PrintNightmare: Kritik Windows Zafiyeti

Windows üzerinde aktif olarak gelen Print Spooler servisinde kritik bir zafiyet keşfedildi.

Zafiyet, PrintNightmare (CVE-2021-1675) olarak adlandırıldı. Microsoft düşük öncelikli olarak belirttiği zafiyet için 8 Haziran'da yama yayınladı, fakat zafiyetin uzaktan kod çalıştırmaya (RCE) imkân sağladığı potansiyelinden dolayı, kritik olarak güncelledi.

Yayınlanan yamanın bazı Windows sistemlerinde (Windows Server 2019) etkisi olmadığı gözlemlendi.  PrintNightmare zafiyeti dışarıdan bir saldırganın SYSTEM üzerinde komut çalıştırabileceğini gösterdi. Ayrıca Domain Controller gibi kurumun önemli sistemlerini hedef alıyor, Domain Controller üzerinde yetkiyi ele geçiren saldırgan, domain üzerinde tam yetki ile birçok noktaya erişim sağlayıp, veri değiştirme, kod çalıştırma vs. imkânı sağlamaktadır.

PrintNightmare zafiyeti için yayımlanan istismar kodu neredeyse tüm Windows sistemlerini etkiliyor. Etkilenen sistemler;  Windows Server (2004, 2008, 2008 R2, 2012, 2012 R2, 2016, 2019, 20H2) ve Windows (7, 8.1, RT 8.1, 10).

Geçtiğimiz yıl da Microsoft'un Print Spooler servisinde, PrintDemon  (CVE-2020-1048)  isimli bir zafiyet tespit edilmiş, bu zafiyetin sistemde herhangi bir yere rastgele veri yazdırılmasına sebep oluyordu ve yaması yayınlanmıştı.

Çözüm;

Maalesef henüz tam anlamıyla zafiyeti engelleyebilecek bir yama yayınlanmamıştır. Bunun için Print Spooler servisinin kapatılması veya kaldırılması önerilmektedir.  

Komut satırından servisi durdurmak için;

• CMD servisini yönetici olarak çalıştırın.
• Komut satırında; net stop spooler yazarak, servisi durdurun.
• Tekrar başlatmak istediğinizde net start spooler komutu ile başlatabilirsiniz.

TeamViewer Bilgisayarınızın Kapılarını Hackerlara Açıyor.

Uzak masa üstü paylaşımı için kullanılan TeamViewer uygulamasında, Gellin adlı GitHub kullanıcısı tarafından yeni bir açık bulundu.

Teamviewer'in bellek alanına müdahale edilerek yetki değişimi sonrasında, bağlanan ve bağlanılan tarafın yer değiştirebilmesi gibi kritik bir zafiyete izin veren açık, sadece Windows kullanıcıları için değil, macOS ve Linux kullanıcıları için de tehlike saçıyor.

Gellin, TeamViewer x86, 13.0.5058 sürümünde test edilen kod ile alakalı bir de görsel yayınlayarak bulduğu açıkla sisteme nasıl girilebildiğini gösterdi.

TeamViewer, 3-7 gün arasında sorunu düzeltmeye yönelik tüm kullanıcılarına bir güncelleme göndereceğini, otomatik güncellemeleri kapalı konumda olan kullanıcılar için de güncellemenin kullanılabirliği hakkında bir bilgilendirme yapacağınıı  açıkladı.

Siber Fidye Saldırıları Devam Ediyor: Petya

Bir anda hızla tüm dünyaya yayılarak kamu ve özel sektöründelki internet ağını çökerterek büyük zarara uğratan WannaCry virüsünün ardından şimdi de Petya virüsü çıktı.

Cryptolocker türevi olan Petya virüsü bildiğimiz fidye virüslerinden biraz daha farklı ve tehlikeli. Fidye virüsleri bilgisayarlarda bulunan dosyaları şifreliyor ama işletim sisteminin çalışmasına herhangi bir şekilde engel olmuyordu ancak Petya’da durum biraz daha farklı. Harddisk’in ilk bölüm sektörü MBR (Master Boot Record)’ye bulaşan virüs, dosyaları şifrelemenin dışında işletim sistemine olan erişimi de engelliyor.

Mail trafiğinin oldukça fazla olmasından dolayı şirketlerin insan kaynakları departmanını hedefleyen Petya, gelen mailin içerisinde bulut depolama servisi olan Dropbox linklerine sahip. CV ve fotoğrafın yer aldığı mail ekinin indirilmesi ile sisteme bulaşan Petya virüsü, bugüne kadar görülen en tehlikeli ransomware’lerden birisi.

Mart ayından beri var olan Petya virüsünün değiştirilmiş bir varyantının şuanda yayıldığı görülüyor ve önümüzdeki günlerde daha farklı şekilleri ile karşımıza çıkabileceğini göstermiş oldu.

Alınacak Önlemler

• Petya ve benzeri fidye virüslerine karşı korunmak için Windows işletim sistemlerinde MS17-010 yamasının uygulandığından kesinlikle emin olun.

• SMBv1’i devre dışı bırakıp, UDP port 137 ve 138, TCP port 139 ve 445 numaralı bağlantı noktalarına dışarıdan erişimi engelleyin.

• Ağ içerisinde aynı yönetici parolalarının kullanılmamasına dikkat edin.

• Kaynağından emin olmadığınız ve sizinle alakası olmayan mail eklerini kesinlikle açmayın. 

• Bilgisayarınızda yer alan antivirüs programlarının açık ve güncel olduğundan kesinlikle emin olun.

• E-posta’larınızı virüs koruma ile taratmayı unutmayın.

Soru ve görüşlerinizi yorum bölümünden bildirebilir, siber güvenlik ile alakalı dünya üzerinde gerçekleşen önemli olayları derleyerek sizlerle paylaştığımız haftalık bültenimize aşağıdaki linke tıklayarak üye olabilirsiniz.

https://www.isr.com.tr/bulten/

Fireball 250 Milyondan Fazla Bilgisayarı Esir Aldı

Güvenlik araştırmacıları, hem Windows hem de Mac OS işletim sistemlerinde görülen yeni bir malware keşfetti. Yapılan araştırmalara göre, dünya üzerinde 250 milyondan fazla bilgisayarı zombi bilgisayar haline getiren Fireball isimli malware, web tarayıcıları kontrol ederek veri sızdırma ve casusluk yapmak amacıyla kullanılıyor.

Bulaştığı bilgisayarda herhangi bir kodu çalıştırma özelliğine sahip olan Fireball,  kullanıcıların kimlik bilgilerini çalmaktan, cihazlarına başka zararlı yazılım indirmeye ve arama motorlarını sahte arama motorlarına dönüştürerek web trafiğini kontrol edip reklam geliri elde etmek için manipüle etmeye kadar bir çok zarar veriyor.

Bundling yolu ile yayılmaya devam eden Fireball, dünya genelinde en çok Hindistan (25 milyon), Brezilya (24.1 milyon), Meksika (16.1 milyon), Endonezya(13.1 milyon) ve Amerika’da (5.5 milyon) görüldü.

250 milyondan fazla bilgisayarı zombi bilgisayar haline getiren Fireball, kurumsal ağlara da bulaşmış durumda. Birleşik Krallık kurumsal ağlarının %9.3’ü, Almanya kurumsal ağlarının % 9.75’i, Fransa kurumsal ağlarının ise %18’i Fireball zararlısı ile tehdit altında. 

Siber olayların dünya üzerinde artmasıyla ülkemizde de bu konu ile alakalı önlem ve tedbirler alınmasını zorunlu kılan BTK, tüzel veya kişisel farketmeksizin önlem almayıp zombi bilgisayar olarak saldırıya katılan her bilgisayar için 1000 ile 1.000.000 TL arasında ceza keseceğini açıklamıştı.

Soru ve görüşlerinizi yorum bölümünden bildirebilir, siber güvenlik ile alakalı dünya üzerinde gerçekleşen önemli olayları derleyerek sizlerle paylaştığımız haftalık bültenimize aşağıdaki linke tıklayarak üye olabilirsiniz.

https://www.isr.com.tr/bulten/

Mirai Botnet, Windows ile Yayılıyor

Botnet, uzaktan kontrol edilen birçok yazılım ajanınından oluşan, biz farkında olmadan bilgisayarımızın arka planında çalışan, saldırı amaçlı kodlanmış bir yazılım uygulamasıdır. Bilgisayarlarımıza bulaşan bu zararlı ile sistemlerin kontrolüne girerek birer Zombi oluyoruz.

Botnet’ler, spam e-postalar göndermek, virüsleri yaymak, bilgisayar ve sunuculara saldırmak , internet üzerinden suç işlemek  ve sahtekarlık maksadıyla yaygın olarak kullanılır. 

17 Ağustos 2016 tarihinde, 671 sayılı Kanun Hükmünde Kararname ile TİB kapatılmış ve BTK (Bİlgi Teknolojileri ve İletişim Kurumu) siber güvenlik konusunda geniş yetkilerle donatılmıştı.

Siber savaşların artması üzerine, Ocak ayında BTK tarafından yayınlanan yeni bir düzenleme hayata geçirildi. Buna göre BTK, sistemleri siber güvenlik konusunda açık verenlere ve gereken önlemleri almayanlara bin ile bir milyon Tl arasında ceza uygulayacak.

Geçtiğimiz Ekim ayında Twitter, Etsy, Netflix, Spotify, PayPal, Amazon gibi online platformları ulaşılamaz hale getirerek dünya genelinde birçok noktada internet problemi yaşanmasına sebep olan ve yaptığı saldırıda IoT (nesnelerin interneti) platformunu da kullanan Mirai Botnet, Windows’a sıçradı.

Trojan.Mirai.1 adı verilen Truva atı; DDoS ataklarında kullanılmak için değil, dünya genelinde en çok kullanılan işletim sistemi olan Windows ile kısa sürede daha çok bilgisayara ulaşmak için yaratıldı.

Rus antivirüs şirketi Doctor Web, antivirüsler tarafından henüz tanınmayan virüsün imzalarını diğer antivirüs şirketleri ile paylaşacaklarını belirterek, kullanıcıları virüs programlarını mutlaka güncel tutmaları ve bilmedikleri yerlerden gelen dosyaları kesinlikle açmamaları konusunda uyardı. 

Hacker’lar öncelikle cihazların varsayılan kullanıcı adı ve parolaları ile giriş yapmayı denerler. Bu yüzden IP kamera, router, modem gibi cihazların varsayılan kullanıcı isim ve şifrelerini değiştirmek, güvenlik açısından çok önemlidir. Değiştirilmeyen bu şifreler, hacker’lar için adeta birer açık kapı durumundadır ve evinizdeki her korunmasız cihaz, diğerlerine ulaşmak için bir basamaktır. Nesnelerin interneti, şu an sanal dünyanın en zayıf halkası konumunda. İş yerimizde ve evlerimizde kullandığımız internet bağlantısı olan tüm cihazlarımızın güvenliğine çok dikkat etmeliyiz.