Rootkit’ler: sizden saklanan kötü amaçlı yazılımlar

Kötü amaçlı yazılımların çoğu bir şey yapmak ister: çalmak, şifrelemek, gözetlemek. Bir rootkit ise bu olurken görülmemek ister. NIST rootkit’i, bir saldırganın bir makinede root düzeyinde erişim elde ettikten sonra etkinliklerini gizlemek ve gizli yollarla ayrıcalıklı erişimini sürdürmek için kullandığı araçlar kümesi olarak tanımlar. Ad, “root”un her şeye gücü yeten yönetici hesabı olduğu Unix’ten gelir; “kit” ise bir saldırganın bu gücü sessizce korumak için geride bıraktığı değiştirilmiş araçlar paketiydi.

İki görev: kalıcılık ve gizlenme

Bir rootkit genellikle iki yeteneği birleştirir. Kalıcılık, saldırganın erişimini kaybetmemesi için yeniden başlatmalardan ve güncellemelerden sağ çıkmaktır. Gizlenme, dosyaları, süreçleri ve ağ bağlantılarını, onları aramak için kullanacağınız araçların kendisinden saklamaktır. MITRE ATT&CK ikinci numarayı doğrudan anlatır: rootkit’ler, programların, dosyaların, ağ bağlantılarının ve hizmetlerin varlığını, bunları bildiren işletim sistemi çağrılarını yakalayıp değiştirerek gizler. Sisteme “ne çalışıyor?” diye sorduğunuz kısım kurcalanmışsa, cevaptan bazı şeyleri basitçe çıkarabilir.

Ne kadar derinde, o kadar zor bulunur

Genel kural şudur: daha alt ve daha ayrıcalıklı bir düzeyde çalışan kod, üstünde çalışan kodu kandırabilir. Bu yüzden rootkit’ler olabildiğince aşağıyı hedefler ve savunanlar bir bilgisayarın en alt katmanlarını kurcalamaya dayanıklı yapmak için bu kadar çaba harcar.

macOS nasıl karşılık verir

Modern macOS, rootkit’leri eskiden saklandıkları yerlerden mahrum bırakacak şekilde tasarlanmıştır. Apple, Platform Güvenliği kılavuzunda birkaç katmanı belgeler:

• Sistem Bütünlüğü Koruması (SIP), yönetici hesabının bile sistem klasörleri ve sistem süreçleri gibi korunan kısımları değiştirmesini engeller. Apple açık bırakılmasını önerir.
• Sistem birimi mühürlü ve imzalıdır: macOS açılışta sistem dosyalarının Apple’ın gönderdiği hâliyle birebir aynı olduğunu denetler ve değiştirilmiş bir sistemi kullanmayı reddeder.
• Apple silicon’daki (ve T2 çipli Mac’lerdeki) güvenli önyükleme, önyükleme sürecinin her aşamasını çalıştırmadan önce doğrular; böylece işletim sisteminden önce araya kod sızamaz.
• Üçüncü taraf çekirdek uzantıları kısıtlıdır ve açık onay gerektirir; Apple, bunların yaptıklarının çoğunu çekirdeğin dışında çalışan sistem uzantılarına taşıdı.

Bunlar birlikte, klasik bir çekirdek rootkit’inin varsayılan ayarlarla çalışan güncel bir Mac’e kurulmasını çok daha zor hâle getirir. Saldırganların artık kullanıcı düzeyinde kalıp, sistemin mühürlerini kırmayı gerektirmeyen oturum açma öğeleri ve başlatma aracıları gibi kalıcılık numaralarına güvenmesinin nedeni de budur.

Kendiniz kontrol edebileceğiniz kalıcılık

Derin rootkit’leri kurmak zor olduğundan, bugün Mac’lerdeki kalıcılığın çoğu nereye bakacağınızı bilirseniz görünür. macOS, oturum açma öğelerini ve arka plan öğelerini Sistem Ayarları’nda, Genel altında, ardından Oturum Açma Öğeleri ve Uzantılar’da listeler ve yeni bir arka plan öğesi eklendiğinde sizi bilgilendirir. Orada tanımadığınız her şey daha yakından bakmayı hak eder. MITRE ATT&CK de tam bu nedenle başlatma aracılarını ve başlatma arka plan programlarını (launch agent ve launch daemon) macOS’te yaygın kalıcılık teknikleri olarak kataloglar.

Ağ neden hâlâ doğruyu söyler

Bir rootkit aynı makinedeki programlara yalan söyleyebilir, ama yine de genellikle operatörüyle konuşması gerekir. Bu trafiğin ağdan geçmesi gerekir. İşletim sisteminin kendi filtreleme katmanında duran uygulama bazlı bir güvenlik duvarı bağlantıları sistemin işlediği gibi görür; ağdaki bir yönlendirici veya başka bir cihaz ise onları dışarıdan, rootkit’in hiçbir denetiminin olmadığı yerden görür. FireAI’ın ağ filtresi bir Apple sistem uzantısıdır; her bağlantının arkasındaki uygulamayı gösterir ve yeni uygulamalar bağlanmadan önce sorar. Bir rootkit dedektörü değildir ve ele geçirilmiş bir çekirdeğin ötesini göremez; ama kaynağını açıklayamadığınız bir süreçten gelen açıklanamayan trafik, bir şeyin saklandığının klasik işaretlerinden biridir.

Yalnızca bilgisayarlar değil: yönlendiriciler ve diğer cihazlar

Rootkit tarzı yerleşimler dizüstü bilgisayarlarla sınırlı değildir. Ev yönlendiricileri, ağ depolama kutuları ve sürekli açık diğer cihazlar, çoğu zaman nadiren ya da hiç güncellenmeyen kendi küçük işletim sistemleriyle çalışır. Saldırganlar onları tekrar tekrar hedef aldı, çünkü her bağlantının üzerinde dururlar ve pek az kişi onları kontrol eder. Yönlendiricinin ürün yazılımını güncel tutmak, varsayılan yönetici şifresini değiştirmek ve kullanmadığınız uzaktan yönetimi kapatmak en yaygın kapıları kapatır. Bu, trafiğe birden fazla yerden bakmanın neden değerli olduğunu da açıklar: yönlendiricide yaşayan bir sorun, Mac’in hiçbir taramasında ortaya çıkmaz.

Bir rootkit’ten şüpheleniyorsanız

• Sistemin kendi araçlarının doğruyu söylemeyebileceğini varsayın; mümkünse onu dışarıdan inceleyin.
• Sistem Bütünlüğü Koruması’nın açık olduğunu kontrol edin (Apple nasıl yapılacağını belgeler) ve macOS’i güncel tutun.
• Oturum Açma Öğeleri ve Uzantılar’da tanımadığınız kayıtlar olup olmadığına bakın.
• Ciddi bir şüphede güvenilir çözüm, belgelerinizi (uygulamaları veya sistem dosyalarını değil) yedeklemek, Mac’i silmek, macOS’i Apple’dan yeniden kurmak ve yalnızca verilerinizi geri yüklemektir.
• Tehdit hedefliyse, örneğin bir gazeteciye veya aktiviste yönelikse, uzman yardımı alın ve Kilitleme Modu’nu (Lockdown Mode) düşünün.