Microsoft, Rootkit İçeren Bir Sürücüyü Dijital Olarak İmzaladı
Birtakım güvenlik şirketleri ve dış araştırmacılar, Microsoft tarafından imzalanan bir şoförün şifrelenmiş ilişkileri korsanların denetimi altında olan sunucuya yönlendirdiğini açıkladı. Üstelik bu ilişkilerin şifresini de çözen şoförün Rootkit olduğu belirlendi. Microsoft, Rootkit entegre edilmiş sürücüyü sertifikalandırarak önemli ölçüde güvenlik zafiyeti oluşturmuş durumda. Çünkü berbat emelli bu yazılım, rastgele bir güvenlik uyarısı ile karşılaşılmadan kullanıcıların bilgisayarına yüklenebiliyor.
Microsoft, yaklaşık 13 yıldır kararlılığı ve güvenliği sağlamak maksadıyla işletim sistemlerinin çekirdeğinde çalışan üçüncü taraf şoförleri ve öbür kod bütünlerini test edip imzalandıktan sonra kullanıma açıyordu. Çekirdek düzeyinde çalışmaya gereksinim duyan yazılımlar, dijital halde sertifikalandırılmadan kullanıcıların bilgisayarlarına katiyen yüklenemiyor. Buradaki kilit nokta Microsoft’un yazılımları yanlışsız ölçütlerle inceleyip inançlı olup olmadıklarını tescil etmesi.
Yeni ortaya çıkan bu olaya geri dönecek olursak; Haziran ayının başında güvenlik şirketi G Data’da araştırmacı olan Karsten Hahn, şirketin makus hedefli yazılım tespit sisteminin Netfilter isimli bir sürücüyü işaretlediğini fark etti. Microsoft, Windows Donanım Uyumluluk Programı kapsamında Netfilter isimli sürücüyü doğruladığı için Karsten Hahn, birinci başta makûs maksatlı yazılım tespit sisteminin yaptığı bu algılamayı yanlışlı varsaydı. Lakin daha sonra gerçekleştirilen kapsamlı testlerde tespitin yanlış olmadığı anlaşıldı. Grup, öbür araştırmacıların da bu bahse dahil olmasıyla birlikte Netfilter’in bilgisayarlarda ne süreç yaptığını incelemeye başladı.
Aksine Mühendislik alanında çalışmalarını sürdüren Johann Aydınbas, Twitter’da Netfilter’in SSL irtibatlarını gizlice izlediğini ve IP adreslerini tekrar yönlendirme bileşenini kullandığını belirtti. Ayrıyeten Windows Kayıt Defteri kök müsaadesine sahip sertifika yüklediği de ortaya çıktı ki en tehlikeli kısım da burası. Zira kayıt defterine yüklenen kök sertifikası şifrelenmiş site irtibatları çözebiliyor.
Rootkit; evrak dizinlerinde, misyon izleyicilerinde ve öteki standart işletim sistemi fonksiyonlarında görüntülenmesini önleyecek biçimde yazılmış berbat maksatlı bir yazılım olarak karşımıza çıkıyor. Bu yazılımı başkalarından ayıran en kıymetli özelliği ise işletim sistemi üzerinde çok yüksek erişim hakkıyla çalışması. Olayda yer alan Rootkit ise internet üzerindeki sitelere bağlanırken Transfer Katmanı Güvenliği (TLS) olarak bilinen şifrelenmiş protokolü atlatmak için kök sertifikalarını direkt olarak Windows’un kendisine yüklüyor. Sitelere bağlanırken aktarılan dataların şifrelenmesi bu biçimde kaldırılmış oluyor ve kullanıcının ulaşmak istediği TLS trafiği berbat maksatlı bir sunucu adresine yönlendirilebiliyor. Haliyle kullanıcının hangi sitelere girdiği ve bu sitelerden hangi bilgileri indirip yüklediği sunucuda depolanıyor. Art planda olanların farkına varmak da hayli sıkıntı.
Şirketin geçen Cuma günü yayınladığı kısa bir gönderide, “Microsoft, oyun ortamlarında makus niyetli şoförler dağıtan bir aktörü araştırıyor. Kişi, bahsedilen sürücüyü Windows Donanım Uyumluluk Programı aracılığıyla dijital imza için ilgili ünitemize gönderdi. Bu şoför üçüncü şahıs tarafından kodlanmış. Kişinin sürücüyü bize gönderdiği hesabı askıya aldık ve makus gayeli yazılım hakkında geri bildirimleri inceledik.”
Microsoft ayrıyeten Netfilter’ın tanımlama bilgilerini Windows Defender’ın Antivirus motoruna eklediğini ve bunun yanında öbür Antivirus sağlayıcılarına da tanımlama bilgilerini gönderdiğini belirtti. Netfilter’ın şu basamakta yalnızca Çin’deki oyun topluluklarında yayıldığı ve kurumsal manada sorun olmadığı da açıklananlar ortasında. Lakin şirket, bu şoförün Windows Donanım Uyumluluk Programı’ndan nasıl geçtiği ve nasıl imzalandığı hakkında henüz bir bilgi paylaşmadı. Mevzuyla alakalı niyetlerinizi yorumlarda belirtmeyi unutmayın.
Kaynak: Technopat