Bilgi çalan yazılım

Açılış

Barış'ın bilgisayarı temizlendikten on iki gün sonra, telefonuna oyun hesabından bir bildirim geldi: hesabına başka bir ülkeden giriş yapılmıştı. Barış şaşırdı. Ece'nin dediği gibi parolasını değiştirmişti; hem de başka bir cihazdan.

Ece bildirimi okuyunca kaşlarını kaldırdı: "Parolayı değiştirdikten sonra bütün oturumlardan çıkış yaptın mı?"

Barış yapmamıştı. Bilmiyordu bile.

Ece ona açıkladı. Bilgisayara giren eklenti paketi yalnız bir truva atı olmayabilirdi; içinde, tarayıcıda kayıtlı parolaları, açık oturumları ve başka bilgileri toplayıp dışarı gönderen bir yazılım da olabilirdi. Parola değişmiş olsa bile, saldırganın elinde Barış'ın hâlâ geçerli bir oturum bilgisi varsa, hesaba yeni parolayı bilmeden girebilirdi. Modül 4'te çerezleri ve oturumları görmüştük: bir oturum bilgisi, bir süreliğine parolanın yerini tutar.

Barış hesabın ayarlarından "bütün cihazlardan çıkış yap" seçeneğini buldu ve bastı. Sonra Ece'ye döndü: "Peki başka neler gitmiş olabilir?"

Ece o sorunun cevabını bilmiyordu. Asıl korkutucu olan da buydu.

Tek fikir

Bilgi çalan yazılım bir cihazdan parolaları, oturumları ve çerezleri sessizce toplar; bunlar satılır ve yıllar sonra bir kuruma girmekte kullanılabilir. Savunma, çalınanın değerini düşürmektir: donanım anahtarı, kapatılabilen oturumlar, ayrı tutulan iş ve kişisel cihaz.

Nasıl çalışır

Önceki derste fidye yazılımının gürültülü bir son adım olduğunu gördük. Bu dersin türleri tam tersidir: fark edilmemek için tasarlanırlar.

Bu türün bugün neden bu kadar önemli olduğunu, bir olay müdahale firmasının yıllık raporu ayrı bir bölümde anlatır.

Bu bölümde insanı en çok düşündüren şey zamandır. İki bin yirmide çalınan bir parola, yıllar sonra bir kuruma girmek için kullanılmıştı. Bilgi çalan yazılım için saldırı, bulaşma anında bitmez; o anda başlar ve çalınan bilgi geçerli kaldığı sürece sürer.

Bilgi çalan yazılımlar tek bir yöntemle çalışmaz. Bazıları tarayıcının kaydettiği parolaları ve çerezleri doğrudan toplar. Bazıları kullanıcının ne yazdığını izler.

Modül 10'da gördüğümüz takip yazılımı da bir casus yazılım biçimidir; ama orada izleyen kişi, kurbanın tanıdığı biriydi. Burada izleyen, çalınan bilgiyi pazarda satan yabancılardır.

Savunma için önemli olan ayrım şudur: bilgi çalan yazılım tarayıcıda kayıtlı olanı alır, tuş kaydedici yazılanı alır. İkisine karşı da ortak bir önlem vardır: çalınan bilginin tek başına yeterli olmaması.

Sahada

Savunma

Bilgi çalan yazılıma karşı savunmanın iki yönü vardır: bulaşmayı önlemek ve çalınanın işe yaramasını engellemek.

Bulaşmayı önlemek için önceki dersin kuralları geçerlidir: lisanssız ve kilidi kırılmış programları hiç kurmamak, yazılımı resmî kaynaktan kurmak, koruma yazılımını kapatmamak. M-Trends'in vakaları, kişisel işler için de kullanılan bilgisayarların ilk bulaşma noktası olduğunu gösteriyor.

Çalınanın işe yaramasını engellemek ise asıl savunmadır. Çalınan bir parola, girişin ikinci halkası bir donanım güvenlik anahtarıysa tek başına kapıyı açmaz; anahtar Barış'ın ya da Kaan'ın cebindedir, satılan kayıtların içinde değil. Çalınan bir oturum, kısa ömürlü oturumlar ve bir şüphe anında bütün oturumların kapatılmasıyla değerini yitirir. Barış'ın parola değişikliği, oturumlar kapatılmadan eksik kalmıştı.

İş ile kişisel olanı ayırmak gerekir. İş parolalarının kişisel cihazlara eşitlenmesi, iş sistemlerine kişisel cihazlardan bağlanılması ve aynı parolanın iş ve kişisel hesaplarda kullanılması, bir kişisel bulaşmayı bir kurumsal ihlale dönüştürür.

Parolaları tarayıcıda değil, ana parolası ve ikinci adımı olan bir parola yöneticisinde tutmak, bir bulaşmada çalınabilecek olanı azaltır.

Bir bulaşma fark edildiğinde, yalnız cihazı temizlemek yetmez. O cihazda kullanılmış her hesabın, başka bir temiz cihazdan, parolası değiştirilir ve oturumları kapatılır; e-posta hesabı önce gelir.

Tespit tarafında, hesap hizmetlerinin "yeni bir yerden giriş" bildirimleri, bilgi çalan yazılımın en sık fark edilen izidir. Barış'ın hesabındaki bildirim, eksik kalan temizliği gösterdi.

Uygulama

Kendi tarayıcılarında ve hesaplarında, bir bilgi çalan yazılımın alabileceği şeyleri azaltacaksın.

Bitirdiğinde, tarayıcıdaki kayıtlı parola sayısının başlangıçtaki ve şimdiki hâlini yaz.

Defter: Tarayıcılardaki kayıtlı parola sayısı ve yapılan değişiklik, eşitleme hesaplarının ayrılması, üç hesabın etkin oturum listesinin yeri ve kapatılan oturumlar, açılan giriş bildirimleri, şüphe anında yapılacaklar listesi.

Hata köşesi

Etik ve sınırlar

Tuş kaydedici ve casus yazılım, bir başkasının cihazına, onun bilgisi olmadan kurulduğunda, ister bir yabancı ister bir yakın tarafından kurulsun, ciddi bir mahremiyet ihlali ve suçtur; Modül 10'da takip yazılımında gördüğümüz gibi, yakın ilişkilerdeki gizli izleme de bunun içindedir. Bir kurumun kendi cihazlarını güvenlik amacıyla izlemesi ise ancak açık bir politika ile, çalışanlara bildirilerek ve ölçülü biçimde yapılır; kişisel yazışmaları okumak için bir gerekçe değildir. Çalıntı kimlik bilgisi kayıtlarının satıldığı pazarlara "kendi bilgim var mı" diye bakmak için girmek ya da bu kayıtları satın almak, o pazarı besler ve yasal risk taşır; kendi kimlik bilgilerinin sızıp sızmadığını, güvenilir sızıntı bildirim hizmetleri ya da parola yöneticilerinin sızıntı denetimiyle öğrenmek yeterlidir. Ece'nin Barış'a yardımı da Barış'ın açık izniyle ve Barış klavyenin başındayken yapıldı; Barış'ın hesaplarına onun yerine girmedi.

Kapanış

1. Bilgi çalan yazılım sessizce parolaları, çerezleri, oturumları ve başka hassas bilgileri toplayıp dışarı gönderir; bu bilgiler satılır ve yıllar sonra bile bir kuruma girmek için kullanılabilir.
2. Tuş kaydedici yazılanı, bilgi çalan yazılım kayıtlı olanı alır; ikisine karşı da ortak savunma, çalınan bilginin tek başına yetmemesidir: fiziksel bir anahtar ve kapatılabilen oturumlar.
3. Bir bulaşmadan sonra temiz bir cihazdan bütün parolalar değiştirilir ve bütün oturumlar kapatılır; iş ile kişisel cihazlar ve eşitlemeler ayrılır, parolalar tarayıcı yerine parola yöneticisinde tutulur.

Üç soru

1. Barış parolasını değiştirdiği hâlde hesabına neden yeniden girilebildi?
2. Gülay Hanım yükleniciler için neden yeni bir bağlantı kuralı koydu?
3. Selin'in şirketinde iş parolaları evdeki bilgisayarlara nasıl taşınıyordu ve bu neden tehlikeliydi?

Yanıtlar

1. Bilgi çalan yazılım parolaların yanında tarayıcıdaki oturum bilgilerini ve çerezleri de toplayabilir. Parola değişmiş olsa da saldırganın elindeki geçerli bir oturum bilgisi, hesaba yeni parolayı bilmeden girmeye bir süre daha yetebilir. Barış bütün oturumlardan çıkış yapmadığı için bu kapı açık kalmıştı.
2. M-Trends, bir kampanyada kullanılan kimlik bilgilerinin oyun ve korsan yazılım için de kullanılan yüklenici bilgisayarlarından çalındığını yazıyordu. Şirkete kişisel ve hakkında hiçbir şey bilinmeyen bilgisayarlardan bağlanılıyordu. Yeni kural, bağlantıyı yönetilen ya da cihaz durumu denetiminden geçen cihazlarla sınırladı ve yüklenicilere sınırlı yetkili hesaplar ile donanım anahtarları verdi.
3. Geliştiriciler iş tarayıcılarında kişisel hesaplarıyla oturum açmış ve parola eşitlemesini açık bırakmıştı; iş parolaları böylece evdeki kişisel bilgisayarlara da gidiyordu. O bilgisayarlardan biri bulaşırsa iş parolaları da çalınırdı. M-Trends tarayıcı eşitlemesinin kurum parolalarını kişisel cihazlara taşıyabileceği konusunda tam bu yüzden uyarır.

Sonraki derse köprü

Bilgi çalan yazılım bir cihazdan bilgi toplar ve sahibine gönderir. Botnet dersi bir adım daha ileri gidiyor: ele geçirilen binlerce cihazın, sahiplerinin haberi olmadan, tek bir merkezden yönetilen bir ağa nasıl dönüştüğüne ve bu ağların ne için kullanıldığına bakıyor.