Pegasus, Chrysaor ve diğer APT mobil kötü amaçlı yazılımlardan korunma

2021’in muhtemelen en büyük haberi olan, Guardian ve diğer 16 medya kuruluşu tarafından Temmuz ayında yayınlanan bir araştırma, dünya çapında 30.000’den fazla insan hakları aktivistinin, gazetecinin ve avukatın Pegasus tarafından hedef alındığını öne sürdü. Pegasus, İsrailli şirket NSO tarafından geliştirilen sözde “yasal bir gözetim yazılımı”. Pegasus Projesi adlı raporda, kötü amaçlı yazılımı yaygın şekilde dağıtmak için bazı iOS sıfır tıklamalı sıfır günleri de dahil olmak üzere çeşitli güvenlik açıklarından yararlanıldığı iddia edildi.

Uluslararası Af Örgütü’nün Güvenlik Laboratuvarı, sayısız mobil cihazın adli analizine dayanarak yazılımın defalarca gözetleme amacıyla kötüye kullanıldığını ortaya koydu. Hedeflenen kişilerin listesi, 14 dünya liderinin yanı sıra birçok aktivisti, insan hakları savunucusunu, karşıt görüşlü kişileri ve muhalefette yer alan isimleri içeriyor.

Temmuz ayı içerisinde, İsrail hükümetinden temsilciler, iddialarla ilgili soruşturmanın bir parçası olarak NSO ofislerini ziyaret etti. Ekim ayında, Hindistan Yüksek Mahkemesi, vatandaşlarına casusluk yapmak amacıyla Pegasus kullanımını araştırmak için bir teknik komite görevlendirdi. Apple, Kasım ayında, kullanıcılarını “kötü amaçlı ve casus yazılımlar” kullanarak hedef alan yazılımlar geliştirdiği için NSO Group’a karşı yasal işlem başlattığını duyurdu. Son olarak, Aralık ayında Reuters, Apple’ın da uyardığı gibi, ABD Dışişleri Bakanlığı telefonlarının NSO Pegasus kötü amaçlı yazılımıyla hacklendiğini yayınladı.

Geçtiğimiz birkaç ay boyunca, dünyanın dört bir yanındaki ilgili kullanıcılardan mobil cihazlarını Pegasus ve benzeri araçlardan ve kötü amaçlı yazılımlardan nasıl koruyabileceklerine dair çok sayıda soru aldım. Bu yazıda, hiçbir savunma tekniği listesinin asla tam olarak her şeyi kapsayamayacağını da not düşerek, bu soruları yanıtlamaya çalışıyoruz. Saldırganlar çalışma şekillerini değiştirdikçe, koruma tekniklerinin de yeni yöntemlere uyarlanması gerektiği de unutulmamalı.

Pegasus ve diğer gelişmiş mobil casus yazılımlardan nasıl korunabilirsiniz?

Her şeyden önce, Pegasus’un ulus devletlere nispeten yüksek fiyatlarla satılan bir araç takımı olduğunu söyleyerek başlamalıyız. Tam bir dağıtımın maliyeti kolaylıkla milyonlarca USD’yi bulabilir. Benzer şekilde, sıfır tıklamalı sıfır gün açıklarından yararlanılarak başka kötü amaçlı APT mobil yazılımlar da dağıtılabilir. Bunlar son derece pahalıdır. Örneğin, bir kötüye kullanım aracı kurumu olan Zerodium, kalıcı bir Android sıfır tıklamalı bulaşma zinciri için 2,5 milyon USD’ye kadar ödeme yapıyor:

Kalıcı güvenlik açıkları Zerodium’un fiyat listesinde 2,5 milyon USD’ye kadar çıkıyor

Buradan, daha en baştan, önemli bir sonuç çıkıyor: Ulus devlet destekli siber casusluk, istediğini alabilecek bir girişim. Bir tehdit aktörü, saldırı programlarına milyonlarca, belki de on milyonlarca, hatta yüz milyonlarca USD harcamayı göze alabiliyorsa, hedefin virüs bulaşmasından kaçınabilmesi pek de olası değil. Daha basit ifade etmek gerekirse, eğer böyle bir aktör tarafından hedef alınıyorsanız esas mesele virüs bulaşıp bulaşmayacağı değil, ne kadar zamanda ve ne kadar kaynak kullanılarak bulaşacağı.

Gelelim iyi habere: Kötüye kullanım geliştirme ve saldırıya dayalı siber savaş, genellikle kesin bir bilim olmaktan ziyade bir sanattır. Belirli işletim sistemi sürümlerine ve donanımlara göre ince ayarlamalara ihtiyaç duyan kötüye kullanımlar; yeni işletim sistemi sürümleri, yeni risk azaltma teknikleri, hatta rastgele olaylar gibi ufak şeyler tarafından kolayca engellenebilir.

Buna ek olarak, bulaşma ve hedefleme aynı zamanda bir maliyet sorunudur; bu da saldırganlar için işleri daha da zorlaştırır. Mobil cihaza virüs bulaştırma ve kötüye kullanma girişimlerinin başarılı olmasını her zaman engelleyemesek de, bunu saldırganlar için mümkün olduğunca zorlaştırmaya çalışabiliriz.

Peki, bunu pratikte nasıl yaparız? İşte size basit bir kontrol listesi:

iOS’ta gelişmiş casus yazılımlardan nasıl korunabilirsiniz?

Her gün yeniden başlatın. Uluslararası Af Örgütü ve Citizen Lab’in araştırmasına göre, Pegasus bulaşma zinciri genellikle kalıcı olmayan sıfır tıklamalı sıfır günlere dayanıyor. Bu nedenle düzenli olarak yeniden başlatmak, cihazı temizlemeye yardımcı olacaktır. Cihaz her gün yeniden başlatılırsa saldırganların cihaza tekrar tekrar virüs bulaştırması gerekir. Zamanla bu tespit şansını artırır; bir çökme meydana gelebilir veya bulaşmanın gizli yapısını açığa çıkaran kalıntılar kaydedilebilir. Bu yalnızca teoriden ibaret değil; pratikte de bir mobil cihazın sıfır tıklama yoluyla hedef alındığı bir durumu analiz ettik (muhtemelen FORCEDENTRY). Cihaz sahibi, saldırıyı takip eden 24 saat içinde cihazını düzenli olarak yeniden başlattı. Saldırganlar bu kişiyi birkaç kez daha hedeflemeye çalışsalar da, yeniden başlatmalar yoluyla birkaç kez geri püskürtüldükten sonra sonunda pes ettiler.

NoReboot: Sistemde yer edinmek için telefonun sahte şekilde yeniden başlatılması

iMessage’ı devre dışı bırakın. iMessage, iOS’ta yerleşiktir ve varsayılan olarak etkindir; bu da onu çekici bir kötüye kullanım vektörü haline getirir. Varsayılan olarak etkin olduğundan, sıfır tıklamalı zincirler için en çok tercih edilen dağıtım mekanizmasıdır ve kötüye kullanım aracı kurumları tarafından iMessage kötüye kullanımları için çok yüksek paralar ödenir. Zerodium’un kurucusu Chaouki Bekrar 2019’da WIRED’a şöyle yazmıştı: “Son birkaç aydır geliştirilen ve dünya çapında araştırmacılar tarafından satılan iOS kötüye kullanımlarının, çoğunlukla da Safari ve iMessage zincirlerinin sayısında bir artış gözlemliyoruz. Sıfır gün pazarında o kadar fazla iOS kötüye kullanımı var ki, son zamanlarda bazılarını geri çevirmeye başladık.” iMessage’sız hayatın bazıları için çok zor olabileceğinin farkındayız (bunun hakkında daha fazla ayrıntıya birazdan gireceğiz), ancak tehdit modelinizde Pegasus ve diğer üst düzey APT mobil kötü amaçlı yazılımlar varsa bu ödünü vermenize değer.

Facetime’ı devre dışı bırakın. Yukarıdakiyle aynı tavsiye.

Mobil cihazı güncel tutun; en son iOS yamalarını çıkar çıkmaz yükleyin. Herkes sıfır tıklamalı sıfır gün saldırılarının maliyetini karşılayamaz. Aslına bakarsanız, karşılaştığımız iOS kötüye kullanım kitlerinin birçoğu halihazırda yamalanmış olan güvenlik açıklarını hedefliyor. Ne var ki pek çok kişi ya eski telefon kullanıyor ya da çeşitli nedenlerle güncellemeleri erteliyor. (En azından bazı) ulus devlet hackerlarının önüne geçmek istiyorsanız, güncellemelerinizi en kısa sürede yapın ve yamalarınızı yüklemek için yeni emojilerin çıkmasını beklemeyin.

Mesajlardaki bağlantılara asla tıklamayın. Basit ama çok etkili bir tavsiye. Pegasus’un bütün müşterileri milyonlarca dolara sıfır tıklamalı sıfır gün zincirler satın alamadığı için, içlerinden bazıları bir tıklamalı kötüye kullanımlara yöneliyor. Kimi zaman SMS mesajı biçiminde gelen bu saldırılar, kimi zaman da diğer mesajlaşma programları, hatta e-posta yoluyla da gerçekleştirilebiliyor. Bir bağlantı içeren ilginç bir SMS (veya başka bir mesajlaşma uygulamasından gelen bir mesaj) alırsanız bunu bir masaüstü bilgisayarda, tercihen TOR Tarayıcı kullanarak ya da daha da iyisi, Tails gibi kalıcı olmayan güvenli bir işletim sistemi kullanarak açın.

Bir siyasi aktivisti hedef almak amacıyla kullanılan kötü amaçlı bir bağlantı içeren SMS Kaynak: Citizen Lab

İnternette Safari veya Chrome yerine Firefox Focus gibi alternatif bir tarayıcıyla gezinin.  iOS’taki hemen hemen tüm tarayıcılar aynı motoru, yani Webkit’i kullansa da, kötüye kullanımların bazıları (LightRighter / TwoSailJunk APT örnekleri) bazı alternatif tarayıcılarda iyi çalışmaz:

LightRiver kötüye kullanım kiti, kullanıcı aracısı dizesinde “Safari” olup olmadığını kontrol eder

iOS’ta Safari, Chrome ve Firefox Focus tarayıcılarından kullanıcı aracısı dizeleri:

• Safari: Mozilla/5.0 (iPhone; CPU iPhone OS 15_1, Mac OS X gibi) AppleWebKit/605.1.15 (KHTML, Gecko gibi) Sürüm/15.1 Mobil/15E148 <strong style=”color:red;”>Safari</strong>/604.1
• Chrome: Mozilla/5.0 (iPhone; CPU iPhone OS 15_1, Mac OS X gibi) AppleWebKit/605.1.15 (KHTML, Gecko gibi) CriOS/96.0.4664.53 Mobil/15E148 <strong style=”color:red;”>Safari</strong>/604.1
• Firefox Focus: Mozilla/5.0 (iPhone; CPU iPhone OS 15_1, Mac OS X gibi) AppleWebKit/605.1.15 (KHTML, Gecko gibi) FxiOS/39 Mobil/15E148 Sürüm/15.0

Daima trafiğinizi maskeleyen bir VPN kullanın. Bazı kötüye kullanımlar, HTTP sitelerinde gezinirken veya DNS ele geçirme yoluyla, GSM operatörü MitM saldırılarıyla gerçekleştirilir. Trafiği maskelemek için bir VPN kullanmak, GSM operatörünüzün sizi doğrudan internet üzerinden hedeflemesini zorlaştırır. Saldırganların, örneğin dolaşım sırasında, veri akışınızı kontrol etmesi durumunda da hedefleme sürecini karmaşık hale getirir. Lütfen tüm VPN’lerin aynı olmadığını ve hepsinin kullanıma uygun olmadığını unutmayın. Birinci önceliğiniz anonimlikse, bir VPN aboneliği satın alırken göz önünde bulundurabileceğiniz, belirli bir VPN sağlayıcısını kayırmayan önerilerimiz şunlar:

• Satın almak derken gerçekten satın almayı kastediyoruz: “Ücretsiz” VPN kullanmayın.
• Kripto para birimleriyle ödeme kabul eden servisleri tercih edin.
• Herhangi bir kayıt bilgisi vermenizi gerektirmeyen servisleri tercih edin.
• VPN uygulamalarından kaçınmaya çalışın. Bunun yerine OpenVPN, WireGuard ve VPN profilleri gibi açık kaynaklı araçları kullanın.
• Yeni VPN servislerinden kaçının ve bir süredir var olan yerleşik hizmetleri tercih edin.

Cihazda jailbreak yapılıp yapılmadığını kontrol eden ve yapıldıysa uyaran bir güvenlik uygulaması yükleyin. Defalarca engellenmekten bıkan saldırganlar, sonunda bir kalıcılık mekanizması kurmak isteyecek ve bu süreçte cihazınıza jailbreak yapacaklar. Onları yakalama şansı bu noktada on kat artar; cihazda jailbreak yapıldığını tespit ederek bundan yararlanabiliriz.

Ayda bir iTunes yedeklemesi yapın. Bu sayede, Uluslararası Af Örgütü’nün olağanüstü MVT paketini kullanarak sonrasında bulaşmaları teşhis edebilir ve bulabiliriz (bu konuya birazdan daha detaylı şekilde gireceğiz).

Sistem tanılarını sık sık tetikleyin ve bunları harici yedeklemelere kaydedin. Adli bilişim kalıntıları, hedef alınıp alınmadığınızı ilerleyen zamanlarda belirlemenize yardımcı olabilir. Sistem tanılarının nasıl tetikleneceği telefon modeline bağlıdır: Örneğin, bazı iPhone’larda bu, Ses Açma + Ses Kısma + Açma Kapama tuşlarına aynı anda basarak yapılır. Telefon titreyene kadar birkaç kez denemeniz gerekebilir. Sistem tanısı oluşturulduktan sonra, tanılamalar içinde görünür:

iOS’un Analiz ve İyileştirmeler menüsünde sistem tanıları

Android’de gelişmiş casus yazılımlardan nasıl korunabilirsiniz?

Android kullanıcıları için benzer bir liste (ayrıntılar ve gerekçelendirmeler için yukarıdaki iOS listesine bakın):

• Her gün yeniden başlatın. En son Android sürümlerinde kalıcılık zordur, birçok APT ve kötüye kullanım satıcısı kalıcılıktan kaçınır!
• Telefonu güncel tutun; en son çıkan yamaları yükleyin.
• Metin mesajlarındaki bağlantılara asla tıklamayın.
• İnternette gezinmek için varsayılan Chrome yerine Firefox Focus gibi alternatif bir tarayıcı kullanın.
• Daima trafiğinizi maskeleyen bir VPN kullanın. Bazı kötüye kullanımlar, HTTP sitelerinde gezinirken veya DNS ele geçirme yoluyla, GSM operatörü MitM saldırılarıyla gerçekleştirilir.
• Kötü amaçlı yazılımları tarayan, cihazda root yapılıp yapılmadığını kontrol eden ve yapıldıysa uyaran bir güvenlik paketi yükleyin.

Hem iOS hem de Android için daha sofistike bir öneri vermek gerekirse, daima canlı IoC’ler kullanarak ağ trafiğinizi kontrol edin. Kötü amaçlı şeyleri filtrelemek ve tüm trafiği sonradan incelenmek üzere kayıt altına almak için pi-hole kullanan, sizin kontrolünüzdeki bir sunucuya, sürekli açık bir Wireguard VPN yüklemek, iyi bir kurulum tercihi olabilir.

iMessage olmadan nasıl idare edeceksiniz?

Geçenlerde arkadaşım Ryan Naraine konuşuyordum. “iMessage ve FaceTime, insanların iPhone kullanmasının en büyük nedeni!” dedi ve kesinlikle haklıydı. Ben de 2008’den beri iPhone kullanıcısıyım ve Apple’ın bu ekosisteme yaptığı en büyük katkılardan ikisinin iMessage ve FaceTime olduğunu düşünüyorum. Bunların aynı zamanda ulus devletlerin telefonunuzu gözetlemek için en çok kötüye kullandığı özellikler olduğunu fark edince, iMessage hapishanesinden kaçmaya çalıştım. En zoru ne miydi? Diğer aile üyelerinin de kullanmayı bırakmasını sağlamak. Kulağa şaşırtıcı gelse de, tüm bu güvenlik macerasındaki en zor şeylerden biri buydu.

iMessage’sız hayat yeşil ve emojisiz

İlk başta herkesi Telegram’a geçirmeye çalıştım. Pek iyi gitmedi. Ardından, Signal giderek daha iyi hale geldi; görüntülü arama ve grup araması özelliklerini ekledi. Zamanla daha fazla arkadaşım Signal kullanmaya başladı. Bu yenilikler ailemin de hoşuna gitti ve işe yaradı. Sizin de aynı şeyi yapmanız gerektiğini söylemiyorum. Belki de iMessage kullanmaya devam ederek mutlu ve kötü amaçlı yazılımlardan arınmış bir şekilde yaşamayı sürdürebilirsiniz. Aslına bakılırsa Apple, iOS 14’te BlastDoor ile iMessage çevresindeki korumalı alanı büyük ölçüde geliştirdi. Öte yandan, NSO’nun Pegasus’u yaymak için kullandığı FORCEDENTRY kötüye kullanımı, BlastDoor’u atlatmayı başardı. Ayrıca, elbette hiçbir güvenlik özelliği asla %100 hack geçirmez değil.

Bu durumda her iki yaklaşımın da avantajlarından faydalanmanın bir yolu olup olmadığını merak edebilirsiniz. Ben de dahil olmak üzere bazı kişiler birden fazla telefon kullanıyor: Biri iMessage’ın devre dışı bırakıldığı bir telefon, diğeri ise iMessage’ın etkinleştirildiği bir “bal küpü” (tuzak) iPhone. Her ikisi de aynı Apple kimliği ve telefon numarasıyla ilişkilendiriliyor. Birileri beni bu şekilde hedef almaya karar verirse bal küpü iPhone’u hacklemeleri çok daha olası.

Pegasus ve diğer gelişmiş mobil kötü amaçlı yazılımlar nasıl tespit edilir?

Pegasus ve diğer gelişmiş mobil kötü amaçlı yazılımların bulaşma izlerini tespit etmek, iOS ve Android gibi modern işletim sistemlerinin güvenlik özellikleri nedeniyle çok zor ve karmaşık. Gözlemlerimize dayanarak, yeniden başlatmanın ardından neredeyse hiç iz bırakmayan, kalıcı olmayan kötü amaçlı yazılımların kullanılması, bu durumu daha da karmaşık hale getiriyor. Birçok adli bilişim çerçevesi cihazda jailbreak yapılmasını gerektirdiği, bunun için de cihaz yeniden başlatıldığı için, yeniden başlatma sırasında kötü amaçlı yazılım bellekten kaldırılmış oluyor.

Şu anda Pegasus ve diğer mobil kötü amaçlı yazılımların tespiti için kullanılabilen çeşitli yöntemler var. Uluslararası Af Örgütü’nün ücretsiz, açık kaynaklı MVT (Mobil Doğrulama Araç Seti) programı, teknoloji uzmanlarının ve araştırmacıların cep telefonlarını bulaşma belirtileri açısından incelemesine olanak tanıyor. MVT, yüksek profilli vakalardan toplanan ve Uluslararası Af Örgütü tarafından kullanıma sunulan bir IoC (risk göstergesi) listesiyle daha da güçlendiriliyor.

Pegasus bulaşırsa ne yapmalısınız?

Diyelim ki tüm bu önerileri dikkatle uyguladınız ama yine de kaçamadınız. Ne yazık ki günümüzde yaşadığımız gerçek bu. Acınızı anlıyorum, gerçekten. Hiç de kötü biri olmayabilirsiniz; aksine, iyilerden biri olduğunuza eminim. Belki güçlü insanların aleyhinde konuştunuz veya belirli siyasi figürlerin şüpheli bir kararına karşı bazı protestolara katıldınız. Belki de sadece şifreleme yazılımı kullandınız ya da yanlış zamanda yanlış yerde bulundunuz. İyi tarafından bakın: Virüs bulaştığını biliyorsunuz, çünkü kalıntılar ve bilgiler sayesinde bunu belirleyebildiniz. Şunları düşünün:

• Sizi kim, neden hedef aldı? Büyük adamların dikkatini çekmenize sebep olan şeyin ne olduğunu bulmaya çalışın. Bu, gelecekte daha gizli davranarak kaçınabileceğiniz bir şey mi?
• Bunu birilerine anlatabilir misiniz? Eninde sonunda birçok gözetleme şirketini çökerten şey, haklarında çıkan olumsuz haberler oldu. Kötüye kullanımlar hakkında haber yapan ve yazılar yazan muhabirler ve gazeteciler, yalanları, yanlışları ve tüm kötülükleri ifşa ediyor. Hedef alındıysanız bir gazeteciye başınıza gelenleri anlatmayı deneyin.
• Cihazınızı değiştirin: iOS kullanıyorsanız bir süre Android’e geçmeyi deneyin. Android kullanıyorsanız iOS’a geçin. Bu, saldırganların kafasını bir süreliğine karıştırabilir; örneğin, bazı tehdit aktörlerinin yalnızca belirli bir telefon ve işletim sistemi markası üzerinde çalışan kötüye kullanım sistemleri satın aldığı biliniyor.
• Güvenli iletişim için tercihen GrapheneOS çalıştıran ikincil bir cihaz edinin. Bu cihazda ön ödemeli bir kart kullanın veya yalnızca uçak modundayken Wi-Fi ve TOR ile internete bağlanın.
• Kişilerinize telefon numaranızı vermeniz gereken mesajlaşma programlarından kaçının. Bir saldırgan telefon numaranızı ele geçirdiğinde, sizi bu yolla birçok farklı mesajlaşma programı üzerinden kolayca hedefleyebilir. iMessage, WhatsApp, Signal, Telegram gibi programların hepsi telefon numaranıza bağlıdır. Bu noktada Session ilginç ve yeni bir tercih olabilir. Session, mesajlarınızı Onion tarzı bir ağ üzerinden yönlendirir ve telefon numarasına ihtiyaç duymaz.
• Bölgenizdeki bir güvenlik araştırmacısıyla iletişime geçmeye çalışın ve en iyi uygulamaları sürekli olarak tartışın. Tuhaf bir şey olduğunu düşündüğünüzde, kalıntıları, şüpheli mesajları veya günlükleri paylaşın. Güvenlik hiçbir zaman %100 etkili tek bir anlık çözümle sağlanmaz. Güvenliği akan bir nehir gibi düşünün: Hızınıza, akıntınıza ve engellere göre yelkeninizi ayarlamanız gerekiyor.

Yazıya son verirken sizi biraz düşündürmek istiyorum. Ulus devletler tarafından hedef alınıyorsanız önemlisiniz demektir. Unutmayın: Önemli olmak iyi olsa da, iyi olmak daha önemlidir. Tek başımıza zayıfız, birlikte güçlüyüz. Dünya raydan çıkmış olabilir, ama hala bir şeyleri değiştirebileceğimize inanıyorum. Kâr amacı gütmeyen Gazetecileri Koruma Komitesi’nin (CPJ) bir raporuna göre, 2021’de 293 gazeteci tutuklandı. Bu, 1992’de bu sayıyı takip etmeye başlayan CPJ’in şimdiye kadar bildirdiği en yüksek sayı. Dünyanın 10 yıl sonra ya da çocuklarımız için, hatta çocuklarımızın çocukları için nasıl bir yer olacağını şekillendirmek bizim elimizde.

Güç, siz insanlarda. Makine yaratma gücü de. Mutluluk yaratma gücü de! Siz, insanlar, bu hayatı özgür ve güzel kılacak, bu hayatı harika bir maceraya dönüştürecek güce sahipsiniz.

O halde, demokrasi adına, bu gücü kullanalım. Hepimiz birleşelim. Yeni bir dünya için savaşalım. İnsanlara çalışma şansı verecek, gençlere bir gelecek, yaşlılara ise bir güvence sunacak iyi bir dünya için. Zalimler bunları vadederek iktidara geldi. Ama yalan söylüyorlar! Bu sözü yerine getirmiyorlar. Hiçbir zaman da getirmeyecekler!

Diktatörler kendilerini özgürleştirirken halkı köleleştiriyor! Şimdi bu sözü yerine getirmek için savaşalım! Ulusal engelleri ortadan kaldırarak, açgözlülüğü, nefreti ve hoşgörüsüzlüğü ortadan kaldırarak, dünyayı özgürleştirmek için savaşalım. Mantığın hüküm sürdüğü bir dünya için, bilim ve ilerlemenin tüm insanlara mutluluk getirdiği bir dünya için savaşalım. Askerler! Demokrasi adına hepimiz birleşelim!

Büyük Diktatör’deki final konuşması

Bu gönderi ilk olarak Dark Reading’de bir yazı dizisi olarak yayınlandı (1. Bölüm, 2. Bölüm).