2016’nın Haziran ayında Mustafa ALTINKAYNAK, siber güvenlik konulu yeni kitabı üzerinde çalıştığına gerçekleştirdiğimiz bir sohbet esnasında yer vermişti. Üzerinden çok geçmeden kriptlolojiden, web uygulama güvenliğine, sistem güvenliğinden, ağ güvenliğine kadar birçok önemli başlığa da değindiği Uygulamalı Siber Güvenlik ve Hacking isimli kitabının güvenlik meraklıları için raflardaki yerini aldığını benimle paylaştı. Sağolsun bununla da yetinmeyerek tam 3 adet kitabını siz güvenlik meraklılarına çekilişle hediye etmek istediğini belirterek beni (ve eminim sizleri) oldukça mutlu etti. :)

Her daim yaptığım sunumlarda siber güvenlik üzerine yazılan Türkçe teknik kitapların, makalelerin az olduğuna dem vuran biri olarak son zamanlarda yazılan kitapların (#1) sayısının artmasını, hem güvenlik sektörü hem de bu alana ilgili duyan meraklı kişiler adına coşkuyla karşılaşıyor, elimden geldiğince kitapları bu tür çekilişlerle de duyurmaya çalışıyorum.

Çekilişe katılmak için 18 Şubat 2017 Cumartesi Saat 18:00‘a kadar, Kitap Hacker’ın En İyi Dostudur #4 :) blog yazımı @MertSARICA mention’ı ile birlikte tweetlemeniz (profili genele kapalı olanlar, tweet’in ekran görüntüsünü bana e-posta ile göndermelidirler) yeterli olacaktır.

Çekiliş kuralları:

Kazanan kişiye şimdiden keyifli okumalar dilerim :)

Not: Profili genele açık olup çekilişe katılanların tweetlerini favorilere ekleyeceğim için çekilişe katılıp katılamadığınızı kolaylıkla öğrenebileceksiniz. Çekiliş sonucunu, 18 Şubat tarihinden sonra Twitter hesabım üzerinden duyuracağım.

Not: Hediye çekilişi sonuçlanmış ve Twitter hesabım üzerinden duyurulmuştur.

2011 yılından bu yana, davet edildiğim üniversitelerde öğrencilere yönelik olarak gerçekleştirdiğim ve artık bir klasik haline gelmiş olan Sızma Testi Uzmanlığı / Ethical Hacker ve Kariyer başlıklı sunumumu, Üsküdar Üniversitesi Bilişim Kulübü‘nün daveti üzerine bu defa Bilişim Güvenliği ve Bilişim Suçları Semineri‘nde gerçekleştireceğim.

Bu sunumda biraz mesleğimden biraz merakımı mesleğe nasıl çevirdiğimden bahsederken, biraz da benim gibi öğrenciyken hackinge merak saran ve doğru bir şekilde yönlendirilmeye ihtiyaç duyan öğrencilere yol göstermeye çalışıyorum.

Hacking meraklıları ile 24 Şubat Cuma Saat 11:00, Üsküdar Üniversitesi Nermin Tarhan Konferans Salonu’nda görüşmek dileğiyle… ;)

Etkinlik hakkında bilgi almak için Üsküdar Üniversitesi Bilişim Kulübü’nün Twitter hesabını ziyaret edebilirsiniz.

Hem Pi Hediyem Var oyununun altıncısına hem de AutoIt Bankacılık Zararlı Yazılımı başlıklı blog yazıma konu olan zararlı yazılımı/betiği incelediğimizde, AutoIt’in son yıllarda zararlı yazılım geliştiriciler tarafından sıklıkla kullanıldığını görebiliyoruz. APT gibi hedeflenmiş siber saldırılarda da AutoIt ile geliştirilmiş zararlı yazılımların kullanılıyor olması, zararlı yazılım analistleri ve zararlı yazılım analizi becerisine sahip siber güvenlik uzmanları tarafından analiz edilebilmesini ihtiyaç haline getirmektedir.

Wikipedia‘dan alıntı yapacak olursak, “AutoIt, Microsoft Windows için ücretsiz bir otomasyon yazılımıdır. Yazılımın ilk versiyonları tamamen otomasyona yönelik hazırlanmış olsa da sonradan kapsamı genişletilerek hemen her türlü uygulamanın geliştirilebileceği bir programlama aracı haline gelmiştir. Bir AutoIt betiği, AutoIt yorumlayıcısının yüklü olmadığı bilgisayarlarda çalışabilecek şekilde, sıkıştırılmış bir EXE programı haline getirilebilir.”

Eğer “AutoIt Bankacılık Zararlı Yazılımı” başlıklı blog yazımdaki gibi şanslıysak, elimizdeki AutoIt betiğini (script) çeşitli hata ayıklama (debug) araçları ile analiz edebiliriz. Eğer derlenmiş, exe uzantılı bir AutoIt dosyası ile karşı karşıya isek bu durumda yapacağımız ilk iş, derlenmiş AutoIt dosyasını, betiğe çevirmek olacaktır.

Derlenmiş AutoIt dosyasını betiğe çevirmek için Exe2aut aracından faydalanabiliriz. Exe2aut aracını çalıştırdıktan sonra exe uzantılı AutoIt dosyasını araca sürükledikten sonra betik dosyasına kolaylıkla ulaşabiliyoruz.

Peki betiğe ulaştık, şimdi ne yapacağız ? AutoIt’in web sayfasında yer alan Sıkça Sorulan Sorular sayfasına bakacak olursak, hata ayıklama için çeşitli araçlardan faydalanabileceğimizi görebiliyoruz.

6. Pi Hediyem Var oyununda kimilerinin safe betiğini analiz ederken hata ayıklama araçları yerine ConsoleWrite(), MsgBox() gibi ekrana değişkenlerin sahip olduğu değerleri yazmak için kullanılan fonksiyonlardan faydalandığını gördüm. Her ne kadar bu da bir yöntem olsa da işleri kolaylaştırmak ve daha hızlı ilerlemek için hata ayıklama araçlarından faydalanmanızı tavsiye ederim. Tabii kimi zaman hata ayıklama araçlarıyla sorun yaşamanız da olasıdır. Örneğin yine 6. Pi Hediyem Var oyununda, hata ayıklama araçlarından olan Dbug aracını AutoIt programının son sürümü ile kullanarak safe betiğini analiz etmeye çalışanlar, #comments-start ile #comments-end takıları arasında yer alan gizlenmiş (obfuscated) verilerin hatalı olarak çözülerek diske yazıldığına şahit oldular. Bu ve benzer sorunlarla karşılaşmama adına, zararlı yazılımın geliştirildiği AutoIt sürümü ile betiği analiz ederseniz, sorun yaşama ihtimaliniz oldukça düşecektir. AutoIt sürümünü bulmak için ise betik ile birlikte gelen AutoIt programının karakter dizilerini (strings) incelemeniz yeterli olacaktır.

Hata ayıklama araçları (betikleri) arasında Dbug aracı, diğer araçlara kıyasla daha kullanışlı olduğu için onunla ilerleyebilirsiniz.

Dbug aracını kullanmak için öncelikle Auto IT script editörü olan SciTE aracını yüklememiz gerekiyor. Dbug aracının kurulum paketinden çıkan _Dbug.au3 dosyasını, analiz etmek istediğimiz safe betiği ile aynı klasöre koyduktan sonra safe betiğinin ilk satırına #Include “_Dbug.au3” satırını ekliyoruz. Bu işlemi gerçekleştirdikten sonra Dbug hata ayıklama aracını/betiğini çalıştırmak için başka bir eksiğimiz kalmıyor.

safe betiğini SciTE ile açtıktan sonra ilk olarak F5 (run/resume execution) tuşuna basarak Dbug aracının devreye girmesini sağlıyoruz. Fakat betiği çalıştırdığımızda, AutoIt kütüphanesindeki değişkenler ve fonksiyonlar ile betiktekiler çakıştığı için soruna yol açan bu değişkenleri ve fonksiyonları silmemiz gerekiyor.

Betiği sorunsuz bir şekilde çalıştırdıktan sonra gözümüze kestirdiğimiz bir satırın üzerine gelip F9 (run to cursor) tuşuna basarak program akışının o satıra kadar ilerlemesini sağlıyoruz. 3711. satıra geldiğimizde farenin imlecini (cursor) bir üst satırda yer alan $lc70652o3373 değişkenin üzerine getirdiğimizde, o değişkenin hangi değere (http://149.202.206.57) sahip olduğunu görebiliyoruz. OllyDbg aracında olduğu gibi F7 tuşuna basarak ilgili fonksiyonun içine girebiliyor, F8 tuşuna basarak ise (step over) fonksiyonun içine girmeden akışın (flow) devam etmesini sağlayabiliyoruz. Özetle Dbug aracı sayesinde adım adım fonksiyonların ne işe yaradığını öğrenerek, fonksiyonların yanına yorum (comment) da yazarak kısa bir süre içinde zararlı yazılımın/betiğin ne iş yaptığını kolaylıkla öğrenebiliyoruz.

Bu yazının son yıllarda AutoIt ile geliştirilen zararlı betikleri analiz etmede faydalı olması dileğiyle bir sonraki yazıda görüşmek üzere herkese güvenli günler dilerim.

27 Ocak 2017 tarihinde onuncusu düzenlenen Pi Hediyem Var oyununu başarıyla tamamlayanlar ve Raspberry Pi 3 kazanan talihli karşınızda!

ÇÖZÜM YOLU:

Oyunun çözüm yolunu ilerleyen günlerde Bir APT Girişimi başlıklı yazımda okuyabileceksiniz.

OYUNU BAŞARIYLA TAMAMLAYANLAR: Fatih ERDOĞAN, Umut BAŞAL, Ali Rıza ŞAHİNKAYA

ÇEKİLİŞE KATILMAYA HAK KAZANANLAR: Fatih ERDOĞAN, Umut BAŞAL

ÇEKİLİŞ ve KAZANAN TALİHLİ: Umut BAŞAL

Başta kazanan talihli Umut BAŞAL olmak üzere oyunu başarıyla çözen, katılan, destekleyen, sponsor olan herkese teşekkür eder, yeni oyunlarda görüşmek dileğiyle herkese güvenli günler dilerim.

2017 yılının ilk Pi Hediyem Var siber güvenlik oyunu ile tekrar karşınızdayım. Bir önceki oyunu çözemeyenlerin bilenip, bu oyunu çözmek için ellerinden geleni ardına koymayacağını az çok tahmin edebiliyorum. :)

Önceki oyunlarda olduğu gibi, oyunu başarıyla tamamlayan üniversite öğrencileri arasında yapılacak çekiliş ile 1 adet Raspberry Pi 3‘ü, 1 öğrenciye hediye edeceğim. Bu oyunun Pi sponsoru olan sevgili işverenim IBTech firmasına hem kendi adıma hem de oyunseverler adına teşekkür ederim.

Yeni oyunumuza gelecek olursak, kurumsal SOME çalışanı olan kahramanımız günün birinde İngiltere’de bir üniversiteye ait olan bir e-posta hesabından bir daveti konu olan bir e-posta alır. Sahte olmadığından emin olabilmek için gönderen kişiyi hem üniversitenin web sitesinde hem de Linkedin üzerinde araştırdığında, bu üniversitede gerçekten bu isim ve soyadda bir akademisyenin çalıştığını görür. Konu ilgisini çektiği için e-postayı gönderen kişi ile yazışmaya başlar. Birkaç defa yazıştıktan sonra gelen son e-postada yer alan bağlantı adresi ve doküman, güvenlik sistemlerindeki alarmları tetikler ve kahramanımız ne tür bir tehdit ile karşı karşıya kaldığını anlamak için hemen kolları sıvar.

Oyunu başarıyla tamamlamak için aşağıdaki tüm soruları, kod parçalarını ve ekran görüntülerini içerecek şekilde detaylı olarak yanıtlamanız gerekmektedir. Soruları yanıtlayabilmek için öncelikle https://www.dropbox.com/s/g1pzyskv2iqjnz8/ctf10.zip?dl=0 adresinden incelenmesi gereken şüpheli yazılımı indirmelisiniz. (zip şifresi: infected)

Yönergeler & Sorular;

1. Analiz esnasında ihtiyaç duyacağınız tüm şüpheli dosyalar ctf10.zip dosyası içinde yer almaktadır.
2. Analize Application_Form dosyasından başlamanız ve daha sonrasında Windows üzerinde çalışacak zararlı yazılımın oluşturulmasına kadar olan akışın nasıl ilerlediğini, haberleştiği adreslere yer verecek şekilde açıklayınız.
3. Windows üzerinde çalışan zararlı yazılımın ne tür bir zararlı yazılım olduğunu elde ettiğiniz ipuçlarıyla birlikte açıklayınız.

Daha önce Raspberry Pi kazanmamış olup çekilişe katılmak isteyenler veya adını oyunu başarıyla tamamlayanlar listesine yazdırmak isteyenler, kanıtlarla (kod, ekran görüntüsü vs.) birlikte detaylı çözüm yolunu iletişim formu üzerinden veya e-posta ile adını, soyadını, yaşını, kendini tanıtan ve Raspberry Pi ile güvenlik üzerine yapmayı düşündüğü çalışmalarını anlatan bir yazıyı 30 Ocak Pazartesi Saat 09:00‘a kadar iletmeleri gerekmektedir.

Oyunun çözüm yolunu içeren blog yazısı ilerleyen günlerde yayınlanacak olup, kazanan talihli bu sayfa ve Twitter hesabım üzerinden duyurulacaktır. Ayrıca zorlananlar için Twitter hesabım üzerinden zaman zaman ipuçları da yayınlanacaktır.

Not: Bu oyunu çözerken zararlı yazılım analizi yaptığınızı hatırlatır, izole ve sanal bir sistem üzerinde çalışmanızı şiddetle tavsiye ederim.

Başarılar.

2017 yılının ilk bölümü olan 47. bölüm ile tekrar karşınızdayız. Bu bölümde üzerinde durduğumuz başlıklardan bazıları;

• Akbank’ın yaşadığı siber saldırı
• Ukrayna’nın elektrik santrallerine gerçekleştirilen siber saldırı
• BTK’nın Siber Yıldız Yarışması ve siber güvenlik uzmanı arayışı
• Rusya’nın ABD’ye gerçekleştirdiği iddia edilen siber saldırı ve FBI & Homeland tarafından yayımlanan güvenlik raporu
• WhatApp’taki arka kapı iddiaları
• Shadow Brokers grubu tarafından satışa çıkarılan NSA’in Windows istismar kodları
• Yahoo’nun hacklenmesi
• Cellebrite firmasının hacklenmesi
• 10. Pi Hediyem Var oyunu (27 Ocak)

Görüş ve önerileriniz için [email protected] adresine e-posta atabilir, yeni bölümlerden en kısa sürede haberdar olmak için @GuvenlikTV Twitter hesabını ve web sitesini takip edebilirsiniz.

Keyifli seyirler :)

2014 yılında, T.C Ulaştırma Denizcilik ve Haberleşme Bakanlığı’na bağlı Haberleşme Genel Müdürlüğü tarafından yayımlanan Kurumsal SOME Kurulum ve Yönetim Rehberi‘nin yönetici özetinde de belirtildiği üzere, Kurumsal Siber Olaylara Müdahale Ekipleri (SOME), siber olayları bertaraf etmede, oluşması muhtemel zararları önlemede veya azaltmada hayati önemi olan yapılardır.

SIEM mühendislerinin, sızma testi uzmanlarının yanı sıra, zararlı yazılım analizi bilgi ve becerisine sahip güvenlik uzmanlarına da sahip olan SOMElerin, kurumların savunmasını güçlendirme ve müşterilerini koruma adına, bu uzmanlıklardan yoksun olan SOMElere kıyasla bir adım daha önde olduklarını söyleyebiliriz. (Tek kişilik dev SOME ekipleri yok sayılmıştır.)

Kritik altyapı sektörlerinden biri olan finans sektöründe yer alan bankaların ve kurumsal SOMElerinin, mobil olsun veya olmasın bankacılık zararlı yazılımlarını yakından takip etmeleri oldukça önemlidir. Kimi zaman bir banka, bankacılık zararlı yazılımlarının gelişimini izleyerek, ileride ne tür bir tehdit ile karşı karşıya kalabileceğini öngörebilir ve hazırlığını yapabilir.

Mobil bankacılık zararlı yazılımlarının dışında, yeni nesil oltalama (phishing) saldırılarının da mobil zararlı yazılım ile gerçekleştiriliyor olması, mobil zararlı yazılım analizi bilgi ve becerisine sahip olan güvenlik uzmanlarına olan ihtiyacı da ortaya koymaktadır.

2015 yılı ortalarında bankalar, müşterilerini hedef alan ve Bakır EMRE‘nin de detaylı bir şekilde analiz etmiş olduğu Android zararlı yazılımı ile karşı karşıya kaldılar.

2016 yılının ortasına geldiğimizde ise bu Android zararlı yazılımını geliştirenlerin, zararlı yazılıma TOR üzerinden haberleşme özelliği de eklediklerini gördük. Bununla da kalmayarak Türkiye’de faaliyet gösteren 51 tane bankadan (2015 yılı rakamları) 27 tanesine ait sahte sayfaları da (banka.mobilsubeyukle.com) web sayfalarında oluşturduklarına tanık olduk.

Zararlı yazılımı analiz ederken, Türkçe fonksiyon isimlerinin yanı sıra, isvm isimli başka bir fonksiyon adı dikkatimi çekti. Fonksiyonun başka herhangi bir fonksiyon tarafından çağrılmamış olması da (xref), bana ilerleyen sürümlerde bu fonksiyon ile karşılaşacağımız mesajını verdi. Fonksiyona baktığımda bunun güvenlik uzmanları tarafından zararlı yazılımı analizinde de kullanılan Android Emulator, Genymotion öykünücülerini (emulator), tespit etmeye yönelik olduğunu gördüm. Hayata geçtiğinde bunu en kolay ne şekilde atlatabilirim diye üzerinde çalışmaya başladım.

İlk olarak Google tarafından Android uygulaması geliştirmek amacıyla ücretsiz olarak dağıtılan Android Studio sürümünü kurup, jD-GUI (Java Decompiler) ile elde ettiğim isvm fonksiyonunu, tespit sonucunu çıktı olarak da gösterecek şekilde (Are you in in VM ? Result:) değiştirdikten sonra öykünücü içinde çalıştıracak bir kod hazırladım.

İlgili kod, öykünücüleri Build.PRODUCT, Build.FINGERPRINT, Build.MANUFACTURE, Build.MODEL, Build.BRAND, Build.DEVICE değerlerine göre tespit ettiği için (Are you in in VM ? Result: true) bunları GenyMotion üzerinde çalışan Custom Phone – 5.1.0 – API 22 imajında nasıl değiştirebileceğimi araştırmaya başladım. Çok geçmeden /system/build.prop dosyasında cihaz üreticisine dair bu değerlerin yer aldığını buldum. Genymotion öykünücüsünde yer alan imajlar root yetkisi ile çalıştığı için Root Explorer uygulamasını kurduktan sonra /system/build.prop dosyasında yer alan ve tespit için kullanılan değerleri teker teker silmeye başladım. Ardından dosyayı kayıt, edip öykünücüyü yeniden başlatıp öykünücü kontrolünü gerçekleştiren isvm kodunu/uygulamasını tekrar çalıştırdığımda bu defa öykünücü tespitini IDA ile uğraşmadan sistem üzerinde ufak bir değişiklikle atlatabilmiş (Are you in in VM ? Result: false) oldum :)

Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

2011 yılından bu yana, davet edildiğim üniversitelerde öğrencilere yönelik olarak gerçekleştirdiğim ve artık bir klasik haline gelmiş olan Sızma Testi Uzmanlığı / Ethical Hacker ve Kariyer başlıklı sunumumu, IEEE ODTÜ KKK Öğrenci Kolu‘nun daveti üzerine bu defa Ortadoğu Teknik Üniversitesi Kuzey Kıbrıs Kampüsü‘nde gerçekleştireceğim.

Bu sunumda biraz mesleğimden biraz merakımı mesleğe nasıl çevirdiğimden bahsederken, biraz da benim gibi öğrenciyken hackinge merak saran ve doğru bir şekilde yönlendirilmeye ihtiyaç duyan öğrencilere yol göstermeye çalışıyorum.

Hacking meraklıları ile 6 Ocak Cuma Saat 18:45, ODTÜ KKK Amfi 3’te görüşmek dileğiyle… ;)

Etkinlik hakkında bilgi almak için IEEE ODTU KKK Öğrenci Kolu tarafından oluşturulan Facebook etkinlik sayfasını ziyaret edebilirsiniz.

Not: Olumsuz hava koşulları ve uçuşların iptal olması gerekçesi ile etkinlik iptal olmuştur.

Ülke olarak oldukça zor bir yılı daha geride bırakıp yeni umutlarla yepyeni bir yıla daha giriyoruz. Her şeyden önce 2017 yılının herkes için sağlık, mutluluk ve başarı getirmesini dilerim.

Yeni bir yıla girerken, bir yıl boyunca yazılarımı okuyan, sunumlarına katılan, olumlu/olumsuz yorumları, geri bildirimleri ile beni yalnız bırakmayıp, yeni yazılar yazmaya, araştırmalar yapmaya teşvik eden, sosyal medyadan da takip eden tüm okurlarıma ve takipçilerime teşekkür etmek isterim.

2016 yılının anısına, 31 Aralık 2016 Saat 24:00‘a kadar Hack 4 Career E-Kitabı Yayımlandı! yazımı @MertSARICA mention’ı ile birlikte tweetleyen (profili genele kapalı olanlar, tweet’in ekran görüntüsünü bana e-posta ile göndermelidirler.) 9 Twitter takipçime, Black Hat USA‘dan satın aldığım çam sakızı, çoban armağanlarını hediye edeceğim.

Hediyeler:
2 adet web kamera kapağı (kameralara bant yapıştırmaya son :)),
3 adet Black Hat boyun askısı,
3 adet Black Hat çıkartması
1 adet Alparslan Akyıldız’ın “Uygulamalarla Siber Güvenliğe Giriş” kitabı

Profili genele açık olup çekilişe katılanların tweetlerini favorilere ekleyeceğim için çekilişe katılıp katılamadıklarını kolaylıkla öğrenebileceklerdir.

Çekiliş sonucu, 1 Ocak 2017 tarihinden sonra Twitter ve Linkedin hesaplarım üzerinden duyurulacaktır.

Çekiliş kuralları:

Not: Hediye çekilişi sonuçlanmış ve Twitter hesabım üzerinden duyurulmuştur.