla birlikte gelen paket kurulumlardır. Kurulum sihirbazında varsayılan olarak işaretli gelen ek bileşenler, kullanıcı fark etmeden kurulur. Bu yönteme paketleme denir ve yasal sınırda kalmaya çalışır. Kurumsal ortamda uygulama denetimi bu yolu kapatır. Yalnızca onaylı yazılımların kurulmasına izin verilmelidir.

İkinci yol, sahte güncelleme uyarılarıdır. Bir web sitesinde gösterilen ve tarayıcı ya da oynatıcı güncellemesi gibi görünen uyarılar, kullanıcıyı bileşeni kurmaya yönlendirir. Bu uyarılar gerçek güncelleme arayüzlerine benzetilir. Kullanıcı farkındalığı bu yolu azaltır. Ayrıca merkezî güncelleme yönetimi ihtiyacı ortadan kaldırır.

Üçüncü yol, tarayıcı eklenti mağazalarıdır. Faydalı görünen bir eklenti, sonradan yapılan bir güncellemeyle reklam bileşeni hâline gelebilir. Eklentinin sahibi değiştiğinde bu durum sıkça görülür. Kullanıcı bu değişikliği fark etmez. Kurumsal ortamda eklenti beyaz listesi bu riski yönetir.

• Ücretsiz yazılımlarla birlikte gelen paket kurulumlar
• Sahte güncelleme ve eklenti kurulum uyarıları
• Tarayıcı eklentilerinin sahip değişikliği sonrası dönüşmesi
• Korsan yazılım ve yükleyici dosyaları
• Mobil uygulama mağazalarındaki düşük kaliteli uygulamalar

Neden Risklidir?

İlk risk, gizlilik ihlalidir. Bileşen, ziyaret edilen siteleri, arama sorgularını ve bazen form içeriklerini toplar. Bu veriler üçüncü taraflara satılabilir. Kurumsal cihazlarda toplanan veriler, iş süreçleri hakkında bilgi sızdırabilir. Bu nedenle kurumsal ortamda kabul edilemez.

İkinci risk, sayfa içeriğinin değiştirilmesidir. Reklam eklemek için sayfaya kod enjekte eden bir bileşen, aynı yetenekle başka değişiklikler de yapabilir. Bu, tarayıcıdaki adam saldırısının teknik altyapısıdır. İki kategori arasındaki sınır incedir. Bu nedenle temizlik önceliklendirilmelidir.

Üçüncü risk, ek bileşen indirme yeteneğidir. Birçok reklam bileşeni, güncelleme mekanizması üzerinden yeni modüller indirebilir. Bu mekanizma, sonradan zararlı bir yükün dağıtılmasını mümkün kılar. Dolayısıyla mevcut bileşen bir giriş noktasıdır. Varlığı tek başına bir bulgudur.

Kurumsal Ortamdaki Etkisi

Kurumsal cihazlarda reklam yazılımı varlığı, uygulama denetiminin eksik olduğunu gösterir. Kullanıcıların istedikleri yazılımı kurabildiği bir ortamda çok daha ciddi bileşenler de kurulabilir. Bu nedenle bulgu, tekil bir temizlik işi değil süreç eksikliğinin göstergesi olarak ele alınmalıdır. Kök neden analizi yapılmalıdır. Yalnızca temizlik yetersizdir.

Performans etkisi de göz ardı edilmemelidir. Sürekli reklam yükleyen bir bileşen, bant genişliği ve işlem gücü tüketir. Kullanıcı şikâyetleri ve destek talepleri artar. Bu maliyet çoğu zaman hesaplanmaz. Toplu değerlendirmede anlamlı bir tutar oluşturur.

Ayrıca bileşenin ürettiği ağ trafiği, güvenlik izlemesinde gürültü yaratır. Çok sayıda reklam alan adına yapılan istekler, gerçek tehdit göstergelerinin görünürlüğünü azaltır. Temizlik, izleme kalitesini de artırır. Bu dolaylı fayda genellikle fark edilmez. Ölçüm yapıldığında ortaya çıkar.

Nasıl Temizlenir?

Temizlik, kurulu uygulamaların ve tarayıcı eklentilerinin listelenmesiyle başlar. Onaylı olmayan tüm bileşenler kaldırılır. Bazı bileşenler kaldırmaya direnir ve kalıcılık mekanizmaları bırakır. Bu durumda zamanlanmış görevler ve açılış öğeleri de incelenmelidir. Temel çizgi karşılaştırması bu incelemeyi kolaylaştırır.

Tarayıcı ayarlarının da kontrol edilmesi gerekir. Değiştirilmiş arama motoru, ana sayfa ve proxy ayarları bileşen kaldırıldıktan sonra da kalabilir. Tarayıcı profilinin sıfırlanması bu ayarları temizler. Kurumsal politikalarla bu ayarlar kilitlenebilir. Kilitleme, tekrarı önler.

Önleme tarafında ise uygulama denetimi ve eklenti beyaz listesi temel kontrollerdir. Kullanıcıların yerel yönetici hakkına sahip olmaması da kurulum yeteneğini sınırlar. Uygulama beyaz listesi bu amaçla kullanılır. Uygulama kademeli yapılabilir. Başlangıç için eklenti kısıtlaması yeterlidir.

Tarayıcı Ele Geçirme Davranışı

Reklam bileşenlerinin bir bölümü, tarayıcı ayarlarını da değiştirir. Arama motoru, açılış sayfası ve yeni sekme davranışı saldırganın belirlediği adreslere yönlendirilir. Bu değişiklikler kullanıcı tarafından geri alınsa bile bileşen tarafından yeniden uygulanır. Kalıcılık mekanizması bu tekrarı sağlar. Temizlik, mekanizmanın bulunmasını gerektirir.

Bazı varyasyonlar proxy ayarlarını da değiştirir. Bu durumda tüm web trafiği saldırganın belirlediği bir sunucu üzerinden geçer. Sonuç, ortadaki adam konumuyla aynıdır. Bu değişiklik ciddi bir güvenlik olayıdır. Reklam kategorisinde değerlendirilmemelidir.

Sertifika deposuna eklenen kök sertifikalar da görülebilir. Bu ekleme, şifreli trafiğin açılmasını mümkün kılar. Sertifika deposundaki beklenmedik kayıtların izlenmesi bu nedenle önemlidir. Kurumsal ortamda bu izleme otomatikleştirilebilir. Bulgular yüksek öncelikli ele alınmalıdır.

Mobil Ortamdaki Karşılığı

Mobil uygulamalarda reklam bileşenleri yaygın bir gelir modelidir ve çoğu meşrudur. Sorun, aşırı izin isteyen ve arka planda çalışan agresif bileşenlerde ortaya çıkar. Bu bileşenler konum, rehber ve kullanım verisi toplayabilir. Kurumsal cihazlarda bu veri toplama kabul edilemez. Uygulama listesi denetlenmelidir.

Ayrıca ekranın üzerine yerleşen ve tıklamaları yakalayan bileşenler de bulunur. Bu davranış, kullanıcı arayüzü sahteciliğine yakındır. İzin denetimi bu bileşenleri sınırlar. Kurumsal cihaz yönetimi bu kısıtlamayı uygulayabilir. Politika yazılı olmalıdır.

Uygulama kaynağının kısıtlanması da temel bir kontroldür. Yalnızca resmî mağazalardan kurulum yapılmasına izin verilmesi, en agresif bileşenlerin çoğunu eler. Bu kontrol kurumsal cihazlarda zorunlu tutulabilir. Kişisel cihazlarda ise farkındalık öne çıkar. İki yaklaşım birlikte kullanılır.

Kurumsal envanterde mobil uygulamaların da yer alması önerilir. Hangi cihazda hangi uygulamanın kurulu olduğu bilinmeden risk değerlendirilemez. Bu envanter, mobil cihaz yönetimi çözümleriyle otomatik toplanabilir. Düzenli gözden geçirme yapılmalıdır. Onaysız uygulamalar kaldırılır.

Privia Security olarak uç nokta yazılım denetimi ve tarayıcı politikalarını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.