Sosyal medyada, ağlarda siber güvenlik uzmanlarını takip ettiğinizde veya siber güvenlik ile ilgili sunumlara göz attığınızda kimi zaman “OPSEC FAIL” şeklinde ibarelere rastlarsınız. Buralarda çoğunluklukla APT grupları tarafından ve/veya zararlı yazılım geliştiricileri tarafından yapılan önemli operasyonel hatalara dikkat çekilir. Nedir bu OPSEC diye merak edenleriniz için operasyon güvenliği (OPSEC), gerçekleştirilen operasyona dair kritik bilgilerin korunarak karşı istihbarat birimleri tarafından ele geçirilmesini engellemektir.
2-4 Ekim 2019 tarihinde Londra’da katıldığım Virus Bulletin etkinliğinde Kaspersky tarafından gerçekleştirilen Who is SandCat: an unveiling of a lesser-known threat actor başlıklı sunumda, Özbekistan istihbarat birimi olduğu düşünülen SandCat grubunun yaptığı OPSEC hatalarına yer verildi. Telemetry özelliği aktif olan Kaspersky Antivirüs yazılımı yüklü sistemlerde 0. gün istismar kodlarını test eden grubun bu testlerde kullandığı komuta kontrol merkezinin adresini askeri birimin adıyla (Military Unit 02616) kayıt etmiş olması, bu grubun OPSEC konusunu pek önemsemediğine işaret ediyordu. Fırsattan istifade etmeyi bilen Kaspersky araştırmacıları bu grup tarafından kullanılan 0. gün istismar kodlarını Kaskersky Antivirüs yüklü sistemden alıp, analiz edebilmişti.
VirusTotal üzerinde fırsat buldukça tehdit avına çıkan bir siber güvenlik araştırmacısı olarak geçtiğimiz aylarda ben de OPSEC konusuna dikkat etmeyen bir zararlı yazılım geliştiricisi ile karşılaştım.
fatura1.exe isimli zararlı yazılımı analiz sistemimde çalıştırdığımda karşıma sahte bir telefon faturası ve uyarı mesajı çıktı. fatura1.exe dosyasını RDG Packer Detector aracı ile incelediğimde aracın C# programlama dili ile geliştirildiğini öğrendim. ILSpy kaynak kodu çeviricisi ile kodlara kısaca göz attığımda kodların gizlendiğini (obfuscation) gördüm. Kaynak kodunu okunaklı hale getirmek için de4dot aracından faydalandım.
Kaynak koduna göz attığımda AES ile şifrelenmiş olan verileri çözen s_method2() fonksiyonu dikkatimi çekti. dnSpy hata ayıklayıcısı ile Main() fonksiyonunu adım adım analiz etmeye başladıktan kısa bir süre sonra s_method0() fonksiyonunun şifrelenmiş verileri çözüp byte_0 değişkenine atadıktan sonra bunu bir dosyaya kaydedip çalıştırdığını farkettim. Bunu öğrendikten sonra byte_0 değişkeninde yer alan veriyi diske kaydedip analiz etmeye karar verdim.
Bu dosyayı da dnSpy ve ayrıca ANY.RUN kum havuzu sistemi ile analiz ettiğimde Project Evrial isimli bir parola ve kripto para cüzdanı hırsızının (stealer) kırılmış sürümü (cracked) olduğunu gördüm.
Analiz neticesinde komuta kontrol merkezinin adresini (http://zmcoin.tk) tespit ettikten sonra komuta kontrol merkezini ziyaret etmeye karar verdim. Dizin listeme özelliğinin (directory browsing) aktif olması sayesinde zararlı yazılım tarafından çalınan dosyaları klasörde görüntüleyebildim. Dosyaları tarihe göre sıralayıp en eski tarihteki dosyayı indirip incelemeye başladığımda art niyetli kişinin bu zararlı yazılımı ilk olarak kendi test sisteminde test ettiğini gördüm. Tabii bu test sistemi üzerinde sadece zararlı yazılımı test etmekle kalmayıp şahsi işlerini de gerçekleştirdiği (OPSEC FAIL) için zararlı yazılım işletim sistemi üzerinde kendisine ait isim, soyad, e-posta adresi vb. bilgileri de çalmış ve kendi kazdığı kuyuya kendisi düşmüştü. :)
Görüleceği üzere operasyon güvenliğine önem vermeyen art niyetli kişiler sayesinde gerçekleştirilen siber operasyonlara ve operasyonu gerçekleştirenlere dair önemli bilgileri elde etmek mümkün olabilmektedir.
Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.
Yazıyı PDF formatında indirmek için tıklayın.
Paylaş:
Değerlendir:
Önceki YazıTLS Parmak İzi
Sonraki YazıProfilime Kim Baktı ?
Yazar Hakkında
Mert SARICA
2020 yılının Ekim ayından bu yana DenizBank’ın iştiraki olan Intertech firmasında BT Güvenlik ve Risk Yönetimi Grubu'ndan sorumlu Genel Müdür Yardımcısı / CISO olarak görev yapan Mert SARICA, Ocak 2018 - Eylül 2020 yıllarında Siber Saldırı Tespit ve Müdahale, Siber Güvenlik Mühendisliği, Siber Tehdit İstihbaratı ve Zafiyet Yönetimi Ekipleri'nden sorumlu Müdür olarak Akbank Siber Güvenlik Merkezi (SGM)'nde görev yapmıştır.
SARICA, 2007 - 2017 yıllarında ise QNB Finansbank’ın bilgi teknolojileri iştiraki olan IBTech firmasında sızma testi, zararlı yazılım analizi ve bilgisayar olayları tespit ve müdahale alanlarından sorumlu olan Tehdit ve Zafiyet Yönetimi Ekibi'nde Teknik Lider olarak görev yapmıştır.
Kurumsal iş hayatının yanı sıra akademik kariyeri 2014 - 2016 yıllarında Bahçeşehir Üniversitesi, Siber Güvenlik Yüksek Lisans Programı'nda öğretim görevlisi olarak verdiği "Zararlı Yazılım Analizi Eğitimleri" ile devam etmiştir.
Yüksek lisansını, 2010 yılında "Yeditepe Üniversitesi İngilizce İşletme (MBA) Programı" üzerine yapan SARICA'nın kariyer hayatının başlangıcı, lisans eğitimini tamamladığı üniversite olan Yeditepe Üniversitesi, Bilişim Sistemleri ve Teknolojileri Bölümü'nde olmuştur.
SARICA, lisans eğitimine devam ettiği yıllarda Yeditepe Üniversitesi’nin elektronik ders seçme uygulaması üzerinde keşfetmiş olduğu kritik güvenlik zafiyetini üniversite yönetimi ile paylaşmış; bu paylaşım üzerine üniversite yönetimi tarafından başarı bursu ile ödüllendirilmiş ve "Etik Hacker" olarak işe alınmıştır.
2011 yılından bu yana 30’dan fazla siber güvenlik etkinliğine konuşmacı olarak davet edilmiş, Türkiye genelinde 40’a yakın üniversite etkinliğinde ise öğrencilere “Etik Hacker” mesleğini tanıtmaya yönelik sunumlar gerçekleştirmiştir.
Benzer Yazılar
Şeytan Ayrıntıda Gizlidir
1 Ocak, 2013
Magecart Analizi
4 Nisan, 2020
Ufacık Tefecik İçi Dolu Teensy’cik
2 Nisan, 2013
Spy-Net RAT Analizi
1 Kasım, 2013
Yorum Yap Cevabı iptal et
E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir
YORUM
İsim *
E-posta *
İnternet sitesi
Δ
Son Yazılar
Hack 4 Career E-Kitabı Yayımlandı!
7 Ara 2021 | Duyurular
Instagram Dolandırıcıları
1 Ara 2021 | Güvenlik
Blog’um 12 Yaşında :)
19 Kas 2021 | Duyurular
Kaçabilirsin ama Saklanamazsın
1 Eyl 2021 | Güvenlik
Excel 4.0 Makro (XLM) Analizi
1 Haz 2021 | Güvenlik
En Çok Okunanlar
Profilime Kim Baktı ?
1 Ekim, 2020
By Mert SARICA | 33 Comments
23 Eylül 2020 tarihinde Twitter'da siber güvenlik ile ilgili haberlere göz gezdirirken gündem olan başlıklarda #profilimekimbaktı etiketi dikkatimi çekti. Beni...
Python’u Seviyorum :)
25 Mart, 2010
By Mert SARICA | 47 Comments
Korsancılık oynayan herkes gibi bende yıllarca C programlama dili ile haşır neşir oldum, çok kaynak kodu inceledim çok program yazdım...
LinkedIn Dolandırıcıları
28 Mart, 2020
By Mert SARICA | 60 Comments
Uzun yıllardan beri sosyal ağları ve medyayı etkin kullanan bir siber güvenlik araştırmacısı olarak bağlantılarım arasında yer alanlarınız özellikle hafta...
RF Dünyası ve Güvenlik
1 Şubat, 2016
By Mert SARICA | 39 Comments
Çocukluğumdan beri uzaktan kumanda ile kumanda edilebilen garaj kapıları her zaman ilgimi çekmiştir. Yaşım ilerledikçe ve mesleğimde de ilerledikçe, merakımı...
Manipüle Edilmiş Fotoğraf Analizi
1 Temmuz, 2013
By Mert SARICA | 13 Comments
Geçtiğimiz aya damgasını vuran Gezi Parkı eylemlerini yazılı, görsel ve internet medyasından takip eden bir vatandaş olarak ilgimi, olayların yanı...
Sosyal Ağlar & Medya
Youtube
Twitter
Kategoriler
Kategoriler Kategori seçin Duyurular (151) Güvenlik (189) Kişisel (6)
Arşiv
Arşiv Ay seçin Aralık 2021 (2) Kasım 2021 (1) Eylül 2021 (1) Haziran 2021 (1) Mart 2021 (3) Ocak 2021 (1) Aralık 2020 (2) Kasım 2020 (2) Ekim 2020 (1) Ağustos 2020 (1) Haziran 2020 (1) Nisan 2020 (1) Mart 2020 (1) Şubat 2020 (4) Aralık 2019 (2) Kasım 2019 (4) Ekim 2019 (1) Eylül 2019 (1) Ağustos 2019 (1) Temmuz 2019 (3) Haziran 2019 (1) Mayıs 2019 (1) Nisan 2019 (1) Mart 2019 (2) Şubat 2019 (1) Ocak 2019 (1) Aralık 2018 (3) Kasım 2018 (2) Ekim 2018 (3) Eylül 2018 (1) Ağustos 2018 (3) Temmuz 2018 (2) Haziran 2018 (2) Mayıs 2018 (1) Nisan 2018 (5) Mart 2018 (1) Şubat 2018 (4) Ocak 2018 (2) Aralık 2017 (3) Kasım 2017 (2) Ekim 2017 (3) Eylül 2017 (4) Ağustos 2017 (1) Temmuz 2017 (2) Haziran 2017 (3) Mayıs 2017 (3) Nisan 2017 (5) Mart 2017 (7) Şubat 2017 (3) Ocak 2017 (4) Aralık 2016 (8) Kasım 2016 (4) Ekim 2016 (4) Eylül 2016 (3) Ağustos 2016 (5) Temmuz 2016 (4) Haziran 2016 (2) Mayıs 2016 (2) Nisan 2016 (3) Mart 2016 (7) Şubat 2016 (3) Ocak 2016 (2) Aralık 2015 (5) Kasım 2015 (8) Ekim 2015 (1) Eylül 2015 (6) Ağustos 2015 (4) Temmuz 2015 (2) Haziran 2015 (1) Mayıs 2015 (3) Nisan 2015 (5) Mart 2015 (5) Şubat 2015 (2) Ocak 2015 (3) Aralık 2014 (1) Kasım 2014 (3) Ekim 2014 (4) Eylül 2014 (1) Ağustos 2014 (1) Temmuz 2014 (1) Haziran 2014 (1) Mayıs 2014 (3) Nisan 2014 (2) Mart 2014 (2) Şubat 2014 (1) Ocak 2014 (1) Kasım 2013 (3) Ekim 2013 (2) Eylül 2013 (1) Ağustos 2013 (1) Temmuz 2013 (1) Haziran 2013 (1) Mayıs 2013 (4) Nisan 2013 (2) Mart 2013 (3) Şubat 2013 (1) Ocak 2013 (1) Aralık 2012 (2) Kasım 2012 (2) Ekim 2012 (3) Eylül 2012 (2) Ağustos 2012 (1) Temmuz 2012 (1) Haziran 2012 (3) Mayıs 2012 (2) Nisan 2012 (2) Mart 2012 (2) Şubat 2012 (2) Ocak 2012 (1) Aralık 2011 (2) Kasım 2011 (3) Ekim 2011 (1) Ağustos 2011 (1) Temmuz 2011 (1) Haziran 2011 (1) Mayıs 2011 (2) Nisan 2011 (1) Mart 2011 (2) Şubat 2011 (3) Ocak 2011 (4) Aralık 2010 (3) Kasım 2010 (4) Ekim 2010 (4) Eylül 2010 (4) Ağustos 2010 (4) Temmuz 2010 (3) Haziran 2010 (4) Mayıs 2010 (4) Nisan 2010 (6) Mart 2010 (5) Şubat 2010 (3) Ocak 2010 (4) Aralık 2009 (5) Kasım 2009 (6)