Siber Ölüm Zinciri
Kötü amaçlı yazılım içeren bir saldırıyı analiz etmenin bir yolu da Siber Ölüm Zinciri adımlarını izlemektir. Siber Ölüm Zinciri Lockheed Martin tarafından geliştirilmiştir ve siber güvenlik tarafından benimsenmiş askeri bir analiz yöntemidir. Siber Ölüm Zinciri yedi adıma ayrılmıştır: Keşif, Silahlaştırma, Dağıtım, İstismar, Kurulum, Komuta ve Kontrol ve Dışarıya Sızma.
Keşif Amacıyla Yapılan Araştırma (Recon)
Recon, reconnaissance kelimesinin kısaltmasıdır ve askeri dilde bilgi edinmek için kullanılan bir ön araştırma anlamına gelir. Keşif aşamasında, kötü niyetli bir aktör mümkün olduğunca çok bilgi toplayacaktır. Bu aşamada kullanılan yöntemler pasif veya aktif olabilir.
Pasif keşif, hedefe hiçbir şey göndermeden bilgi toplamayı içerir. Bu genellikle sosyal medya, yayınlanmış web siteleri ve DNS kayıtları gibi halka açık bilgilere erişmeyi içerir. Aktörün erişimi varsa, ağ paketlerini pasif olarak da gözetleyebilir.
Aktif keşif hedefle etkileşimi içerir. Bu, port taraması, güvenlik açığı taraması, bir HTTP sunucusundaki dizinleri ve dosya adlarını kaba kuvvetle zorlama ve hatta çalışanlarla iletişim kurmayı içerebilir. Aktif keşif daha fazla bilgi sağlayabilir, ancak tespit edilmesi de önemli ölçüde daha kolaydır.
Silahlaştırma
Silahlaştırma aşamasında aktör, keşif sırasında değerlendirilen güvenlik açıkları için istismarları hazırlamaya başlar. Bu, kötü amaçlı yazılımları uyarlamayı, kimlik avı e-postaları oluşturmayı, araçları özelleştirmeyi ve saldırı için bir ortam hazırlamayı içerebilir. Kötü amaçlı yazılımın etkili olabilmesi için doğru açıkları kullanması ve doğru işletim sistemi ve ortamda çalışması gerekir. Metasploit, bu adımda özel kötü amaçlı yazılım oluşturmak için sıklıkla kullanılan bir sızma testi çerçevesidir.
Gönderim
Gönderim aşamasında kötü amaçlı yazılım hedefe teslim edilir. Genellikle tespit sistemlerini atlatmak için adımlar atılır. Dağıtım, kötü amaçlı yazılımla bağlantılı e-postaların gönderilmesini veya daha sonra kötü amaçlı yazılımı çalıştırmak için savunmasız sunucuların istismar edilmesini içerebilir. Bu aşamanın sonunda, bir saldırgan genellikle komut ve kontrol kanalı aracılığıyla kötü amaçlı yazılımdan bir geri arama bekler.
İstismar
Teknik olarak istismar adımı, kötü amaçlı yazılım başarıyla çalıştırıldıktan sonra gerçekleşir. Çoğu durumda, bu saldırganın neredeyse hiçbir etkileşimini içermez. Kötü amaçlı yazılım etkinleştirildiğinde veya bir istismarın yükü çalıştırıldığında, kurban istismar adımını tamamlamış olur.
Kurulum
Kurulum adımı genellikle kötü amaçlı yazılım çalıştıktan sonra gerçekleştirilir. Kötü amaçlı yazılım kendini yükler, gizler ve kalıcılık (durdurulduktan sonra yeniden başlatma yeteneği) kurar. Kötü amaçlı yazılım ayrıcalığı artırabilir veya yanal olarak hareket edebilir. Ayrıca uzak bir sunucudan ikinci aşama ek yükler de yükleyebilir. Yaygın bir taktik, hangi işlemin şüpheli eylemler gerçekleştirdiğini maskelemek için indirilen kodu mevcut bir sürece enjekte etmektir.
Komuta ve Kontrol (C2, C&C)
Kötü amaçlı yazılım, daha fazla talimat almak için Komuta ve Kontrol kanalı aracılığıyla iletişim kuracaktır. Bu noktada bir saldırgan kötü amaçlı yazılımla etkileşime geçerek ona ek komutlar verebilir. C2 trafiği genellikle mevcut trafiğin arasına karışacak ve dikkat çekmeyecek şekilde tasarlanmıştır.
Dışarı Sızma / Eylemler ve Hedefler
Son adım, istismar edilen sistemlerden veri almayı veya sistemleri başka bir şekilde devre dışı bırakmayı / kötüye kullanmayı içerir. Bu noktada bir saldırgan C2 kanalını kullanarak sistemden hassas bilgileri, kredi kartı bilgilerini, parola özetlerini vb. çekebilir. Veri sızdırmanın saldırının tek hedefi olmayabileceğini unutmamak önemlidir. Bir saldırgan ayrıca sistemi devre dışı bırakabilir, sistemle dolandırıcılık yapabilir, kripto para madenciliği yapabilir vb. Bu noktada kötü niyetli aktör, istismar edilen sistemin kontrolünü tamamen ele geçirmiş olur.
Önceki Ders: Kötü Amaçlı Yazılım Dağıtımı
Sonraki Ders: Laboratuvar: Kötü Amaçlı Yazılım Analizi
Yorumlar
Yorum Gönder