Sosyal Mühendislik (Giriş)
Sosyal Mühendislik Araçlarını Keşfetmek
Özet: Bu vaka çalışması, sosyal mühendisliğin en yaygın ve zararlı/tehlikeli yöntemlerini bulmayı amaçlamaktadır. Dünyanın birçok bölgesinde, birçok bilgisayar korsanı tutuklandı. Bu muhtemelen ülkemizin sosyal mühendisliğinin ne olduğu ve ne gibi tehditler oluşturduğu konusunda yeterince bilgi sahibi olmamasından kaynaklanmaktadır. Ayrıca, sosyal mühendislik saldırılarını gerçekleştirmek için kullanılan Metasploit adlı bir yazılımın piyasaya sürülmesini de içerir.
[*]GİRİŞ[*]
Günümüzde köklü teknolojik değişimlerin bir sonucu olarak suçlar artık geleneksel şekilde işlenmemekte, ancak siber hayatta da işlenebilmektedir. Siber suç, herhangi bir ülkenin işleyebileceği en büyük suçlardan biridir. Sosyal mühendislik de siber suç olarak kabul edilebilir, ancak farklı bir yaklaşım kullanır. Bir kişinin doğal eğilimini manipüle etmek, değerli bir sisteme yasa dışı erişimi içeren bir eylem veya eylemin gerçekleştirilmesidir ve kimlik avı, hedef odaklı kimlik avı(spear phishing), pharming, istenmeyen e-posta, aldatma veya sadece manipülasyonun kendisi gibi çeşitli şekillerde gerçekleştirilebilir.
Sosyal mühendisler bir değer sistemine yanıt vermeden önce uygun şekilde hazırlanmalıdır, aksi takdirde operasyonları başarısız olur. İlk olarak, hedefleri hakkında bilgi toplamaları gerekir. Bu şekilde, hedeflerinde belirli zayıflıklar bulabilirler. Bir kaçış yolu bulduklarında, saldırıyı gerçekleştirmek için ona yeterince yakın olmanın bir yolunu bulmaları gerekir. Bu genellikle hedefinize ulaşarak ve ilişkiler kurarak yapılır. Sosyal mühendis hedefe eriştiğinde, bundan faydalanması ve tereddüt etmeden kaçması çok uzun sürmeyecektir.
Sosyal mühendislik iki farklı kategoriye ayrılabilir: teknoloji tabanlı (veya teknik) aldatma ve insan (veya teknik olmayan) aldatmaca. Teknoloji tabanlı bir dolandırıcılıkta, sosyal mühendis, kullanıcıyı "gerçek" bir uygulamayla etkileşime girdiklerini düşünmeleri için kandırmaya ve bilgisayar korsanının hedeflerine erişmesine izin veren hassas bilgileri ifşa etmeleri için kandırmaya çalışır. İnsanlar, kurbanın kendi davranışsal zayıflıklarını sömürmesi ve sömürmesi dışında, teknik süreç tarafından başka hiçbir şekilde aldatılmaz, bu da insanların herhangi bir siber güvenlik ortamındaki en zayıf zincir olduğunu söylediği yazılım sorununu gündeme getirir.
[*]SORUN[*]
Sosyal mühendislik, bilgisayar korsanlarının bir bireyden büyük bir şirkete kadar değişebilen hassas bilgileri toplamak için kullandıkları bir siber suç biçimidir. Bu bilgiyi bir kez ele geçirdiklerinde, sosyal mühendisler bunu hedeflerine şantaj yapmak için kullanacaklar ya da her zaman kendi amaçları için kullanabilirler.
Bunu göz önünde bulundurarak, herkes sosyal mühendisliğin potansiyel bir kurbanı olabilir ve şirketler, güvenlik önlemleri ne kadar güçlü olursa olsun, çok savunmasızdır, bu nedenle, insanların/işçilerin herhangi bir güvenlik zincirindeki en zayıf halka olduğunu belirten "ıslak yazılım sorunu", çünkü makineler, makinelerin aksine, Sizden isteniyorsa önyargılı olun. Bu nedenle, yapmaları gereken şeyi, daha fazla ve daha az değil, manipüle etmek insanlardan daha zordur.
Sosyal mühendisliğin iki kategorisi olduğu, teknik yaklaşım ve teknik olmayan yaklaşım olduğu daha önce belirtilmişti. Teknik yaklaşıma odaklanarak, insanlar çevrimiçi gördükleri her şeye kolayca inanma eğilimindedir ve sosyal mühendisler bunu hassas bilgiler elde etmek için kullanabilir.
Tüm şirketler, ciddi zararlara neden olabilecek hassas bilgileri ifşa etmemeleri konusunda uyarılar alır, ancak insanlar kimlik avı siteleri, sahte hikayeler, yemler vb. gibi çevrimiçi dolandırıcılıklar tarafından aldatılmaya devam ettiği için.
[*]SONUÇLAR VE TARTIŞMALAR[*]
Şekil 1 ISACA Siber Güvenlik Özeti, Ocak 2016, Küresel Veriler (Alıntıdır)
Sosyal mühendisliğin giderek daha fazla kötüye gitmesi şaşırtıcı değil. Diyelim ki her 10 kişiden 6 ila 7'si sosyal mühendislik yöntemlerine karşı hassas, sosyal mühendisler insanları kolayca manipüle edebileceklerini biliyorlar, özellikle de tasarlandıkları hakkında hiçbir fikirleri yoksa. İşin iyi yanı, sosyal mühendislik saldırıları gerçekleştiren çevrimiçi olarak indirilebilen bir araç seti olmasıdır.
(Alıntıdır)
Bu bir Metasploit projesi Siber güvenlik Proje Bilgileri Güvenlik açığı ve yardım Sızma testi ve IDS Şirketi Gelişme. Metasploit için bazı arayüzler mevcuttur. Rapid7 ve Strategic Cyber LLC en popüler olanları elinde tutuyor, ancak burada sadece bir ilginç arayüz var ve bu Metasploit Pro. Bu arayüz, sosyal mühendislik kampanyaları, web uygulaması testi, gelişmiş Pro konsolu, virüsleri önlemek için dinamik yük, geçici güvenlik açığı taraması için Nexpose ile entegrasyon ve VPN pivotu oluşturma ve/veya yönetme yeteneği sağlar.
Sosyal Mühendislik Araç Seti (SET) başka bir araç setidir. Istifa İnsan unsuruna karşı gelişmiş saldırılar gerçekleştirmek için özel olarak tasarlanmıştır. SET'in ile birlikte piyasaya sürülmesi amaçlanmıştır. http://www.social-engineer.org Serbest bırakıldı ve hızlı bir şekilde penetrasyon test cihazlarının cephaneliğinde standart bir araç haline geldi. David Kennedy (ReL1K) tarafından yazılan SET, büyük bir kamuoyu desteğiyle, bir dizi istismar aracına eşi görülmemiş bir saldırıdır. Toolbox saldırıları, bir kişiyi veya kuruluşu hedef alan ve sızma testi sırasında kullanılan saldırılardır.
SET, bilgisayar korsanlığı araçları söz konusu olduğunda oldukça benzersiz olan menü tabanlı bir saldırı sistemidir. Komut satırı kullanmama kararı, sosyal mühendislik saldırılarının ortaya çıkma şekli nedeniyle alındı. Farklı senaryolar seçenekler ve ayarlamalar gerektirir. Araç satır öğelerine dayanıyorsa, saldırıların etkinliğini ve bunları hedefinize göre tam olarak özelleştirememe durumunu gerçekten sınırlayacaktır.
(Alıntıdır)
HEDEF ODAKLI KIMLIK AVI(SPEAR PHİSİNG) SALDIRISI ÖRNEĞI:
Bu rakamlar, bir hedef odaklı kimlik avı(spear phising) saldırısının bir SET'e nasıl entegre edildiğini gösterir. İşin özüne girmeden önce, sosyal mühendislik ekibini çalıştırmak için Linux işletim sistemi ve komutları, çeşitli yük/istismar türleri ve Windows işletim sisteminin olası güvenlik açıkları hakkında bazı temel bilgileri bilmeniz gerekir.
Şekil 2 – EETS ana arayüzü (Alıntıdır)
Bir hedef odaklı kimlik avı(spear phishing) saldırısının nasıl gerçekleştirileceğine bakacağız. Bu terminolojiye aşina olmayanlarınız için, büyük bir "ağa" sahip bir kimlik avı saldırısı, birden fazla kurbanı rastgele yakalamayı amaçlayan bir e-posta saldırısıdır. Hedef odaklı kimlik avı(spear phishing) saldırısı, bir veya daha fazla kişiyi hedef alması dışında benzerdir. Başka bir deyişle, hedefli bir sosyal mühendislik saldırısıdır, bu yüzden onu başlatır. Şimdi menüden 1 numarayı seçelim ve oltalama saldırımıza başlayalım. Bunu yaptığımızda karşımıza aşağıdaki ekran çıkıyor.
Şekil 3 – Adım 2(Alıntıdır)
Dosya biçimi ekini seçin. "2" yazın ve Enter'a basın. Bize ne tür bir çiftlik kullanmak istediğimizi soruyorlar. .exe için varsayılan PDF'nin gömülü olduğunu unutmayın. Bu hack'te, Microsoft Word RTF veya MS10_087 saldırısının parçalarını kullanacağız.
Şekil 4 – Adım 3(Alıntıdır)
Bu, bir arabelleğin ötesine geçer ve kurbanın bilgisayarına bir dinleyici veya rootkit yerleştirmemize izin veren bir Word belgesi oluşturur. 4 yazın ve Enter'a basın. Artık saldırımız için kullanmak istediğimiz dosya türüne karar verdiğimize göre, bir sonraki adım kurbanın sistemindeki dinleyici/yük türüne (dinleyici/yük, ele geçirme sisteminde bıraktığımız koddur) karar vermektir. Bunlar, bir Metasploit yükü oldukları için Metasploit kullananlarınıza tanıdık gelebilir.
Şekil 5 – Adım 4(Alıntıdır)
5 rakamını yazıp Enter'a bastıktan sonra duymak istediğimiz portu seçmeliyiz (varsayılan olarak 443). Bundan sonra SET bizim için kötü amaçlı dosyamızı oluşturmaya devam ediyor. Bu bir template.rtf dosyasıdır.
Şekil 6 - Adım 6(Alıntıdır)
Kurbanı dosyayı açması için kandırmak istiyorsak, ona çekici veya tanıdık bir ad vermemiz gerekir. Eh, kurbana göre değişir, ancak bizim durumumuzda büyük bir şirketin yöneticisini kazığa oturtmaya çalışıyoruz, bu yüzden buna satış raporu diyelim, temelde e-postalarında bekledikleri bir şey.
Şekil 7 – Adım 6(Alıntıdır)
Kötü amaçlı dosya oluşturulduktan sonra, şimdi e-postayı oluşturmamız gerekiyor. Bu önemli. Kurbanın dosyayı açabilmesi için e-postanın meşru olması gerekir. SET bize standart bir e-posta mı yoksa tek kullanımlık bir e-posta şablonu mu kullanmak istediğimizi soruyor. Yaratıcı olalım ve tek kullanımlık bir e-posta seçelim. SET daha sonra e-postanın içeriğini isteyecektir. Bu durumda satış raporunu kullandım. Ardından, SET bize HTML olarak mı yoksa düz metin olarak mı göndermek istediğimizi soruyor. Daha ilgi çekici ve meşru hale getirmek için HTML'yi seçtim. Son olarak, SET bizden e-postanın gövdesini yazmamızı isteyecek ve işimiz bittiğinde Ctrl+C yazacağız.
Şekil 8 - Adım 7(Alıntıdır)
Bu yapıldıktan sonra, SET bize bir Gmail hesabı kullanmak mı yoksa SMTP sunucumuzdan adres göndermek mi istediğimizi soracaktır. Çoğu durumda, bir Gmail hesabı kullanmak isteriz. Adresinizi girin (bunun için anonim bir e-posta hesabı oluşturabilirsiniz) ve bir şifre ve SET, bu Gmail hesabından kötü amaçlı ekle oluşturduğunuz e-postayı size gönderecektir.
[*]SONUÇ VE ÖNERİ[*]
Metasploit gibi bir araçla, sosyal mühendislik saldırıları kolaydır. Metasploit, daha doğru bir şekilde kötü amaçlı yazılım olarak bilinen kötü amaçlı yazılım kategorisine girdiğinden, iyi bir antivirüse ihtiyacımız var. Bitdefender, Kaspersky, Malwarebytes ve diğerleri gibi kullanabileceğiniz iyi antivirüs programları vardır. Ancak, bazı virüsten koruma programları bu tür saldırıları tespit edemedi. McAfee forumunda, McAfee Antivirus'ün saldırıyı kasıtlı olarak düşünmediğini söyleyen bir yazı var. McAfee dışında, diğer birçok virüsten koruma programı sisteminizdeki yükü algılayamadı, bu nedenle kullanmayı planladığınız virüsten koruma programının bu kötü amaçlı dosyaları algılayıp kaldırabildiğinden emin olmanız gerekir.
Sisteminizi korumanın iyi bilinen başka bir yolu daha vardır, bu da işletim sisteminize ve tarayıcılar, belge okuyucular, medya oynatıcılar, Java ve Adobe Flash gibi eklentiler gibi yazılımlarınıza güvenlik güncellemeleri yüklemektir. Bu, sistem sürekliliği riskini azaltır.
Sisteminizi yamalamak ve virüsten koruma yazılımınızı güncellemek, mükemmel bir çözüm olmasa da riski azaltmaya yardımcı olur, ancak "derin korumanın" bir parçasıdır.
Başka bir öneri de güçlü bir güvenlik duvarıdır. Güvenlik duvarları, giden ve gelen ağ trafiğini denetleyen cihazlardır. Bilgisayar korsanlarının her yerde olduğunu hepimiz biliyoruz, bu nedenle önemli mesajlarımızı, yalnızca yetkili kişinin mesajı okuyabileceği bir şifreleme işlemiyle şifreleyerek onlardan korumamız gerekiyor ve şifrelenmiş veya dönüştürülmüş mesaja artık şifreli metin deniyor. Ek olarak, NIDS (Ağ İstilalı Tespit Sistemi), kullanıcıyı veya yöneticiyi saldırı hakkında bilgilendirdiği için gereklidir.
Tüm kullanıcılar ayrıca e-posta açılışlarının farkında olmalıdır. Örneğimizde, hedef odaklı kimlik avı(spear phising) kullandığımızı görebilirsiniz, bu nedenle dikkatli olun veya bilinmeyen gönderenle e-postaları açmayın. Saldırının tetiklenmesine/yayılmasına yol açacak daha fazla bilgi almak için üzerlerine tıklamanızı isteyen e-postalar var. Ayrıca, kişisel bilgilerinizi girmenizi gerektiren bağlantılara yanıt vermeyin. Bu, bir saldırganın bilgilerinizi kullanmasının bir yoludur. Mümkünse, meşru bir e-posta olduğundan emin olmak için açmadan önce bunu gönderen kişiyle kişisel olarak onaylayın.
Bu önleyici tedbirde daha ileri gitmenin bir başka yolu da şirkette yaptırımları teşvik etmek/uygulamaktır. Kuruluşunuzun ilkesinin, hassas bir dosyayı açmadan önce gönderenle iletişim kurmanız gerektiğini, çünkü bunların bir yüke sahip kötü amaçlı dosyalar olamayacağını belirttiğini varsayalım. Kişi açılır ve şikayetler tespit edilirse, şirketin çalışana dersini öğrenmesi için para cezası veya ceza vermesi gerekir.
Bir şirketin bilgisayarlarını ve sistemlerini nasıl kullandığı ve koruduğu kritik öneme sahiptir. Hiçbir şey tamamen kesin değildir ve rakibinizin kim olduğuna bağlıdır. Bilgisayarlarınızı ve sistemlerinizi profesyonel olmayan saldırganlardan koruyorsanız, bu önleyici tedbirler yardımcı olacaktır. Sınırsız para, teknik ekipman ve zaman anlamına gelen sıfırıncı gün gibi tanımlanamayan güvenlik açıklarına sahip devlet kurumlarından kaçınmaya çalışıyorsanız, buna karşı savunma yapmak imkansızdır.
(Alıntıdır)
Saygı ve Sevgilerimle,
‘Halaskâr
[/MEDIA]
Son düzenleme:
