Zamanlanmış görev ile kalıcılık, işletim sisteminin görev zamanlayıcısını kötüye kullanarak zararlı bir kodu belirli aralıklarla ya da bir tetikleyici oluştuğunda otomatik çalıştırma yöntemidir. Görev zamanlayıcı, yedekleme ve güncelleme gibi meşru işleri planlamak için tasarlanmış yerleşik bir bileşendir; saldırganlar tam da bu meşruluğun arkasına saklanır.

Zamanlanmış görev ile kalıcılık, işletim sisteminin görev zamanlayıcısına zararlı bir tetikleyici tanımlayarak kodun yeniden başlatmalara rağmen belirli zaman veya olaylarda kendiliğinden çalışmasını sağlayan tekniktir.

Görev Nasıl Kurulur?

Windows’ta bir görev, schtasks.exe komut satırı aracı, PowerShell’in ScheduledTasks modülü ya da doğrudan Task Scheduler COM arayüzü üzerinden oluşturulabilir. Bir görev tanımı; ne zaman çalışacağını belirten bir tetikleyici (açılışta, oturum açıldığında, günün belirli saatinde ya da belirli bir olay günlüğü kaydı geldiğinde) ile ne çalıştırılacağını belirten bir eylemden oluşur. Saldırgan, eylem olarak kendi betiğini veya çalıştırılabilir dosyasını göstererek makine yeniden başlasa bile erişimini geri kazanır.

Görevler yüksek yetkili bir hesap bağlamında, çoğu zaman SYSTEM olarak çalışacak şekilde ayarlanabildiği için bu teknik hem Kalıcılık sağlama hem de Yetki yükseltme etkisi taşır. Görev adı meşru bir güncelleme işine benzetildiğinde ya da mevcut bir görevin içeriği değiştirildiğinde, olağan bir bakışta fark edilmesi zorlaşır.

Neden Yaygın Kullanılır?

Görev zamanlayıcı her Windows sürümünde bulunur, ek araç gerektirmez ve meşru yönetim faaliyetiyle kolayca karışır. Bir görev, olay tetikleyicilerine bağlandığında yalnızca belirli koşullarda çalışacağı için sürekli açık bir arka kapıya göre daha sessiz kalır; bu da onu etkili bir Savunmadan kaçınma aracına dönüştürür. Fidye yazılımından casusluk operasyonlarına kadar geniş bir yelpazede karşımıza çıkar.

Tespit ve Sıkılaştırma

Görevler diskte C:\Windows\System32\Tasks altında XML dosyaları ve kayıt defterinde ilgili anahtarlar olarak durur; bu iki konumun düzenli karşılaştırılması yeni ve şüpheli girdileri ortaya çıkarır. Windows’un TaskScheduler operasyonel günlüğü ve 4698 (görev oluşturuldu) olay kaydı, bir SIEM’e aktarıldığında güçlü uyarılar üretir. Bilinen iyi görevlerden oluşan bir temel listenin tutulması, sapmaları hızla yakalamayı kolaylaştırır ve olgun bir Uç nokta güvenliği çözümünün görev oluşturma çağrılarını izlemesini destekler.

Bir görevin gerçekten zararlı olup olmadığını, hangi hesabın oluşturduğunu ve saldırganın makinede başka nereleri değiştirdiğini çözmek adli bir bakış gerektirir. Privia Security’nin red team hizmeti, bu tür kalıcılık yöntemlerini gerçekçi senaryolarda deneyerek savunma ekibinizin tespit yeteneğini sınar.