Twitter’ı benim gibi çoğunlukla siber güvenlik ile ilgili haberleri, siber güvenlik araştırmacılarını takip etmek için kullanıyorsanız, FireEye/Mandiant’ın güvenlik araştırmacılarından Nick CARR‘ın, Daniel BOHANNON‘un veya Microsoft’tan John LAMBERT‘in tweetlerine denk gelmiş olabilirsiniz. Tweetlerinde kimi zaman VirusTotal‘da yaptıkları tehdit avında elde ettikleri yeni zararlı yazılım örneklerini, yeni yöntemleri paylaştıklarını görebilirsiniz.
Yıllarca, VirusTotal hesabı olan eşten, dosttan ilgimi çeken zararlı yazılım örneklerini indirip bana göndermelerini rica ettikten sonra 2018 yılının başında Akbank Siber Güvenlik Merkezi’miz için kurumsal bir VirusTotal hesabı satın alarak nihayet mutlu sona ulaştım. Kurumsal hesap ile İz Peşinde başlıklı blog yazımda belirttiğim üzere siber suçluların izini sürebildiğiniz gibi tehdit avına çıkarak kurumunuza saldırı hazırlığında olan siber saldırılardan haberdar olabildiğiniz gibi siber suçluların kullandığı taktik ve tekniklerden haberdar olabiliyorsunuz. Siber suçlular bir yana VirusTotal üzerinde bazen kendi kurumuna sosyal mühendislik testi yapma hazırlığında bulunan bir çalışandan, antivirüs atlatmaya çalışan bir siber güvenlik danışmanlık firmasının sızma testi uzmanının yüklediği dosyaları da bulabiliyorsunuz.
VirusTotal’a yüklenen dosyaların üyeler arasında görüntülenebildiği, indirilebildiği çoğunlukla unutulabiliyor. Bu durumda da aslında masum bir şekilde zararlı yazılım tespiti adına VirusTotal’a yüklediğimiz hassas bir dosya bir anda üçüncü parti kişiler tarafından görüntülenebiliyor. Ben de bu yazımda hem VirusTotal üzerinde tehdit avı yapmak isteyenlere yol göstermeye hem de bilgi güvenliği farkındalığı adına yukarıda bahsettiğim noktalara dikkat çekmeye karar verdim.
VirusTotal Intelligence ile tehdit avına çıktığımızda 50’den fazla anahtar kelimeden faydalanabiliyoruz. Örneğin, VirusTotal’a dosyayı yükleyen Türkiye’den (submitter:TR) olmuş olsun, Türkçe dilinde yazılmış olsun (lang:”turkish”), 10’dan fazla antivirüs yazılımı tarafından tespit edilmiş olsun (positives:10), dosya türü docx olsun (type:docx), dosyanın ilk yüklenme tarihi de 2018 yılı olsun (fs:2018-01-01 T00:00:00+) dediğimizde hızlıca bu anahtar kelimelere uyan kayıtlara ulaşabiliyoruz. Benzer aramayı xls, doc uzantılı dosyalar, powershell (tag:powershell) ve makro içeren (tag:macros) dosyalar için de yaparsak karşımıza kısa sürede analiz edecek çok sayıda örnek çıkıveriyor.
İlk karşılaştığım örnekte art niyetli bir kişinin bir bankaya sosyal mühendislik saldırısı yapmak için makro içeren doküman oluşturduğunu gördüm. Makroyu oletools aracı ve CyberChef araçları ile analiz ettiğimde de çalıştırılan makronun Microsoft Outlook programında gönderilen e-postaların bir kopyasını Powershell yardımı ile şifresiz HTTP protokolü ile komuta kontrol merkezine gönderdiğini gördüm. Dosyanın özelliklerinden kimin oluşturduğuna baktığımda ve bunu VirusTotal’da arattığımda (metadata) ise bu dosyasının art niyetli bir kişi tarafından değil de kuvvetle muhtemel bankanın denetim ekibi çalışanları tarafından sosyal mühendislik testi gerçekleştirmek amacıyla oluşturulmuş olduğunu öğrenmiş oldum. :)
aktivite20.docm isimli başka bir örneğe baktığımda da ilk olarak yine art niyetli kişilerin bir bankaya gerçekleştirdikleri sosyal mühendislik saldırısında kullandıkları bir zararlı doküman ile karşılaştığımı düşündüm. İkna adına gayet başarılı bir şekilde kurgulanmış bu dokümanı analiz ettiğimde içinde Powershell’den faydalanılan bir makro olduğunu gördüm. Makro dosyasını analiz ettiğimde ise çalıştırıldığı anda Powershell’in betik engelleme ve kayıt altına alma özelliğini devre dışı bıraktığını gördüm. Bir önceki örnekte olduğu gibi yine dosyanın özelliklerine baktığımda bu defa bir siber güvenlik firmasında danışman olarak çalışan bir sızma testi uzmanı tarafından oluşturulmuş olduğunu öğrendim. :)
Yukarıdaki iki örneğe bakarak sızma testi, sosyal mühendislik testi amacıyla VirusTotal’a yüklenen bu tür dosyaların art niyetli kişilere senaryo ve yöntem konusunda ipucu verecebileceğini unutmamamız gerekiyor. Yeri gelmişken kırmızı takım çalışması öncesi VirusTotal’a yüklenen bir dosyanın da bu çalışmanın başarıya ulaşmasını fazlasıyla zorlaştıracağını da yine unutmamamız gerekiyor.
zarina cv.docx isimli biğer bir örneğe baktığımda ise bu defa şüpheli bir özgeçmiş dosyası ile karşılaştım. Özellikle kurumsal ortamlarda elden ele gezen özgeçmişler, zararlı kod içerdiği taktirde insan kaynakları çalışanlarına Linkedin ve e-posta üzerinden gönderildiğinde, olması gereken güvenlik kontrolleri ve sıkılaştırmalar yapılmadığı durumlarda kurumun hacklenmesine yol açabilmektedir. zarina cv.docx dosyasını 7-Zip aracı ile açtıktan sonra word klasörü içinde yer alan document.xml dosyasını analiz ettiğimde içine itinayla yerleştirilmiş bir DDEAUTO komutu olduğunu gördüm. DDEAUTO komutu, mediafire.com adresinden final.exe isimli bir dosyayı indirip TEMP klasöründe çalıştırmaktadır. final.exe isimli dosya silindiği için her ne kadar ulaşamamış olsam da aynı kişinin VirusTotal’a mediafire yerine iç ip adresi içeren benzer bir dosya yükleyip Antivirüs kontrolü yapmaya çalıştığını net olarak görebildim. Bu örnekten yola çıkarak özellikle insan kaynakları birimlerinin özgeçmiş dosyalarını adaylardan alırlarken çok dikkatli olmaları gerektiğinin de altını çizmiş olayım.
Son olarak TEMMUZ MAAŞ.xlsm isimli Office dosyası dikkatimi çekti. Dosyanın içinde yer alan makro dosyasını oletools aracı ile analiz ettiğimde, http://xfl[.]mooo.com web adresinden client.exe isimli bir dosyayı indirip ardından bunu TEMP klasörüne cache1.exe adı altında kaydettikten sonra çalıştırıyordu. TEMMUZ MAAŞ.xlsm dosyasının içeriği sahte olmayacak kadar gerçeğe benziyordu. Hem VirusTotal üzerinde hem de retrohunt ile http://xfl[.]mooo.com web adresi ile ilişkili dosyaları aradığımda çok sayıda birbiri ile ilgisi olmayan dosya olduğunu gördüm. Kimi dosyalar bir kuruma özel olarak oluşturulmuş talimat dosyalarıydi kimileri ise bir ürüne ait kullanma kılavuzuydu. Gerçekten kuruma özel olan bu dosyalara bir şekilde ulaşıp makro yerleştiren birileri mi vardı yoksa art niyetli kişiler derslerini iyi çalışıp bu kadar gerçekçi makro içeren dokümanlar mı oluşturuyordu ? sorusu kafamı kurcalamaya başladı.
http://xfl[.]mooo.com web adresi ve çözdüğü ip adresleri özelinde arama yaptığımda ise ip adreslerinden indirilen srim2 dosyası dikkatimi çekti. Dosyayı indirip 7-Zip aracı ile açıp config.json dosyasına baktığımda Monero dijital para madeni yapan bir yazılım olduğu ortaya çıktı.
client.exe dosyasına kısaca bakmaya karar verdikten sonra IDA Pro ve Interactive Delphi Reconstructor araçları ile analiz etmeye başladım. Dikkate değer tespitlerime hızlıca yer vermem gerekirse;
cache1.exe çalıştırıldıktan sonra kendisini C:\Users\admin\AppData\Local\Google Chrome Helper\chromehelper.exe altına kopyalamaktadır.
http://xredini[.]mooo.com , http://140[.]82.59.108/config ve http://45[.]76.3.86/min adresleri ile iletişime geçmektedir.
IDAPython yardımı ile gizlenmiş karakter dizilerini çözdüğümde karakter dizileri arasında xred[.]mooo.com , xredini[.]mooo.com ve xfl[.]mooo.com adresleri ortaya çıkmaktadır.
Zamanlanmış görevlere (task scheduler) Google Chrome Helper Update kaydını yaratabilmektedir.
Sistem üzerindeki xls, xlsx, doc, docx uzantılı dosyaları bulduktan sonra içeriğini %TEMP% klasörüne yarattığı makro uzantılı (docm, xlsm gibi) ofis dosyasına (Yazar adı: WlnServer) kopyalamakta ve orjinal dosyaları silerek yerine orjinal dosyaların isimleri altında bu ofis dosyasını kopyalamaktadır. (Örnek: Masaüstündeki Mert.docx dosyasını silip yerine Mert.docm oluşturuyor ve içine Mert.docx içeriğini kopyalıyor.)
Sistem üzerindeki tüm yürütülebilir dosyaları (exe) bulup modifiye ederek çalıştırıldığı anda hem orjinal dosyayı hem de Resource Directory kısmındaki zararlı ofis dosyalarını (%TEMP% klasörüne açtığı) ve programı çalıştırmaktadır.
VirusTotal üzerinde client.exe dosyası üzerinde yer alan ABvgjdfL+hpQCgCT42VdO6m4GD karakter dizisini arattığımda ise bu zararlı yazılımın bulaştığı çok sayıda örnekle karşılaştım.
Sonuca gelecek olursam, kurum olarak VirusTotal üzerinde tehdit avına çıkarak hem kurumunuza gerçekleştirilmesi planlanan siber saldırılardan, sosyal mühendislik saldırılarından haberdar olabilir hem de analistlerinizin tehdit avı ile tespit ettiği örnekleri analiz etmelerini sağlayarak zararlı yazılımı analizi konusunda yetkinlik kazanmalarını sağlayabilirsiniz.
Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.
Yazıyı PDF formatında indirmek için tıklayın.
Paylaş:
Değerlendir:
Önceki YazıPi Hediyem Vardı, Verdim, Gitti #17 :)
Sonraki YazıWordPress Güvenliği
Yazar Hakkında
Mert SARICA
2020 yılının Ekim ayından bu yana DenizBank’ın iştiraki olan Intertech firmasında BT Güvenlik ve Risk Yönetimi Grubu'ndan sorumlu Genel Müdür Yardımcısı / CISO olarak görev yapan Mert SARICA, Ocak 2018 - Eylül 2020 yıllarında Siber Saldırı Tespit ve Müdahale, Siber Güvenlik Mühendisliği, Siber Tehdit İstihbaratı ve Zafiyet Yönetimi Ekipleri'nden sorumlu Müdür olarak Akbank Siber Güvenlik Merkezi (SGM)'nde görev yapmıştır.
SARICA, 2007 - 2017 yıllarında ise QNB Finansbank’ın bilgi teknolojileri iştiraki olan IBTech firmasında sızma testi, zararlı yazılım analizi ve bilgisayar olayları tespit ve müdahale alanlarından sorumlu olan Tehdit ve Zafiyet Yönetimi Ekibi'nde Teknik Lider olarak görev yapmıştır.
Kurumsal iş hayatının yanı sıra akademik kariyeri 2014 - 2016 yıllarında Bahçeşehir Üniversitesi, Siber Güvenlik Yüksek Lisans Programı'nda öğretim görevlisi olarak verdiği "Zararlı Yazılım Analizi Eğitimleri" ile devam etmiştir.
Yüksek lisansını, 2010 yılında "Yeditepe Üniversitesi İngilizce İşletme (MBA) Programı" üzerine yapan SARICA'nın kariyer hayatının başlangıcı, lisans eğitimini tamamladığı üniversite olan Yeditepe Üniversitesi, Bilişim Sistemleri ve Teknolojileri Bölümü'nde olmuştur.
SARICA, lisans eğitimine devam ettiği yıllarda Yeditepe Üniversitesi’nin elektronik ders seçme uygulaması üzerinde keşfetmiş olduğu kritik güvenlik zafiyetini üniversite yönetimi ile paylaşmış; bu paylaşım üzerine üniversite yönetimi tarafından başarı bursu ile ödüllendirilmiş ve "Etik Hacker" olarak işe alınmıştır.
2011 yılından bu yana 30’dan fazla siber güvenlik etkinliğine konuşmacı olarak davet edilmiş, Türkiye genelinde 40’a yakın üniversite etkinliğinde ise öğrencilere “Etik Hacker” mesleğini tanıtmaya yönelik sunumlar gerçekleştirmiştir.
Benzer Yazılar
Instagram Dolandırıcıları
1 Aralık, 2021
Android Uğruna Risk Almaya Değer mi ?
1 Ocak, 2011
OPSEC
3 Ağustos, 2020
Zararlı PDF Analizi
24 Ocak, 2012
3 Yorum
Rumuzsuz 3 Ağustos, 2019 üzerinde 19:54 de
Çok ilginç bir makale :) Eğer ilgilenirseniz, https://www.vxintel.io adresindeki web sitemizi de bir denemenizi tavsiye ederim; bu bir mini-VT ama Türk yapımı (tamam, tamam, Türk yapımı, ancak Kanada’da ürettik). Size iyi çalışmalar dilerim.
Ahmet 3 Aralık, 2020 üzerinde 18:33 de
Hocam zararlı yazılım örneklerini sadece premium virustotal hesabı ile mi indirebiliriz?
Mert SARICA 3 Aralık, 2020 üzerinde 20:15 de
Evet.
Yorum Yap Cevabı iptal et
E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir
YORUM
İsim *
E-posta *
İnternet sitesi
Δ
Son Yazılar
Hack 4 Career E-Kitabı Yayımlandı!
7 Ara 2021 | Duyurular
Instagram Dolandırıcıları
1 Ara 2021 | Güvenlik
Blog’um 12 Yaşında :)
19 Kas 2021 | Duyurular
Kaçabilirsin ama Saklanamazsın
1 Eyl 2021 | Güvenlik
Excel 4.0 Makro (XLM) Analizi
1 Haz 2021 | Güvenlik
En Çok Okunanlar
Profilime Kim Baktı ?
1 Ekim, 2020
By Mert SARICA | 33 Comments
23 Eylül 2020 tarihinde Twitter'da siber güvenlik ile ilgili haberlere göz gezdirirken gündem olan başlıklarda #profilimekimbaktı etiketi dikkatimi çekti. Beni...
Python’u Seviyorum :)
25 Mart, 2010
By Mert SARICA | 47 Comments
Korsancılık oynayan herkes gibi bende yıllarca C programlama dili ile haşır neşir oldum, çok kaynak kodu inceledim çok program yazdım...
LinkedIn Dolandırıcıları
28 Mart, 2020
By Mert SARICA | 60 Comments
Uzun yıllardan beri sosyal ağları ve medyayı etkin kullanan bir siber güvenlik araştırmacısı olarak bağlantılarım arasında yer alanlarınız özellikle hafta...
RF Dünyası ve Güvenlik
1 Şubat, 2016
By Mert SARICA | 39 Comments
Çocukluğumdan beri uzaktan kumanda ile kumanda edilebilen garaj kapıları her zaman ilgimi çekmiştir. Yaşım ilerledikçe ve mesleğimde de ilerledikçe, merakımı...
Manipüle Edilmiş Fotoğraf Analizi
1 Temmuz, 2013
By Mert SARICA | 13 Comments
Geçtiğimiz aya damgasını vuran Gezi Parkı eylemlerini yazılı, görsel ve internet medyasından takip eden bir vatandaş olarak ilgimi, olayların yanı...
Sosyal Ağlar & Medya
Youtube
Twitter
Kategoriler
Kategoriler Kategori seçin Duyurular (151) Güvenlik (189) Kişisel (6)
Arşiv
Arşiv Ay seçin Aralık 2021 (2) Kasım 2021 (1) Eylül 2021 (1) Haziran 2021 (1) Mart 2021 (3) Ocak 2021 (1) Aralık 2020 (2) Kasım 2020 (2) Ekim 2020 (1) Ağustos 2020 (1) Haziran 2020 (1) Nisan 2020 (1) Mart 2020 (1) Şubat 2020 (4) Aralık 2019 (2) Kasım 2019 (4) Ekim 2019 (1) Eylül 2019 (1) Ağustos 2019 (1) Temmuz 2019 (3) Haziran 2019 (1) Mayıs 2019 (1) Nisan 2019 (1) Mart 2019 (2) Şubat 2019 (1) Ocak 2019 (1) Aralık 2018 (3) Kasım 2018 (2) Ekim 2018 (3) Eylül 2018 (1) Ağustos 2018 (3) Temmuz 2018 (2) Haziran 2018 (2) Mayıs 2018 (1) Nisan 2018 (5) Mart 2018 (1) Şubat 2018 (4) Ocak 2018 (2) Aralık 2017 (3) Kasım 2017 (2) Ekim 2017 (3) Eylül 2017 (4) Ağustos 2017 (1) Temmuz 2017 (2) Haziran 2017 (3) Mayıs 2017 (3) Nisan 2017 (5) Mart 2017 (7) Şubat 2017 (3) Ocak 2017 (4) Aralık 2016 (8) Kasım 2016 (4) Ekim 2016 (4) Eylül 2016 (3) Ağustos 2016 (5) Temmuz 2016 (4) Haziran 2016 (2) Mayıs 2016 (2) Nisan 2016 (3) Mart 2016 (7) Şubat 2016 (3) Ocak 2016 (2) Aralık 2015 (5) Kasım 2015 (8) Ekim 2015 (1) Eylül 2015 (6) Ağustos 2015 (4) Temmuz 2015 (2) Haziran 2015 (1) Mayıs 2015 (3) Nisan 2015 (5) Mart 2015 (5) Şubat 2015 (2) Ocak 2015 (3) Aralık 2014 (1) Kasım 2014 (3) Ekim 2014 (4) Eylül 2014 (1) Ağustos 2014 (1) Temmuz 2014 (1) Haziran 2014 (1) Mayıs 2014 (3) Nisan 2014 (2) Mart 2014 (2) Şubat 2014 (1) Ocak 2014 (1) Kasım 2013 (3) Ekim 2013 (2) Eylül 2013 (1) Ağustos 2013 (1) Temmuz 2013 (1) Haziran 2013 (1) Mayıs 2013 (4) Nisan 2013 (2) Mart 2013 (3) Şubat 2013 (1) Ocak 2013 (1) Aralık 2012 (2) Kasım 2012 (2) Ekim 2012 (3) Eylül 2012 (2) Ağustos 2012 (1) Temmuz 2012 (1) Haziran 2012 (3) Mayıs 2012 (2) Nisan 2012 (2) Mart 2012 (2) Şubat 2012 (2) Ocak 2012 (1) Aralık 2011 (2) Kasım 2011 (3) Ekim 2011 (1) Ağustos 2011 (1) Temmuz 2011 (1) Haziran 2011 (1) Mayıs 2011 (2) Nisan 2011 (1) Mart 2011 (2) Şubat 2011 (3) Ocak 2011 (4) Aralık 2010 (3) Kasım 2010 (4) Ekim 2010 (4) Eylül 2010 (4) Ağustos 2010 (4) Temmuz 2010 (3) Haziran 2010 (4) Mayıs 2010 (4) Nisan 2010 (6) Mart 2010 (5) Şubat 2010 (3) Ocak 2010 (4) Aralık 2009 (5) Kasım 2009 (6)