Bazı Zararlı Yazılımların Tek İsteği Dünyanın Yanışını İzlemek

Kaspersky Lab’ın araştırma kolu direktörü Costin Raiu’nun açıklamasını özetlemek gerekirse, zararlı dosyaların büyük kısmı, crimeware olarak adlandırılan, siber suçlular tarafından erişim bilgileri, verileri, kaynakları veya direkt para çalmak için kazanç amacıyla bilgisayarlara yüklenen programlardan oluşuyor. İkinci sık görülen zararlı yazılım kategorisi ise siber-casusluk amaçlı olarak özel tasarlanan ve genellikle gelişmiş tehdit aktörleri tarafından kamu kurumlarını, kurumsal şirketleri veya zengin kişileri hedef alarak kullanılanlardır. Üçüncü ve çok daha küçük bir kategori ise yıkıcı zararlı yazılımlardan oluşur ve zaman zaman silici olarak adlandırılır.

Siliciler ilk ortaya çıktığında doğası gereği tamamen yok ediciydi. Doksanların sonlarına doğru Internet veri saklamak için bugün olduğu gibi yaygın kullanılan bir depolama alanı değildi. Buna ek olarak, organize suçlular için finansal veriler, o zamanlarda kolay erişilebilir değildi. Bu nedenle, ilk hackerlar modern fidye yazılımlarına benzer şekilde sabit diskleri kriptolayan veya makinadaki verilleri başka şekillerde bozan yazılımlar tasarlardı. Bu truva atları ile tasarlayanlar arasında eğlenceli bir oyun vardı. Hatta bildiğim kadarıyla ilk zararlı yazılım yazarları için harekete geçiren konu para değildi.

Yıkıcı, silici türdeki yazılımlar hiç bir zaman yok olmamıştı. Ancak sözde ülkeler arası ve ülkeler ile kurumlar arası saldırıların bu karanlık çağında bir heyecanla yeniden hayat kazandılar.

Son üç yılda, Securelist‘deki arkadaşlarımız en az beş tane silici türünde saldırı incelediler.

İlki, Wiper adındaydı. Wiper çok etkindi ve virüs bulaştığı düşünülen binlerce İran bilgisayarından kendisini bile temizledi. Bu nedenle kimse Wiper zararlı yazılımının örneklerini inceleme imkanı bulamadı. Diğer yok edici yazılımlar ile karşılaştırıldığında bu thedit bu tehdit daha alışışmadık gözüküyordu. Wiper çok miktarda rastgele seçilmiş makinayı hedef alıyordu. Wiper’ın çok önemli olmasının sebebi ise, onu kim ve ne amaçla dizayn ettiyse daha sonraki zararlı yazılımlar için bir ilham kaynağı olmasıydı.

Shamoon da aslında gizemli Wiper zararlı yazılımının soyundan geliyor. Bu yıkıcı soy, ağlar üzerinde kendine yollar bularak belki de dünyanın en değerli şirketi ve kesinlikle en büyük petrol üreticisi olan Suudi Aramco’ya ulaştı. Shomoon 2012 yılının Ağustos ayında Suudi Arap Petrol Şİrketinde hızlı bir çalışma ile 30.000’den fazla kurumsal iş istasyonunu çalışmaz hale getirdi. Bazıları bu zararlı yazılımın İran tarafından geldiğini hatta bir hacker grubunun saldırıyı üstlendiği gibi iddalarda bulundu. Shamoon daha önce Wiper’ın yaptığı gibi kendisini silme konusunda başarılı olamadı. Araştırmacılar Shamoon’u incelemeye başladıklarında, yazılımın basit ama etkin yöntemler kullanarak saldırı düzenlediğini farkettiler.

Ardından Narilam geldi. Bu yazılım özellikle İran’da kullanılan bazı finansal uygulamaların veritabanlarını hedef aldığı gözlemlendi. Narilam diğerlerinden biraz daha farklıydı ve yavaş hareket ediyordu. Daha uzun vadeli bir sabotaj için tasarlanmıştı. Kaspersky Lab, Narilam’ın bir kaç değişik sürümünü ortaya çıkardı. Bazılarının tarihi 2008 yılına kadar geri gidiyordu. Narilam ve onun gibi yavaş hareket eden tehditler, uzun vadede çok daha yıkıcı etkilere sebep olabilirler.

Ayrıca birde Groovemonitor (diğer adıyla Maya) zararlı yazılımı vardı. İran’ın bilgisayar acil durum karşılık benzeri ekibi Maher’i ilk kez 2012 yılında raporladı. Bu oldukça basit bir tehditti. Kurbanların makinelerine bir neşter edasıyla yaklaşmak yerine bir polis copu gibi saldırıyordu. Groovemonitor iki tarih arasındaki bir periyoda önceden ayarlanmıştı. Bu tarihler arasında tüm makinaların D sürücüsündeki tüm dosyaları silmeye çalıştı. En yeni tehdit olan Dark Seoul, Küzey Kore’nin Seul şehrindeki pek çok banka ve yayın kuruluşunu hedef alan koordine bir saldırı gerçekleştirmek için kullanıldı. Bu saldırının diğerlerinden farklıydı çünkü İran veya Suudi Arabistan gibi körfez ülkeleri hedef alınmamıştı. Ayrıca saldırganlar el altından bir sabotaj yerine bariz bir şekilde kendilerini ortaya çıkarmaktan çekinmediler.

Raiu Securelist raporunda,”Bir tuşa basarak veya fareye tıklayarak onbinlerce bilgisayarı silmek, tüm siber ordular için bir güç gösterisidir. Bu saldırı bir ülkenin altyapısına düzenlendiğinde gerçek hayatta çok daha yıkıcı sonuçlar ortaya çıkarabilir.” diye belirtiyor.

“En iyisi silicilerin üçüncü derecede kalması, böylece ne siz ne de ben onlarla ilgili bir endişe duymak zorunda kalmam. Netice olarak, Internet kullanıcılarının endüstriyel kontrol sistemlerini (enerji ağlarını, üretimi kontrol eden donanım ve yazılımları vs. ) veya yönetim kontrol ve ve işleme sistemlerini silebilecek zararlı yazılım parçalarına karşı su ve enerji kaynaklarını korumalarını sağlayacak bir bütün bir set bulunmuyor. Bu tehditler özel olarak uzman güvenlik şirketleri, kritik altyapı yüklencileri ve en önemlisi devlet kurumları tarafından izlenerek hafifletilmeli” diyor Costin Raiu.

İyi haber şu ki – en azından ABD ve onun yakın müttefikleri için – ABD Kongresi yakında popüler, parti bağımsız özel sektör destekli 2013 Ulusal Sibergüvenlik ve Kritik Altyapı Koruması Antlaşmasını oylayacak. Bu yasa tasarısı hükümet ve kritik altyapıları yöneten şirketler arasında tehdit paylaşımını geliştirmek için tasarlandı. Benzer çalışmalar ve yönetmelikler dünyanın diğer bazı ülkelerinde de sürüyor.