2016 yılında Shadow Brokers adında bir hacker grubu, NSA tarafından kullanıldığı iddia edilen bazı araçları yayınladı. Bu araçların arasında birçok işletim sistemine ait sıfırıncı gün (zero day) açıklarından faydalanan bazı "faydalı" programlar vardı. Söylenene göre NSA, bu araçların kendilerine ait olduğun yalanlamadı. NSA'in bu araçları kullanarak dünyadaki bütün bilgisayarlar, mobil cihazlar ve hatta televizyonlara girebildiği, hedeflediği kişileri izleyebildiği ve bilgi topladığı iddia edildi.
Yayınlanan araçların içinde dikkat çeken bir araç olan EternalBlue, SMBv1 protokolündeki bir açıktan faydalanıyordu. 2017 yılında bu açığı kullanarak WannaCry kötücül (malicious) yazılımı dünya çapında yüzbinlerce bilgisayara bulaştı. Dosyalar şifrelendi, sistemler çalışmaz hale geldi. Şifrelenen verilerin tekrar ulaşılabilir olması için fidye ödenmesi istendi. Bazıları fidye öderken diğerleri verilerini kaybetti. Bankacılık, sağlık ve ulaşım sektöründe büyüklar yaşandı. Sonrasında NotPetya adındaki bir kötücül yazılım da EternalBlue'yu kullandı. Sonradan bu araçların NSA tarafından orta doğudaki bankacılık sistemleri üzerinde kullandığına dair bazı bilgiler yayınlandı [7].
İlginçtir, Microsoft NSA'i sözkonusu sıfırıncı gün açıklarını 5 yıldır kullandığı ve bildirmediği için suçladı. Ya da biz öyle anladık. Sonrasında bu açıklar yayınlanan bazı yamalarla kapatıldı [8]. O günlerden sonra SMBv1 kullanımı önerilmedi. Ama olanlar olmuştu.
O dönemde Shadow Brokers'ın yayınladığı araçlardan bazıları:
- EternalBlue: SMB protokolündeki bir zafiyeti hedef alan bir araç
- EternalChampion: SMB protokolünde EternalBlue'dan farklı bir zafiyeti hedef alan bir araç
- EternalRomance: Bu da SMBv1 protokolündeki bir zafiyeti hedef alan bir araç
- EternalSynergy: Çok ilginç, bu da SMB protokolündeki bir açığı kullanıyor
- DoublePulsar: Sistemlerde arka kapı oluşturmaya yarayan bir araç
- ExplodingCan: IIS'i hedef alan bir araç
- EnglishmanDentist: Microsoft Exchange Server'ı hedef alan bir araç
- EsteemAudit: Eski Windows sürümlerindeki RDP protokolünü hedef alan bir araç
- EducatedScholar: Oracle veritabanı sunucularını hedef alan bir araç
- ErraticGopher: Belirli Windows sürümlerindeki Telnet protokolünü hedef alan bir araç
Mart 2017 gibi Wikileaks'te Vault 7 adında bu sefer CIA'e ait olduğu iddia edilen başka diğer araçlar (Weeping Angel, Marble Framework gibi) yayınlandı. Bu araçları daha sonra başkaca siber hareketlerin bir parçası olarak görmedik, şükür.
---
[1] https://news.slashdot.org/story/16/10/20/1926222/prosecutors-say-contractor-stole-50-terabytes-of-nsa-data
[2] https://money.cnn.com/2017/04/14/technology/windows-exploits-shadow-brokers/index.html
[3] https://www.wired.com/2016/08/shadow-brokers-mess-happens-nsa-hoards-zero-days/
[4] https://www.wired.com/story/eternalblue-leaked-nsa-spy-tool-hacked-world/
[5] https://yro.slashdot.org/story/17/04/17/1416228/microsoft-says-previous-windows-patches-fixed-newly-leaked-nsa-exploits
[6] https://www.wired.com/2017/05/ransomware-meltdown-experts-warned/
[7] https://www.wired.com/2017/04/major-leak-suggests-nsa-deep-middle-east-banking-system/
[8] https://www.trendmicro.com/vinfo/us/security/news/vulnerabilities-and-exploits/shadow-brokers-leaks-hacking-tools-what-it-means-for-enterprises
Hiç yorum yok:
Yorum Gönder