Kaspersky Global Acil Durum Müdahale ekibinin 2019’da incelediği siber saldırıların yaklaşık üçte birinde yasal uzaktan yönetim araçlarının kullanıldığı görüldü. Saldırganlar bu sayede uzun süre tespit edilmeden faaliyetlerini sürdürebiliyor. Örneğin, kesintisiz siber casusluk saldırıları ve gizli veri hırsızlıkları ortalama 122 gün sürüyor. Elde edilen bu bulgular Kaspersky’nin yeni Vaka Müdahalesi Analitiği Raporu’nda yayınlandı.
Takip ve yönetim yazılımları BT ve ağ yöneticilerinin günlük işlerini yapmasına, sorunları çözmesine ve çalışanlara teknik destek sunmasına yardımcı oluyor. Ancak siber suçlular da bu yasal araçlardan yararlanabiliyor ve bunları şirketlerin altyapılarına saldırmak için kullanabiliyor. Bu yazılımlarla uç noktalarda program çalıştırabiliyor, hassas bilgilere erişebiliyor, zararlı yazılımları tespit etmekte kullanılan güvenlik kontrollerini aşabiliyorlar.
Vaka müdahalelerinden toplanan anonim veriler incelendiğinde saldırganların 18 farklı yasal aracı kötü amaçlar için kullandığı görüldü. Bunlar arasında en çok kullanılanı ise PowerShell (vakaların yüzde 25’i) oldu. Bu güçlü yönetim aracı bilgi sızdırmaktan zararlı yazılım çalıştırmaya kadar birçok amaç için kullanılabiliyor. PsExec adlı aracın ise saldırıların yüzde 22’sinde kullanıldığı tespit edildi. Bu arayüz uygulaması uzak uç noktalarda işlemler çalıştırmakta kullanılıyor. Ağ ortamları hakkında bilgi toplamak için tasarlanan SoftPerfect Network Scanner ise yüzde 14 ile saldırganların en çok kullandığı üçüncü araç oldu.
Güvenlik çözümlerinin yasal araçlara düzenlenen saldırıları tespit etmesi daha zor oluyor. Yapılan işlemlerin planlı bir siber suç faaliyeti mi yoksa standart bir sistem yönetim görevi mi olduğu kolay anlaşılamıyor. Örneğin, bir aydan uzun süren saldırıların ortalama uzunluğunun 122 olduğu tespit edildi. Tespit edilmeyen siber suçlular kurbanların hassas verilerini toplayabildi.
Ancak, Kaspersky uzmanları yasal yazılımlarla yapılan kötü niyetli faaliyetlerin bazen çok çabuk ortaya çıktığını da belirtiyor. Genellikle fidye yazılımı saldırılarında kullanıldığı için hasar açıkça görülebiliyor. Kısa saldırılarda ise ortalama süre bir gün oldu.
Kaspersky Global Acil Durum Müdahale Ekibi Direktörü Konstantin Sapronov, “Saldırganlar tespit edilmemek ve ağda uzun süre görünmeden olabildiğince kalabilmek için genellikle normal kullanıcı işleri, yönetici görevleri ve sistem taraması için kullanılan yazılımlardan yararlanıyor. Bu araçlar sayesinde kurumsal ağda bilgi toplayıp dolaşabiliyor, yazılım ve donanım ayarlarını değiştirebiliyor ve zararlı faaliyetlerde bulunabiliyorlar. Örneğin, yasal yazılımlarla verileri şifrelemeleri mümkün. Yasal yazılımlar saldırganların güvenlik analistlerinden saklanmasına da yardımcı oluyor. Saldırılar genellikle hasar verildikten sonra fark ediliyor. Bu araçların kullanımından vazgeçmek de birçok nedenden dolayı mümkün değil. Ancak düzgün tutulan kayıtlar ve takip sistemleri ağdaki şüpheli faaliyetleri tespit etmeye ve karmaşık saldırıları erkenden fark etmeye yardımcı oluyor” dedi.
