Uzaktan erişim truva atı, saldırgana bulaştığı sistem üzerinde geniş denetim sağlayan zararlı yazılım türüdür. Dosya yükleme ve indirme, komut çalıştırma, ekran görüntüsü alma, kamera ve mikrofon erişimi gibi yetenekler sunar. Bu yetenekler, meşru uzaktan yönetim araçlarına benzer. Fark, kullanıcının bilgisi ve rızası olmadan çalışmasıdır. Bu nedenle tespit, kullanım bağlamına bakmayı gerektirir.

Bu yazılımlar hedefli saldırılarda sıkça kullanılır. Saldırgan, ortamda uzun süre kalarak keşif yapmak ve veri toplamak ister. Uzaktan erişim yeteneği bu amaca doğrudan hizmet eder. Ayrıca ek modüller indirilerek yetenekler genişletilebilir. Bu esneklik, aracı çok yönlü kılar.

Uzaktan Erişim Truva Atı Nedir?

Uzaktan erişim truva atı, saldırganın bulaştığı sistemi uzaktan yönetmesini sağlayan, dosya işlemleri ve komut çalıştırma dâhil geniş yetenekler sunan zararlı yazılımdır.

Bileşen, komuta altyapısına bağlanarak talimat bekler. Komuta kontrol sunucusu ile kurulan bu bağlantı, aracın çalışması için zorunludur. Bu bağımlılık, tespit için bir fırsat oluşturur. Çıkış trafiği izlemesi bu kanalı yakalayabilir. Kayıt toplama ön koşuldur.

Nasıl Bulaşır?

En yaygın bulaşma yolu, hedefli e-postalarla gönderilen eklerdir. Belge içindeki makro ya da sömürü kodu, bileşeni sisteme yerleştirir. İkinci yol, korsan yazılım ve sahte kurulum dosyalarıdır. Üçüncü yol ise zafiyet sömürüsüdür. Yollar, diğer zararlı yazılım aileleriyle büyük ölçüde ortaktır.

Bazı varyasyonlar meşru uzaktan erişim araçlarını kullanır. Bu durumda ayrı bir zararlı yazılım bulunmaz; yalnızca meşru bir araç kötü niyetle kurulmuştur. Bu yaklaşım tespiti belirgin biçimde zorlaştırır. Onaylı araç listesi bu riski yönetir. Liste dışı kurulumlar engellenmelidir.

• Hedefli e-posta ekleriyle yerleştirme
• Korsan yazılım ve sahte kurulum dosyaları
• Zafiyet sömürüsüyle doğrudan yerleştirme
• Meşru uzaktan erişim araçlarının kötü niyetle kurulması
• Sosyal mühendislikle kullanıcıya kurdurma

Nasıl Tespit Edilir?

Tespitin temel yolu, çıkış trafiğinin izlenmesidir. Düzenli aralıklarla bilinmeyen adreslere yapılan bağlantılar güçlü bir göstergedir. Ayrıca uzun süreli açık bağlantılar da dikkat çekicidir. Bu göstergeler ağ kayıtları üzerinde tanımlanabilir. Temel çizgi profili gereklidir.

Uç nokta tarafında ise beklenmedik süreçler ve kalıcılık mekanizmaları incelenir. Ekran yakalama ve girdi izleme yetenekleri kullanan süreçler işaretlenebilir. Bu tespitler için uygun kayıtların toplanması gerekir. Varsayılan yapılandırmalar yetersizdir. Kayıt planı yapılmalıdır.

Onaylı olmayan uzaktan erişim araçlarının envanteri de değerlidir. Kurumda hangi araçların meşru olduğu tanımlandığında, diğerleri kolayca tespit edilir. Bu envanter çoğu kurumda beklenmedik bulgular üretir. Standartlaştırma hem güvenlik hem yönetim kazancı sağlar. Politika ile desteklenmelidir.

Nasıl Korunulur?

İlk koruma, uygulama denetimidir. Yalnızca onaylı yazılımların çalışmasına izin verilmesi, bu araçların kurulmasını engeller. İkinci koruma, yerel yönetici hakkının kaldırılmasıdır. Üçüncü koruma, çıkış trafiğinin kısıtlanmasıdır. Üçü birlikte, bu tehdidin uygulanabilirliğini belirgin biçimde azaltır.

Ayrıca kullanıcı farkındalığı da önemlidir. Sosyal mühendislikle kurdurma senaryolarında kullanıcı son karar noktasıdır. Kurum dışından gelen hiçbir uzaktan erişim talebinin karşılanmaması kuralı öğretilmelidir. Bu kural basit ve hatırlanabilirdir. Teknik kontrolle birlikte uygulanmalıdır.

Yetenekler ve Modüller

Bu araçların temel yetenekleri arasında dosya yönetimi, komut çalıştırma, süreç yönetimi ve kayıt defteri düzenleme bulunur. Bunlara ek olarak ekran görüntüsü alma, tuş kaydı, kamera ve mikrofon erişimi gibi izleme yetenekleri eklenebilir. Modüler yapı sayesinde yetenekler ihtiyaç duyulduğunda indirilir. Bu tasarım, ilk bulaşmanın küçük kalmasını sağlar. Tespit riski böylece azalır.

Bazı araçlar ağ tünelleme yeteneği de sunar. Bu yetenek, saldırganın bulaşan sistemi bir sıçrama noktası olarak kullanmasını sağlar. Böylece iç ağdaki diğer sistemlere erişim açılır. Yanal hareket bu yetenekle kolaylaşır. Segmentasyon bu kullanımı sınırlar.

Kimlik bilgisi toplama modülleri de yaygındır. Bellekten kimlik materyali çıkarma ve tarayıcı verilerini okuma bu modüllerin işlevidir. Toplanan materyal, ortamda ilerlemek için kullanılır. Bu nedenle bulaşma tek bir sistemle sınırlı kalmaz. Kapsam belirleme geniş tutulmalıdır.

Meşru Araçlarla Karışma Sorunu

Kurumlarda meşru uzaktan yönetim araçları da kullanılır. Bu araçlarla zararlı olanların ayırt edilmesi, tespitin en zor kısmıdır. Ayrım, aracın kimin tarafından ve hangi bağlamda kurulduğuna bakılarak yapılır. Envanter ve onaylı liste bu ayrımı mümkün kılar. Liste olmadan ayrım yapılamaz.

Bazı saldırganlar doğrudan ticari araçları kullanır. Bu durumda zararlı bir dosya bulunmaz ve imza tabanlı tespit çalışmaz. Tespit, kurulum olayına ve kullanım bağlamına dayanır. Beklenmedik bir sunucuda kurulu bir uzaktan erişim aracı şüphelidir. Bu kural yazılabilir.

Bu nedenle kurumun kullandığı araçların standartlaştırılması önerilir. Az sayıda onaylı araç, hem yönetimi hem tespiti kolaylaştırır. Çeşitlilik saldırganın işine yarar. Standardizasyon politika ile desteklenmelidir. Uygulama denetimiyle zorlanır.

Casusluk Amaçlı Kullanım

Bu araçlar hedefli casusluk operasyonlarında da kullanılır. Gazeteciler, sivil toplum çalışanları ve kritik pozisyondaki yöneticiler bu tür operasyonların hedefi olabilir. Kamera ve mikrofon erişimi, bu senaryolarda özel bir mahremiyet riski oluşturur. Bu nedenle yüksek riskli kullanıcılar için ek koruma önerilir. İçeriden tehdit programları bu grubu da kapsamalıdır.

Yüksek riskli kullanıcılar için ayrı bir koruma profili tanımlanabilir. Daha katı uygulama denetimi, sıkılaştırılmış tarayıcı ayarları ve yoğun izleme bu profilin bileşenleridir. Ayrıca cihaz değişim sıklığı artırılabilir. Bu önlemler maliyetlidir ama hedef grubu dardır. Toplam maliyet yönetilebilir kalır.

Privia Security olarak uç nokta denetim politikalarını ve çıkış trafiği kontrollerini altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.