Tuş kaydedici, kullanıcının klavyeden girdiği verileri gizlice kaydeden yazılım ya da donanımdır. Kaydedilen veriler arasında parolalar, kart bilgileri ve yazışma içerikleri bulunur. Toplanan bilgiler saldırgana iletilerek hesap ele geçirme ve dolandırıcılık için kullanılır. Bileşen sessiz çalıştığı için kullanıcı genellikle farkına varmaz. Bu nedenle uzun süre veri toplayabilir.

Bileşen tek başına da kullanılabilir, daha büyük bir zararlı yazılımın modülü olarak da çalışabilir. Modern bilgi hırsızı yazılımların çoğu bu işlevi içerir. Ayrıca ekran görüntüsü alma ve pano içeriğini okuma gibi ek yetenekler de bulunur. Bu nedenle tuş kaydı, daha geniş bir izleme yeteneğinin parçasıdır. Savunma da bu bütünü hedeflemelidir.

Tuş Kaydedici Nedir?

Tuş kaydedici, klavyeden girilen tuş vuruşlarını kullanıcının bilgisi dışında kaydeden ve saldırgana ileten yazılım ya da donanım bileşenidir.

İki temel türü vardır: yazılım ve donanım tabanlı olanlar. Yazılım tabanlı olanlar işletim sistemi üzerinde çalışır ve klavye girdilerini yakalar. Donanım tabanlı olanlar ise klavye ile bilgisayar arasına fiziksel olarak takılır. İkinci tür, yazılım tabanlı güvenlik kontrolleri tarafından görülemez. Tespiti fiziksel kontrol gerektirir.

Nasıl Çalışır?

Yazılım tabanlı bileşenler, işletim sisteminin girdi mekanizmalarına bağlanarak çalışır. Klavye olaylarını yakalayan bir kanca kurulur ve tüm girdiler kaydedilir. Bazı varyasyonlar ise doğrudan sürücü seviyesinde çalışır. Sürücü seviyesindeki bileşenler daha zor tespit edilir ve daha yüksek yetki gerektirir. Yetki yükseltmenin engellenmesi bu türü de engeller.

Donanım tabanlı bileşenler klavye kablosuna takılır ya da klavyenin içine yerleştirilir. Verileri kendi belleklerinde saklar ve saldırgan bunları sonradan fiziksel olarak alır. Bazı gelişmiş varyasyonlar kablosuz aktarım da yapabilir. Bu tür bileşenler yalnızca fiziksel kontrolle bulunur. Kritik alanlarda düzenli kontrol önerilir.

Toplanan verilerin iletimi de bir tespit fırsatı sunar. Yazılım tabanlı bileşenler verileri düzenli aralıklarla dışarı gönderir. Bu iletişim, çıkış trafiği izlemesiyle yakalanabilir. Komuta kontrol tespit yöntemleri burada da geçerlidir. Ağ izleme değerli bir katmandır.

• İşletim sistemi girdi mekanizmalarına kanca kurulması
• Sürücü seviyesinde girdi yakalama
• Klavye kablosuna takılan fiziksel cihazlar
• Klavye içine yerleştirilen gizli bileşenler
• Ekran görüntüsü ve pano içeriği toplama modülleri

Nasıl Bulaşır?

Yazılım tabanlı bileşenler, diğer zararlı yazılımlarla aynı yolları kullanır. E-posta ekleri, zararlı indirmeler ve zafiyet sömürüsü başlıca yollardır. Ayrıca korsan yazılımlar ve sahte güncellemeler de yaygın kaynaklardır. Bu nedenle uygulama denetimi önemli bir kontroldür. Yalnızca onaylı yazılımların çalışmasına izin verilmelidir.

Donanım tabanlı bileşenler ise fiziksel erişim gerektirir. Ortak kullanım alanları, ziyaretçi erişimine açık ofisler ve denetimsiz toplantı odaları risk taşır. Fiziksel güvenlik kontrolleri bu riski azaltır. Ayrıca kritik cihazların düzenli fiziksel kontrolü önerilir. Bu kontrol çoğu kurumda hiç yapılmaz.

Nasıl Tespit Edilir?

Yazılım tabanlı bileşenler için davranış izleme en etkili yöntemdir. Girdi mekanizmalarına kanca kuran süreçler, uç nokta çözümleri tarafından tespit edilebilir. Bu tespit için ilgili kayıtların toplanması gerekir. Ayrıca beklenmeyen süreçler ve kalıcılık mekanizmaları incelenir. Temel çizgi karşılaştırması bu incelemeyi kolaylaştırır.

Donanım tabanlı bileşenler için fiziksel kontrol gerekir. Klavye kablolarının ve bağlantı noktalarının düzenli gözle kontrolü, bu cihazları ortaya çıkarır. Kritik iş istasyonlarında bu kontrol prosedüre bağlanmalıdır. Ayrıca kablosuz klavyelerin şifrelemesi de değerlendirilmelidir. Zayıf şifrelemeli cihazlar dinlenebilir.

Nasıl Korunulur?

İlk koruma, kimlik doğrulamanın parola dışına taşınmasıdır. Donanım anahtarı ya da biyometri kullanıldığında, kaydedilen tuş vuruşları saldırgana yeterli bilgi vermez. Bu yaklaşım, tuş kaydını büyük ölçüde işlevsiz kılar. Çok faktörlü kimlik doğrulama bu koruma için temel araçtır. Kritik hesaplarda öncelikli uygulanmalıdır.

İkinci koruma, parola yöneticisi kullanımıdır. Otomatik doldurma yapılan parolalar klavyeden girilmediği için kaydedilmez. Bu yöntem, kullanıcı deneyimini de iyileştirir. Parola kasası kullanımının yaygınlaştırılması önerilir. Kurumsal çözümler tercih edilmelidir.

Üçüncü koruma, uç nokta hijyenidir. Yerel yönetici hakkının kaldırılması, uygulama denetimi ve güncel koruma yazılımı bulaşma olasılığını düşürür. Bu kontroller birçok tehdide karşı ortak fayda sağlar. Öncelik sıralamasında üst sıralarda yer almalıdır. Uygulama kademeli yapılabilir.

Mobil Cihazlarda Tuş Kaydı

Mobil işletim sistemleri, uygulamaların birbirinin girdisini okumasını yapısal olarak engeller. Buna karşılık erişilebilirlik hizmetleri gibi özel izinler bu engeli aşabilir. Zararlı bir uygulama, erişilebilirlik izni alarak ekrandaki her şeyi okuyabilir ve girdileri kaydedebilir. Bu izin, kullanıcıdan açıkça istenir. Kullanıcının izni anlamadan onaylaması riski doğurur.

Bu nedenle mobil cihazlarda izin denetimi kritik önemdedir. Kurumsal cihazlarda erişilebilirlik izninin merkezî olarak kısıtlanması mümkündür. Ayrıca kaynak dışı uygulama kurulumunun engellenmesi gerekir. Mobil cihaz yönetimi bu kontrolleri sağlar. Kişisel cihazlarda ise farkındalık öne çıkar.

Sahte klavye uygulamaları da bir risk kaynağıdır. Varsayılan klavye olarak ayarlanan bir uygulama, tüm girdileri görebilir. Bu nedenle klavye uygulamalarının yalnızca güvenilir kaynaklardan kurulması gerekir. Kurumsal cihazlarda klavye seçimi kısıtlanabilir. Bu ayrıntı sık gözden kaçar.

Olay Sonrası Yapılacaklar

Tuş kaydedici tespit edildiğinde, o cihazdan girilmiş tüm kimlik bilgileri ele geçirilmiş sayılmalıdır. Parolalar temiz bir cihaz üzerinden değiştirilmelidir; aynı cihazda yapılan değişiklik yeni parolayı da açığa çıkarır. Bu sıralama kritik önemdedir. Kontrol listesinde açıkça belirtilmelidir. Kullanıcıya da anlatılmalıdır.

Ayrıca ilgili hesapların oturumları sonlandırılmalıdır. Parola değişikliği tek başına mevcut oturumları geçersiz kılmayabilir. Ele geçirilmiş oturum belirteçleri ayrıca iptal edilmelidir. Bu adım çoğu zaman atlanır. Merkezî oturum yönetimi bu işlemi kolaylaştırır.

Cihazın kendisi ise temiz kurulumla yeniden oluşturulmalıdır. Bileşenin tek başına kaldırılması, birlikte gelen diğer bileşenlerin kalmasına yol açabilir. Ayrıca bulaşma yolu araştırılmalıdır. Olay müdahale süreci bu adımları kapsar. Kök neden bulunmadan cihaz kullanıma alınmamalıdır.

Privia Security olarak uç nokta ve fiziksel güvenlik kontrollerinired team hizmeti senaryolarıyla birlikte sınıyor, tespit edilen boşlukları raporluyoruz.