Togg'dan sonra tamamen yerli imkanlarla doğan 2nci elektrikli modelimiz Amperino, gün sayıyor...

<p></p><div class="separator" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em; text-align: center;"><a href="https://blogger.googleusercontent.com/img/a/AVvXsEgCuIy6OMn5ZDnTy0jWcDfFR4QZjRRZWL0j1nB6T9sS10v0bZxMy9pGKUS6hzh534wHC5U1PjVVAoOsz9P20Tke7AYcZRbK10mD2rIDoGti4QRbGhfICkgbOj3LaEK0ZCg_jpc1BC4PeKM_LcJlxUZ2Q8LsS50CoTy8fshYCLae8Vs7Tb0Gl1yMcSG4a1F6" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img alt="" data-original-height="660" data-original-width="1280" height="165" src="https://blogger.googleusercontent.com/img/a/AVvXsEgCuIy6OMn5ZDnTy0jWcDfFR4QZjRRZWL0j1nB6T9sS10v0bZxMy9pGKUS6hzh534wHC5U1PjVVAoOsz9P20Tke7AYcZRbK10mD2rIDoGti4QRbGhfICkgbOj3LaEK0ZCg_jpc1BC4PeKM_LcJlxUZ2Q8LsS50CoTy8fshYCLae8Vs7Tb0Gl1yMcSG4a1F6" width="320" /></a></div><span style="background-color: white; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em;">SolarWinds, yüzlerce şirkete ağ ve altyapı izleme için System Management araçları ve birçok hizmet sağlayan bir şirket. Ürünlerinin arasında IT performans izleme aracı olan Orion var. IT izleme aracı olarak Orion’ un sistem logları ve performans verisine ulaşma yetkisi var. Bu yetkiler Orion’ u saldırganlar tarafından hedef haline getirmiştir.</span><p></p><div class="sv sw sx sy sz l" style="background-color: white; box-sizing: inherit; color: rgba(0, 0, 0, 0.8); font-family: medium-content-sans-serif-font, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif; margin-bottom: 68px;"><article style="box-sizing: inherit;"><div class="l" style="box-sizing: inherit;"><div class="l" style="box-sizing: inherit;"><section style="box-sizing: inherit;"><div style="box-sizing: inherit;"><div class="er wb wc pj wd" style="box-sizing: inherit; overflow-wrap: break-word; word-break: break-word;"><div class="ab cm" style="box-sizing: inherit; display: flex; justify-content: center;"><div class="gc bg gd ge gf gg" style="box-sizing: inherit; margin: 0px 24px; max-width: 680px; min-width: 0px; width: 680px;"><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="37bb" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">SolarWinds saldırısı, 2020 Aralık’ ta keşfedilen ve APT29 grubu tarafından yapılan komplike bir Tedarik Zinciri saldırısıydı. APT29 özel olarak geliştirilmiş zararlı yazılımı Orion yazılımına enjekte etti ve sonrasında bu enfekte olmuş yazılım normal bir yazılım güncellemesi olarak yayıldı. Ayrıca password spraying, token theft, API abuse, spear phishing gibi birçok saldırı ile yetki yükseltme yaptılar. Amerika, Avrupa, Orta Doğu ve Asya’ da bulunan birçok teknoloji firması hatta Homeland Security, Maliye Bakanlığı gibi devlet daireleri ve Intel, Cisco, Microsoft gibi bilinen özel firmalar da bu saldırıdan etkilenenler arasındaydı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="914b" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">Saldırı ilk olarak FireEye firması tarafından keşfedildi. Firma, müşteri sistemlerindeki anomaliyi gördüklerinde zararlı yazılım tarafından saldırıya uğradıklarını onayladı. Sonrasında Microsoft da aynı şekilde onayladı ancak gazetelere aksi iddia da bulundu. Sonrasında Microsoft, GoDaddy ve FireEye iş birliği içerisinde Orion yazılımının zararlı versiyonları bloke edildi. Backdoor tarafından kullanılan domain’ i etkisiz hale getiren bir anahtar geliştirerek bunu elde ettiler. Bu anahtar SUNBURST zararlısının daha ileri gitmesini engellemeye yönelik çalışmaktadır.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="1021" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">Nisan 2021’ de Amerika ve İngiltere bu saldırıyı Rusya’ nın Dış İstihbarat Servisi’ ne (SVR) atfetti. Kamuya yapılan açıklamalar APT29, CozyBear ve The Dukes grupları ile ilgili alıntılar içeriyordu. Rus hükümeti ise “Bilgi alanındaki kötü niyetli faaliyetler, Rus dış politikasının ilkelerine, ulusal çıkarlara ve devletler arası ilişkiler anlayışına aykırıdır” şeklinde beyanda bulunarak bu atıfları reddetti. Dönemin başkanı Donald Trump ise Çinli bilgisayar korsanları tarafından gerçekleşmiş olabileceğini öne sürdü ama bunu destekleyecek bir kanıt göstermedi. Joe Biden hükümeti ise Rusya’ ya yönelik tam kapsamlı istihbarat çalışmaları ile bu saldırıyı ortaya koyacağını iddia etti. Hatta Ulusal Güvenlik Konseyi’ ne bağlı siber güvenlikten sorumlu Ulusal Güvenlik Danışman Yardımcısı pozisyonu oluşturdu.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="3a74" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">Yapılan raporlamalara göre saldırı gidişatı aşağıdaki gibi olmuştur:</p><ul class="" style="box-sizing: inherit; list-style: none none; margin: 0px; padding: 0px;"><li class="we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc ahx ahy ahz bj" data-selectable-paragraph="" id="d63e" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; list-style-type: disc; margin-bottom: -0.46em; margin-left: 30px; margin-top: 2.14em; padding-left: 0px;">2019 Eylül: Tehdit aktörü SolarWinds sistemine izinsiz giriş sağladı</li><li class="we wf wg wh b wi aia wk wl wm aib wo wp wq aic ws wt wu aid ww wx wy aie xa xb xc ahx ahy ahz bj" data-selectable-paragraph="" id="5dc2" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; list-style-type: disc; margin-bottom: -0.46em; margin-left: 30px; margin-top: 1.14em; padding-left: 0px;">2019 Ekim: Tehdit aktörü Orion’ a kod enjektesi için test yaptı</li><li class="we wf wg wh b wi aia wk wl wm aib wo wp wq aic ws wt wu aid ww wx wy aie xa xb xc ahx ahy ahz bj" data-selectable-paragraph="" id="5d6d" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; list-style-type: disc; margin-bottom: -0.46em; margin-left: 30px; margin-top: 1.14em; padding-left: 0px;">20 Şubat 2020: SUNBURST olarak bilinen zararlı Orion içerisine enjekte edildi</li><li class="we wf wg wh b wi aia wk wl wm aib wo wp wq aic ws wt wu aid ww wx wy aie xa xb xc ahx ahy ahz bj" data-selectable-paragraph="" id="44bd" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; list-style-type: disc; margin-bottom: -0.46em; margin-left: 30px; margin-top: 1.14em; padding-left: 0px;">26 Mart 2020: SolarWinds haberi olmadan zararlı yazılım enjekte edilmiş kodu normal bir yazılım güncellemesi olarak müşterilere iletti.</li></ul><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="131e" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;"><span class="wh la" style="box-sizing: inherit; font-weight: 700;">SALDIRININ ÖNEMİ</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="bee7" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">Tehdit aktörleri Orion yazılımını dünya çapında birçok hükümet sistemine ve binlerce özel sisteme erişim sağlayan bir silaha dönüştürdüğü için SolarWinds tedarik zinciri saldırısı küresel bir saldırıdır. Yazılımın ve buna bağlı olarak Sunburst kötü amaçlı yazılımının tüm ağlara erişime sahip olması nedeniyle, birçok hükümet ve kurumsal ağ ve sistem, önemli ihlal riskiyle karşı karşıyadır.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="a6ce" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">Hack aynı zamanda siber güvenlik sektöründe hızlı ve geniş çaplı bir değişimin katalizörü de olabilir. Pek çok şirket ve devlet kurumu artık bu tür saldırılara gerçekleşmeden önce tepki vermek için yeni yöntemler geliştirme sürecinde. Hükümetler ve kuruluşlar, bir güvenlik duvarı oluşturmanın yeterli olmadığını öğreniyor ve bunun kendilerini korumasını umuyor. Sistemlerindeki zayıf noktaları aktif olarak araştırmalı ve bu tür saldırılara karşı onları ya desteklemeli ya da tuzağa çevirmelidirler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="5a1e" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">Saldırının keşfedilmesinden bu yana SolarWinds, müşterilere mevcut Orion platformlarını güncellemelerini önerdi. Şirket, ilk Orion saldırısından bu yana keşfedilen kötü amaçlı yazılım ve diğer potansiyel güvenlik açıkları için yamalar yayınladı. SolarWinds ayrıca müşterilerin Orion izole SolarWinds sunucularını güncelleyememesini ve/veya bu sunuculara erişimi olan hesapların parolalarını değiştirememesini önerdi.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="7d38" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">Bazı endüstri uzmanları, Beyaz Saray’ın siber güvenliğe daha fazla odaklanılmasının hayati önem taşıyacağını söyledi. Ancak kuruluşlar, izleme ve işbirliği için modern hizmet olarak yazılım araçlarını benimsemeyi düşünmelidir. Siber güvenlik sektörü son on yılda önemli ölçüde ilerleme kaydetmiş olsa da, bu tür saldırılar, gerçekten güvenli sistemlere sahip olmak için hala kat edilmesi gereken uzun bir yol olduğunu gösteriyor.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="56c0" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;"><span class="wh la" style="box-sizing: inherit; font-weight: 700;">MITRE ATT&CK Kullanılan Teknikler</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="ce0d" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">1) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Kaynak Geliştirme (Resource Development)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="a3ef" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1587.001 (Develop Capabilities: Malware): </span>Saldırganlar Orion’ un meşru bir bileşenine zararlı yazılımı gömdü. Bu bileşen SolarWinds.Orion.Core.BusinessLayer.dll isminde bir DLL kütüphanesiydi. FireEye saldırıyı tespit ettikten sonra bu DLL’ nin Backdoor versionuna SUNBURST ismini verdi. SUNBURST sisteme daha önce görülmemiş payloadlar iletiyordu. TEARDROP bunlardan biri, herhangi bir dosya oluşturmadan sadece memory üzerinden çalışarak kırmızı takım çalışmalarında kullanılan Cobalt Strike aracını çalıştırıyor ve RAT olarak kullanıyor.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="90f1" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1583 (Acquire Infrastructure)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="ae9c" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">i) .001 (Domains): Saldurganlar bayi domainlerini kullanarak Command&Control elde ettiler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="f7e6" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">ii) .003 (Virtual Private Server): Saldırı sırasında kullanmak üzere VPS kiraladılar. FireEye araştırmasına göre tehdit aktörü yalnızca kurbanla aynı ülkeden gelen IP adreslerini kullanmak için VPS kullandı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="a485" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">2) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">İlk Erişim (Initial Access)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="d9bb" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1195.002 (Supply Chain Compromise: Compromise Software Supply Chain):</span> SolarWinds açıklamalarına göre 2019.4, 2020.2 ve 2020.2 HF1 versiyonları zararlı DLL içermektedir. Ancak bu dosyayı nasıl sabotaj ettikleri kesin değildir. Microsoft, saldırganların kurulum ve dağılım sistemlerine sızıp kodu enjekte ettiğini öne sürerken bazı araştırmacılar Orion kaynak kod repository’ sine doğrudan sızdırılmış FTP credentials ile bağlandığını ve kodu enjekte ettiğini söylüyor.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="3cc9" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1078 (Valid Accounts):</span> Saldırganlar elde ettiği credentials ile uzak bağlantı ve yanal hareket sağladı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="2907" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">c) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1199 (Trusted Relationships):</span> Saldırganlar SolarWinds’ in bulut bilişim partnerinin kullanıcı hesaplarını sızdırdı ve Mimecast tarafından sızdırılmış sertifikaları kullanarak Mimecast müşteri sistemine giriş yaptı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="f9ee" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">d) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1133 (External Remote Services):</span> Sızdırılmış hesapları kullanarak SSH, VPN ve diğer uzak bağlantı araçları ile sisteme giriş yaptılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="e766" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">e) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1190 (Exploit Public-Facing Application):</span> Microsoft Exchange Control Panel da bulunan CVE-2020–0688 açığını sömürerek ağa giriş yaptılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="b205" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">3) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Uygulama (Execution)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="a102" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1569.002 (System Services: Service Execution): </span>Saldırganlar zararlı yazılımı windows servisi gibi çalıştırır. Zararlı DLL dosyasını BussinessLayerHost.exe olarak sisteme yükleyip windows servisi olarak çalıştırdılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="812f" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1047 (Windows Management Instrumentation):</span> Saldırganlar WMI kullanarak yanal hareket için zararlı dosyaları uzaktan çalıştırdılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="d1f1" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">c) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1053.005 (Scheduled Task/Job):</span> Saldırganlar scheduler ve schtasks komutlarını kullanarak yanal hareket için yeni task oluşturdular. Bunun dışında var olan task’ ı manipüle ederek kendi zararlı yazılımlarını çalıştırdılar ve sonra task’ ı eski haline geri getirdiler. Ayrıca sistem açıldığında SUNSPOT kalıcılığını sağlamak için task oluşturdular.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="76ca" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">d) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1059 (Command and Scripting Interpreter):</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="91a0" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">i) PowerShell: Task oluşturmak, veri sızdırmak vb. işlemler için kullandılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="bdb0" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">ii) Windows CMD Shell: Uzaktan komut çalıştırmak için cmd.exe’ yi kullandılar</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="0979" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">iii) Visual Basic: Saldırganlar Sibot gibi zararlı yazılımları VB ile yazdı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="96de" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">4) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Kalıcılık (Persistence)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="8952" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1053.005 (Scheduled Task/Job),</span><br style="box-sizing: inherit;" /><span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1078 (Valid Accounts),</span><br style="box-sizing: inherit;" /><span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1133 (External Remote Services),</span><br style="box-sizing: inherit;" /><span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1587.001 (Develop Capabilities: Malware): </span>Önceki aşamalarda anlatıldığı üzere bu taktikler kalıcılık sağlamak için de kullanılmıştır.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="a587" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1546.003 (Event Triggered Execution: WMI Event Subscription):</span> Saldırganlar WMI command-line event kullanarak sistem açılırken rundll32.exe ile Backdoor çalıştırılmasını sağladı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="db16" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">c) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1098 (Account Manipulation):</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="15a5" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">i) .001 (Additional Cloud Credentials): Saldırganlar OAuth uygulamalarına ve Service Principals’ a credential eklediler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="d256" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">ii) .002 (Additional Email Delegate Permissions): Saldırganlar Set-CASMailBox CMDLET kullanarak kendi cihazlarını izin verilen olarak eklediler. Böylece kurban mailbox içerisindeki maillere ulaşma izinleri oldu.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="3ed4" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">iii) .003 (Additional Cloud Roles): Yeni oluşturulan Servis hesaplarına company administrator yetkisi verdiler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="c1b8" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">iv) .005 (Device Registration): Set-CASMailBox kullanarak kendi cihazlarını kaydettiler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="1ee0" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">d) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1543.003 (Create or Modify System Process: Windows Service):</span> Windows çalıştırıldığında servis olarak kaydedilen zararlı DLL vasıtasıyla TEARDROP zararlı yazılımı çalıştırılır.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="5b78" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">5) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Yetki Yükseltme (Privilege Escalation)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="c5da" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1078 (Valid Accounts),</span><br style="box-sizing: inherit;" /><span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1053.005 (Scheduled Task/Job),</span><br style="box-sizing: inherit;" /><span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1546.003 (Event Triggered Execution: WMI Event Subscription),</span><br style="box-sizing: inherit;" /><span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1098 (Account Manipulation): </span>Önceki aşamalarda anlatıldığı üzere bu taktikler yetki yükseltmek için de kullanılmıştır.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="fb88" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1484.002 (Domain Policy Modification: Domain Trust Modification):</span> Saldırganlar Azure AD yönetici izni kullanarak domain’ i kendi SAML sertifikalarını kabul etmesi için konfigüre etti.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="f0ba" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">6) Savunmadan Kaçınma (Defense Evasion)</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="9222" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1078 (Valid Accounts),</span><br style="box-sizing: inherit;" /><span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1484.002 (Domain Policy Modification: Domain Trust Modification): </span>Önceki aşamalarda anlatıldığı üzere bu taktikler savunmadan kaçınmak için de kullanılmıştır.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="14d3" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1550 (Use Alternate Authentication Material): </span>Saldırganlar sahte SAML tokenlerini kullanarak kullanıcıları taklit edebildi ve MFA’ yı bypass ederek sisteme giriş yaptı. Ayrıca sahte “duo-sid” cookie kullanarak email hesaplarındaki MFA’ yı bypass ettiler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="1588" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">c) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1218 (System Binary Proxy Execution: Rundll32):</span> Rundll32.exe kullanarak Backdoor çalıştırıldı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="005d" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">d) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1553 (Subvert Trust Controls: Code Signing): </span>SUNBURST zararlısını SolarWinds code signing certificate ile imzalayıp Orion enjekte etmeyi başardılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="7069" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">e) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1036 (Masquerading):</span> Comand&Control sunucusundaki hostnameleri hedef ağdaki hostnamelere benzer yaptılar. Ayrıca VPN kullanarak aynı ülkeden çıkma IP kullandılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="c47d" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">f) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1070 (Indicator Removal):</span> Saldırganlar geçici olarak meşru araçları kendininkileri ile değiştirdiler ve işleri bitince eski haline getirdiler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="b32d" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">g) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1562 (Impair Defenses):</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="b81a" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">i) .001 (Disable or Modify Tools): Service Control Manager kullanarak hedef ağdaki güvenlik izleme cihazlarını etkisiz hale getirdiler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="eb2f" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">ii) .002 (Disable Windows Event Logging): Saldırganlar AUDITPOL kullanarak audit loglarının toplanmasını engelledi.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="cb3e" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">iii) .004 (Disable or Modify System Firewall): “netsh” aracını kullanarak güvenlik duvarı kurallarını güncellediler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="b8eb" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">h) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1140 (Deobfuscate/Decode Files or Information):</span> Saldırganlar 7-Zip kullanarak Raindrop zararlı yazılımlarını decode etti.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="8524" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">7) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Keşif (Discovery)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="3acb" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1087(Account Discovery): </span>Exchange sunucusu üzerinden<br style="box-sizing: inherit;" />Get-ManagementRolesAssignment CMDLET’ i ile kullanıcı listesini çektiler. Ayrıca domain hesaplarına ulaşmak için Get-ADUser ve Get-ADGroupMember CMDLET’ lerini kullandılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="0f1c" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1482 (Domain Trust Discovery):</span> Get-AcceptedDomain CMDLET’ ini kullanarak Exchange sunucusunda kabul edilen domainleri incelediler. Ayrıca AdFind kullanarak domainler arası ilişkileri incelediler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="adb4" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">c) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1083 (File and Directory Discovery):</span> Get-WebServicesVirtualDirectory CMDLET’ ini kullanarak konfigüre edilen Exchange sanal klasörüyle ilgili bilgi topladılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="5341" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">d) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1096 (Permission Groups Discovery):</span> Yukarıda bahsi geçen metotları kullanarak Exchange sunucusundaki kullanıcı rollerini ve domain gruplarını incelediler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="994f" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">e) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1057 (Process Discovery):</span> Birçok araç kullanarak çalışan prosesleri incelediler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="16c9" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">f) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1018 (Remote System Discovery):</span> AdFind kullanarak remote sistemleri incelediler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="e8e6" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">g) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1082 (System Information Discovery):</span> “fsutil” aracını kullanarak zararlı yazılımı çalıştırmadan önce ssitemin hafızasındaki kullanılabilir alanı incelediler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="97fe" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">h) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1016.001 (System Network Configuration Discovery: Internet Connection Discovery):</span> GoldFinder aracını kullanarak HTTP GET istekleri ile internet bağlantısı var mı incelediler ve proxy serverlarına ulaştılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="22b8" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">8) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Yanal Hareket (Lateral Movement)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="022c" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1550 (Use Alternate Authentication Material): </span>Önceki aşamalarda anlatıldığı üzere bu taktik yanal hareket için de kullanılmıştır.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="5710" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1021 (Remote Services):</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="297e" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">i) .001 (RDP): Halka açık sistemlerden iç sistemlere giriş yaparken RDP kullandılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="3e24" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">ii) .002 (SMB Admin Shares): Yönetici hesapları kullanarak hedef kullanıcıya SMB ile bağlantı kurdular.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="7595" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">iii) .006 (Windows Remote Management): PowerShell kabuğunda WinRM kullanarak uzaktan komut çalıştırdılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="25aa" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">9) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Komut ve Kontrol (Command&Control)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="2488" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1090.001 (Proxy: Internal Proxy): </span>Halka açık sistemlerde SSH port yönlendirme kullandılar ve CobaltStrike örneklerinden birkaçını SMB üzerinden haberleşmesi için konfigüre ettiler.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="2f94" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">b) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1105 (Ingress Tool Transfer):</span> Saldırgan grup TEARDROP ve CobaltStrike gibi ekstra yazılımları hedef sisteme yükledi.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="b811" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">c) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1562 (Dynamic Resolution):</span> Dinamik DNS çözümlemesi kullanarak C&C sunucusu için rastgele subdomain oluşturdular.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="09be" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">d) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1071.001 (Application Layer Protocol: Web Protocols):</span> C&C sunucusu ile iletişim için HTTP protokolünü kullandılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="d751" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">10) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Sızma (Exfiltration)</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="92fc" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">a) <span class="wh la" style="box-sizing: inherit; font-weight: 700;">T1048.002 (Exfiltration Over Alternative Protocol: Exfiltration Over Asymmetric Encrypted non-C2 Protocol): </span>Verileri basit bir HTTPS isteği ile hedef sistemin parola korumalı OWA sunucusuna sızdırdılar.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="2999" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;"><span class="wh la" style="box-sizing: inherit; font-weight: 700;">Saldırı Nasıl Tespit Edilebilir?</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="0d65" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Ağ Trafik Analizi: </span>İlk olarak iç ağdaki sistemler arasındaki bağlantılar incelenmeli, daha önce aralarında bağlantı görülmeyen sistemlerde bağlantı oluşması şüphe uyandırmalı. İkincil olarak, trojan C&C sunucusu için sürekli yeni domain oluşturarak bağlantı kurması da aynı şekilde şüphe uyandırmalı.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="2103" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Honeypot:</span> Organizasyon ağına Honeypot kurarak saldırgan tespit edilebilir.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="e488" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Veri Sızdırma Tespiti:</span> Herhangi bir tespit sistemi kullanarak veri akışı incelenebilir ve saldırı tespit edilebilir.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="25a5" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Yeni Executable Dosyalar:</span> SolarWinds saldırısında meşru olarak dosyalar değiştirilsede yeni oluşturulan çalıştırılabilir dosyalar ile tespit edilme ihtimali var.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="43de" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <span class="wh la" style="box-sizing: inherit; font-weight: 700;">Yeni Tasklar:</span> Windows üzerinde yeni oluşturulan tasklar veya modifiye edilmiş eski ve meşru tasklar ile saldırı tespit edilebilir.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="2219" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;"><span class="wh la" style="box-sizing: inherit; font-weight: 700;">CISA Hafifletme (Mitigation) Önerileri</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="231c" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· SolarWinds tarafından yayımlanan uygun güncellemeler yapılmalı</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="c018" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· Başarılı bir saldırının etkilerini azaltmak için tüm yazılımları ayrıcalıklı olmayan bir kullanıcı (yönetici ayrıcalıkları olmayan) olarak çalıştırın.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="1a6a" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· Kullanıcılara güvenilmeyen web sitelerini ziyaret etmemelerini veya bilinmeyen ya da güvenilmeyen kaynaklar tarafından sağlanan bağlantıları takip etmemelerini hatırlatın.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="be06" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· Özellikle güvenilmeyen kaynaklardan gelen e-postalarda veya eklerde bulunan hiper metin bağlantılarının oluşturduğu tehditler konusunda kullanıcıları bilgilendirin ve eğitin.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="2fad" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· En Az Ayrıcalık İlkesini tüm sistem ve hizmetlere uygulayın.</p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="4961" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;"><span class="wh la" style="box-sizing: inherit; font-weight: 700;">KAYNAKÇA</span></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="9743" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <a class="af ph" href="https://www.techtarget.com/whatis/feature/SolarWinds-hack-explained-Everything-you-need-to-know" rel="noopener ugc nofollow" style="-webkit-tap-highlight-color: transparent; box-sizing: inherit;" target="_blank">https://www.techtarget.com/whatis/feature/SolarWinds-hack-explained-Everything-you-need-to-know</a></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="8426" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <a class="af ph" href="https://attack.mitre.org/campaigns/C0024/" rel="noopener ugc nofollow" style="-webkit-tap-highlight-color: transparent; box-sizing: inherit;" target="_blank">https://attack.mitre.org/campaigns/C0024/</a></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="1b73" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <a class="af ph" href="https://www.linkedin.com/pulse/how-detect-prevent-solarwinds-supply-chain-attack-roger-grimes/" rel="noopener ugc nofollow" style="-webkit-tap-highlight-color: transparent; box-sizing: inherit;" target="_blank">https://www.linkedin.com/pulse/how-detect-prevent-solarwinds-supply-chain-attack-roger-grimes/</a></p><p class="pw-post-body-paragraph we wf wg wh b wi wj wk wl wm wn wo wp wq wr ws wt wu wv ww wx wy wz xa xb xc er bj" data-selectable-paragraph="" id="daec" style="box-sizing: inherit; color: #242424; font-family: source-serif-pro, Georgia, Cambria, "Times New Roman", Times, serif; font-size: 20px; letter-spacing: -0.003em; line-height: 32px; margin: 2.14em 0px -0.46em; word-break: break-word;">· <a class="af ph" href="https://www.cisecurity.org/solarwinds" rel="noopener ugc nofollow" style="-webkit-tap-highlight-color: transparent; box-sizing: inherit;" target="_blank">https://www.cisecurity.org/solarwinds</a></p></div></div></div></div></section></div></div></article><div class="ab cm" style="box-sizing: inherit; display: flex; justify-content: center;"><div class="gc bg gd ge gf gg" style="box-sizing: inherit; margin: 0px 24px; max-width: 680px; min-width: 0px; width: 680px;"></div></div></div><div class="l" style="background-color: white; box-sizing: inherit; color: rgba(0, 0, 0, 0.8); font-family: medium-content-sans-serif-font, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;"></div><footer class="xd xe xf xg xh xi xj xk jz ab q xl tx c" style="align-items: center; background-color: white; border-top: none; box-sizing: content-box; color: rgba(0, 0, 0, 0.8); display: flex; font-family: medium-content-sans-serif-font, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif; height: 52px; margin-bottom: 88px; max-height: 52px; position: static; z-index: 1;"><div class="l ae" style="box-sizing: inherit; flex: 1 0 auto;"><div class="ab cm" style="box-sizing: inherit; display: flex; justify-content: center;"><div class="gc bg gd ge gf gg" style="box-sizing: inherit; margin: 0px 24px; max-width: 680px; min-width: 0px; width: 680px;"><div class="ab mf xm" style="box-sizing: inherit; display: flex; justify-content: space-between;"><div class="ab q cc" style="align-items: center; box-sizing: inherit; display: flex; flex-direction: row;"><div class="xn l" style="box-sizing: inherit; max-width: 155px;"><span class="l h g f xr xs" style="box-sizing: inherit; display: inline-block;"><div class="ab q cc mq" style="align-items: center; box-sizing: inherit; display: flex; flex-direction: row; z-index: 2;"><div class="pw-multi-vote-icon dl rd ms mt mu" style="box-sizing: inherit; margin-right: 0px; position: relative; user-select: none;"><div class="" style="box-sizing: inherit;"><div style="box-sizing: inherit;"><div aria-describedby="1096" aria-hidden="false" aria-labelledby="1096" class="bl" style="box-sizing: inherit; display: inline-block;"><button class="mv ao mx re rf nb am nc nd ne mu" data-testid="footerClapButton" style="-webkit-tap-highlight-color: transparent; background-attachment: initial; background-clip: initial; background-image: initial; background-origin: initial; background-position: initial; background-repeat: initial; background-size: initial; border-color: initial; border-style: initial; border-width: 0px; box-sizing: inherit; cursor: pointer; fill: rgb(117, 117, 117); margin: 0px; outline: 0px; overflow: visible; padding: 0px; user-select: none;"><svg aria-label="clap" height="24" viewbox="0 0 24 24" width="24"><path clip-rule="evenodd" d="M11.37.83L12 3.28l.63-2.45h-1.26zM13.92 3.95l1.52-2.1-1.18-.4-.34 2.5zM8.59 1.84l1.52 2.11-.34-2.5-1.18.4zM18.52 18.92a4.23 4.23 0 0 1-2.62 1.33l.41-.37c2.39-2.4 2.86-4.95 1.4-7.63l-.91-1.6-.8-1.67c-.25-.56-.19-.98.21-1.29a.7.7 0 0 1 .55-.13c.28.05.54.23.72.5l2.37 4.16c.97 1.62 1.14 4.23-1.33 6.7zm-11-.44l-4.15-4.15a.83.83 0 0 1 1.17-1.17l2.16 2.16a.37.37 0 0 0 .51-.52l-2.15-2.16L3.6 11.2a.83.83 0 0 1 1.17-1.17l3.43 3.44a.36.36 0 0 0 .52 0 .36.36 0 0 0 0-.52L5.29 9.51l-.97-.97a.83.83 0 0 1 0-1.16.84.84 0 0 1 1.17 0l.97.97 3.44 3.43a.36.36 0 0 0 .51 0 .37.37 0 0 0 0-.52L6.98 7.83a.82.82 0 0 1-.18-.9.82.82 0 0 1 .76-.51c.22 0 .43.09.58.24l5.8 5.79a.37.37 0 0 0 .58-.42L13.4 9.67c-.26-.56-.2-.98.2-1.29a.7.7 0 0 1 .55-.13c.28.05.55.23.73.5l2.2 3.86c1.3 2.38.87 4.59-1.29 6.75a4.65 4.65 0 0 1-4.19 1.37 7.73 7.73 0 0 1-4.07-2.25zm3.23-12.5l2.12 2.11c-.41.5-.47 1.17-.13 1.9l.22.46-3.52-3.53a.81.81 0 0 1-.1-.36c0-.23.09-.43.24-.59a.85.85 0 0 1 1.17 0zm7.36 1.7a1.86 1.86 0 0 0-1.23-.84 1.44 1.44 0 0 0-1.12.27c-.3.24-.5.55-.58.89-.25-.25-.57-.4-.91-.47-.28-.04-.56 0-.82.1l-2.18-2.18a1.56 1.56 0 0 0-2.2 0c-.2.2-.33.44-.4.7a1.56 1.56 0 0 0-2.63.75 1.6 1.6 0 0 0-2.23-.04 1.56 1.56 0 0 0 0 2.2c-.24.1-.5.24-.72.45a1.56 1.56 0 0 0 0 2.2l.52.52a1.56 1.56 0 0 0-.75 2.61L7 19a8.46 8.46 0 0 0 4.48 2.45 5.18 5.18 0 0 0 3.36-.5 4.89 4.89 0 0 0 4.2-1.51c2.75-2.77 2.54-5.74 1.43-7.59L18.1 7.68z" fill-rule="evenodd"></path></svg></button></div></div></div></div></div></span></div><div class="bp ab" style="box-sizing: inherit; display: flex; margin-left: 24px;"><div style="box-sizing: inherit;"><div aria-describedby="1070" aria-hidden="false" aria-labelledby="1070" class="bl" style="box-sizing: inherit; display: inline-block;"><button aria-label="responses" class="ao mv no nn ab q dv iu np" style="-webkit-tap-highlight-color: transparent; align-items: center; background-attachment: initial; background-clip: initial; background-image: initial; background-origin: initial; background-position: initial; background-repeat: initial; background-size: initial; border-color: initial; border-style: initial; border-width: 0px; box-sizing: inherit; cursor: pointer; display: flex; fill: rgb(107, 107, 107); margin: 0px; opacity: 1; overflow: visible; padding: 4px 0px;"><svg class="vk" height="24" viewbox="0 0 24 24" width="24"><path d="M18 16.8a7.14 7.14 0 0 0 2.24-5.32c0-4.12-3.53-7.48-8.05-7.48C7.67 4 4 7.36 4 11.48c0 4.13 3.67 7.48 8.2 7.48a8.9 8.9 0 0 0 2.38-.32c.23.2.48.39.75.56 1.06.69 2.2 1.04 3.4 1.04.22 0 .4-.11.48-.29a.5.5 0 0 0-.04-.52 6.4 6.4 0 0 1-1.16-2.65v.02zm-3.12 1.06l-.06-.22-.32.1a8 8 0 0 1-2.3.33c-4.03 0-7.3-2.96-7.3-6.59S8.17 4.9 12.2 4.9c4 0 7.1 2.96 7.1 6.6 0 1.8-.6 3.47-2.02 4.72l-.2.16v.26l.02.3a6.74 6.74 0 0 0 .88 2.4 5.27 5.27 0 0 1-2.17-.86c-.28-.17-.72-.38-.94-.59l.01-.02z"></path></svg></button></div></div></div></div><div class="ab q" style="align-items: center; box-sizing: inherit; display: flex;"><div class="hl l ub" style="box-sizing: inherit; flex: 0 0 auto; margin-right: 20px;"><div style="box-sizing: inherit;"><div aria-describedby="1071" aria-hidden="false" aria-labelledby="1071" class="bl" style="box-sizing: inherit; display: inline-block;"><div aria-hidden="false" class="bl" style="box-sizing: inherit; display: inline-block;"><button aria-controls="addToCatalogBookmarkButton" aria-expanded="false" aria-label="Add to list bookmark button" class="af dv ah ai aj ak al vm an ao ap fl ns nt jt" data-testid="footerBookmarkButton" style="-webkit-tap-highlight-color: transparent; background-attachment: initial; background-clip: initial; background-image: initial; background-origin: initial; background-position: initial; background-repeat: initial; background-size: initial; border: inherit; box-sizing: inherit; cursor: pointer; fill: rgb(107, 107, 107); font-family: inherit; font-size: inherit; font-weight: inherit; letter-spacing: inherit; margin: 0px; overflow: visible; padding: 8px 2px;"><svg class="nu" fill="none" height="24" viewbox="0 0 24 24" width="24"><path d="M17.5 1.25a.5.5 0 0 1 1 0v2.5H21a.5.5 0 0 1 0 1h-2.5v2.5a.5.5 0 0 1-1 0v-2.5H15a.5.5 0 0 1 0-1h2.5v-2.5zm-11 4.5a1 1 0 0 1 1-1H11a.5.5 0 0 0 0-1H7.5a2 2 0 0 0-2 2v14a.5.5 0 0 0 .8.4l5.7-4.4 5.7 4.4a.5.5 0 0 0 .8-.4v-8.5a.5.5 0 0 0-1 0v7.48l-5.2-4a.5.5 0 0 0-.6 0l-5.2 4V5.75z" fill="#000"></path></svg></button></div></div></div></div><div class="hl l ub" style="box-sizing: inherit; flex: 0 0 auto; margin-right: 20px;"><div aria-describedby="postFooterSocialMenu" aria-hidden="false" aria-labelledby="postFooterSocialMenu" class="bl" style="box-sizing: inherit; display: inline-block;"><div style="box-sizing: inherit;"><div aria-describedby="1072" aria-hidden="false" aria-labelledby="1072" class="bl" style="box-sizing: inherit; display: inline-block;"><button aria-controls="postFooterSocialMenu" aria-expanded="false" aria-label="Share Post" class="af dv ah ai aj ak al vm an ao ap fl nw nx np ny" data-testid="footerSocialShareButton" style="-webkit-tap-highlight-color: transparent; background-attachment: initial; background-clip: initial; background-image: initial; background-origin: initial; background-position: initial; background-repeat: initial; background-size: initial; border: inherit; box-sizing: inherit; cursor: pointer; fill: rgb(107, 107, 107); font-family: inherit; font-size: inherit; font-weight: inherit; letter-spacing: inherit; margin: 0px; overflow: visible; padding: 8px 2px;"><svg fill="none" height="24" viewbox="0 0 24 24" width="24"><path clip-rule="evenodd" d="M15.22 4.93a.42.42 0 0 1-.12.13h.01a.45.45 0 0 1-.29.08.52.52 0 0 1-.3-.13L12.5 3v7.07a.5.5 0 0 1-.5.5.5.5 0 0 1-.5-.5V3.02l-2 2a.45.45 0 0 1-.57.04h-.02a.4.4 0 0 1-.16-.3.4.4 0 0 1 .1-.32l2.8-2.8a.5.5 0 0 1 .7 0l2.8 2.8a.42.42 0 0 1 .07.5zm-.1.14zm.88 2h1.5a2 2 0 0 1 2 2v10a2 2 0 0 1-2 2h-11a2 2 0 0 1-2-2v-10a2 2 0 0 1 2-2H8a.5.5 0 0 1 .35.14c.1.1.15.22.15.35a.5.5 0 0 1-.15.35.5.5 0 0 1-.35.15H6.4c-.5 0-.9.4-.9.9v10.2a.9.9 0 0 0 .9.9h11.2c.5 0 .9-.4.9-.9V8.96c0-.5-.4-.9-.9-.9H16a.5.5 0 0 1 0-1z" fill-rule="evenodd" fill="currentColor"></path></svg></button></div></div></div></div><div aria-hidden="false" class="bl" style="box-sizing: inherit; display: inline-block;"><div aria-hidden="false" class="bl" style="box-sizing: inherit; display: inline-block;"><div style="box-sizing: inherit;"><div aria-describedby="1073" aria-hidden="false" aria-labelledby="1073" class="bl" style="box-sizing: inherit; display: inline-block;"><button aria-label="More options" class="af dv ah ai aj ak al vm an ao ap fl nw nx np ny" data-testid="footerStoryOptionsButton" style="-webkit-tap-highlight-color: transparent; background-attachment: initial; background-clip: initial; background-image: initial; background-origin: initial; background-position: initial; background-repeat: initial; background-size: initial; border: inherit; box-sizing: inherit; cursor: pointer; fill: rgb(107, 107, 107); font-family: inherit; font-size: inherit; font-weight: inherit; letter-spacing: inherit; margin: 0px; overflow: visible; padding: 8px 2px;"><svg fill="none" height="24" viewbox="0 0 24 24" width="24"><path clip-rule="evenodd" d="M4.39 12c0 .55.2 1.02.59 1.41.39.4.86.59 1.4.59.56 0 1.03-.2 1.42-.59.4-.39.59-.86.59-1.41 0-.55-.2-1.02-.6-1.41A1.93 1.93 0 0 0 6.4 10c-.55 0-1.02.2-1.41.59-.4.39-.6.86-.6 1.41zM10 12c0 .55.2 1.02.58 1.41.4.4.87.59 1.42.59.54 0 1.02-.2 1.4-.59.4-.39.6-.86.6-1.41 0-.55-.2-1.02-.6-1.41a1.93 1.93 0 0 0-1.4-.59c-.55 0-1.04.2-1.42.59-.4.39-.58.86-.58 1.41zm5.6 0c0 .55.2 1.02.57 1.41.4.4.88.59 1.43.59.57 0 1.04-.2 1.43-.59.39-.39.57-.86.57-1.41 0-.55-.2-1.02-.57-1.41A1.93 1.93 0 0 0 17.6 10c-.55 0-1.04.2-1.43.59-.38.39-.57.86-.57 1.41z" fill-rule="evenodd" fill="currentColor"></path></svg></button></div></div></div></div></div></div></div></div></div></footer><div class="xt xu xv xw xx l bw" style="background-color: #f9f9f9; box-sizing: inherit; color: rgba(0, 0, 0, 0.8); font-family: medium-content-sans-serif-font, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif; padding-top: 72px;"><div class="ab cm" style="box-sizing: inherit; display: flex; justify-content: center;"><div class="gc bg gd ge gf gg" style="box-sizing: inherit; margin: 0px 24px; max-width: 680px; min-width: 0px; width: 680px;"><div class="rp ab xy mf" style="align-items: flex-end; box-sizing: inherit; display: flex; justify-content: space-between; margin-bottom: 16px;"><div class="ab tp" style="align-items: baseline; box-sizing: inherit; display: flex;"><a href="https://medium.com/@crypttech?source=post_page-----72c9971587a1--------------------------------" rel="noopener follow" style="-webkit-tap-highlight-color: transparent; box-sizing: inherit; text-decoration-line: none;"><div class="l xz ya bx yb tr" style="border-radius: 50%; border: 2px solid rgb(249, 249, 249); box-sizing: inherit; height: 76px; width: 76px; z-index: 0;"></div></a></div></div></div></div></div>

SolarWinds, yüzlerce şirkete ağ ve altyapı izleme için System Management araçları ve birçok hizmet sağlayan bir şirket. Ürünlerinin arasında IT performans izleme aracı olan Orion var. IT izleme aracı olarak Orion’ un sistem logları ve performans verisine ulaşma yetkisi var. Bu yetkiler Orion’ u saldırganlar tarafından hedef haline getirmiştir.
SolarWinds saldırısı, 2020 Aralık’ ta keşfedilen ve APT29 grubu tarafından yapılan komplike bir Tedarik Zinciri saldırısıydı. APT29 özel olarak geliştirilmiş zararlı yazılımı Orion yazılımına enjekte etti ve sonrasında bu enfekte olmuş yazılım normal bir yazılım güncellemesi olarak yayıldı. Ayrıca password spraying, token theft, API abuse, spear phishing gibi birçok saldırı ile yetki yükseltme yaptılar. Amerika, Avrupa, Orta Doğu ve Asya’ da bulunan birçok teknoloji firması hatta Homeland Security, Maliye Bakanlığı gibi devlet daireleri ve Intel, Cisco, Microsoft gibi bilinen özel firmalar da bu saldırıdan etkilenenler arasındaydı.
Saldırı ilk olarak FireEye firması tarafından keşfedildi. Firma, müşteri sistemlerindeki anomaliyi gördüklerinde zararlı yazılım tarafından saldırıya uğradıklarını onayladı. Sonrasında Microsoft da aynı şekilde onayladı ancak gazetelere aksi iddia da bulundu. Sonrasında Microsoft, GoDaddy ve FireEye iş birliği içerisinde Orion yazılımının zararlı versiyonları bloke edildi. Backdoor tarafından kullanılan domain’ i etkisiz hale getiren bir anahtar geliştirerek bunu elde ettiler. Bu anahtar SUNBURST zararlısının daha ileri gitmesini engellemeye yönelik çalışmaktadır.
Nisan 2021’ de Amerika ve İngiltere bu saldırıyı Rusya’ nın Dış İstihbarat Servisi’ ne (SVR) atfetti. Kamuya yapılan açıklamalar APT29, CozyBear ve The Dukes grupları ile ilgili alıntılar içeriyordu. Rus hükümeti ise “Bilgi alanındaki kötü niyetli faaliyetler, Rus dış politikasının ilkelerine, ulusal çıkarlara ve devletler arası ilişkiler anlayışına aykırıdır” şeklinde beyanda bulunarak bu atıfları reddetti. Dönemin başkanı Donald Trump ise Çinli bilgisayar korsanları tarafından gerçekleşmiş olabileceğini öne sürdü ama bunu destekleyecek bir kanıt göstermedi. Joe Biden hükümeti ise Rusya’ ya yönelik tam kapsamlı istihbarat çalışmaları ile bu saldırıyı ortaya koyacağını iddia etti. Hatta Ulusal Güvenlik Konseyi’ ne bağlı siber güvenlikten sorumlu Ulusal Güvenlik Danışman Yardımcısı pozisyonu oluşturdu.
Yapılan raporlamalara göre saldırı gidişatı aşağıdaki gibi olmuştur:
2019 Eylül: Tehdit aktörü SolarWinds sistemine izinsiz giriş sağladı
2019 Ekim: Tehdit aktörü Orion’ a kod enjektesi için test yaptı
20 Şubat 2020: SUNBURST olarak bilinen zararlı Orion içerisine enjekte edildi
26 Mart 2020: SolarWinds haberi olmadan zararlı yazılım enjekte edilmiş kodu normal bir yazılım güncellemesi olarak müşterilere iletti.
SALDIRININ ÖNEMİ
Tehdit aktörleri Orion yazılımını dünya çapında birçok hükümet sistemine ve binlerce özel sisteme erişim sağlayan bir silaha dönüştürdüğü için SolarWinds tedarik zinciri saldırısı küresel bir saldırıdır. Yazılımın ve buna bağlı olarak Sunburst kötü amaçlı yazılımının tüm ağlara erişime sahip olması nedeniyle, birçok hükümet ve kurumsal ağ ve sistem, önemli ihlal riskiyle karşı karşıyadır.
Hack aynı zamanda siber güvenlik sektöründe hızlı ve geniş çaplı bir değişimin katalizörü de olabilir. Pek çok şirket ve devlet kurumu artık bu tür saldırılara gerçekleşmeden önce tepki vermek için yeni yöntemler geliştirme sürecinde. Hükümetler ve kuruluşlar, bir güvenlik duvarı oluşturmanın yeterli olmadığını öğreniyor ve bunun kendilerini korumasını umuyor. Sistemlerindeki zayıf noktaları aktif olarak araştırmalı ve bu tür saldırılara karşı onları ya desteklemeli ya da tuzağa çevirmelidirler.
Saldırının keşfedilmesinden bu yana SolarWinds, müşterilere mevcut Orion platformlarını güncellemelerini önerdi. Şirket, ilk Orion saldırısından bu yana keşfedilen kötü amaçlı yazılım ve diğer potansiyel güvenlik açıkları için yamalar yayınladı. SolarWinds ayrıca müşterilerin Orion izole SolarWinds sunucularını güncelleyememesini ve/veya bu sunuculara erişimi olan hesapların parolalarını değiştirememesini önerdi.
Bazı endüstri uzmanları, Beyaz Saray’ın siber güvenliğe daha fazla odaklanılmasının hayati önem taşıyacağını söyledi. Ancak kuruluşlar, izleme ve işbirliği için modern hizmet olarak yazılım araçlarını benimsemeyi düşünmelidir. Siber güvenlik sektörü son on yılda önemli ölçüde ilerleme kaydetmiş olsa da, bu tür saldırılar, gerçekten güvenli sistemlere sahip olmak için hala kat edilmesi gereken uzun bir yol olduğunu gösteriyor.
MITRE ATT&CK Kullanılan Teknikler
1) Kaynak Geliştirme (Resource Development)
a) T1587.001 (Develop Capabilities: Malware): Saldırganlar Orion’ un meşru bir bileşenine zararlı yazılımı gömdü. Bu bileşen SolarWinds.Orion.Core.BusinessLayer.dll isminde bir DLL kütüphanesiydi. FireEye saldırıyı tespit ettikten sonra bu DLL’ nin Backdoor versionuna SUNBURST ismini verdi. SUNBURST sisteme daha önce görülmemiş payloadlar iletiyordu. TEARDROP bunlardan biri, herhangi bir dosya oluşturmadan sadece memory üzerinden çalışarak kırmızı takım çalışmalarında kullanılan Cobalt Strike aracını çalıştırıyor ve RAT olarak kullanıyor.
b) T1583 (Acquire Infrastructure)
i) .001 (Domains): Saldurganlar bayi domainlerini kullanarak Command&Control elde ettiler.
ii) .003 (Virtual Private Server): Saldırı sırasında kullanmak üzere VPS kiraladılar. FireEye araştırmasına göre tehdit aktörü yalnızca kurbanla aynı ülkeden gelen IP adreslerini kullanmak için VPS kullandı.
2) İlk Erişim (Initial Access)
a) T1195.002 (Supply Chain Compromise: Compromise Software Supply Chain): SolarWinds açıklamalarına göre 2019.4, 2020.2 ve 2020.2 HF1 versiyonları zararlı DLL içermektedir. Ancak bu dosyayı nasıl sabotaj ettikleri kesin değildir. Microsoft, saldırganların kurulum ve dağılım sistemlerine sızıp kodu enjekte ettiğini öne sürerken bazı araştırmacılar Orion kaynak kod repository’ sine doğrudan sızdırılmış FTP credentials ile bağlandığını ve kodu enjekte ettiğini söylüyor.
b) T1078 (Valid Accounts): Saldırganlar elde ettiği credentials ile uzak bağlantı ve yanal hareket sağladı.
c) T1199 (Trusted Relationships): Saldırganlar SolarWinds’ in bulut bilişim partnerinin kullanıcı hesaplarını sızdırdı ve Mimecast tarafından sızdırılmış sertifikaları kullanarak Mimecast müşteri sistemine giriş yaptı.
d) T1133 (External Remote Services): Sızdırılmış hesapları kullanarak SSH, VPN ve diğer uzak bağlantı araçları ile sisteme giriş yaptılar.
e) T1190 (Exploit Public-Facing Application): Microsoft Exchange Control Panel da bulunan CVE-2020–0688 açığını sömürerek ağa giriş yaptılar.
3) Uygulama (Execution)
a) T1569.002 (System Services: Service Execution): Saldırganlar zararlı yazılımı windows servisi gibi çalıştırır. Zararlı DLL dosyasını BussinessLayerHost.exe olarak sisteme yükleyip windows servisi olarak çalıştırdılar.
b) T1047 (Windows Management Instrumentation): Saldırganlar WMI kullanarak yanal hareket için zararlı dosyaları uzaktan çalıştırdılar.
c) T1053.005 (Scheduled Task/Job): Saldırganlar scheduler ve schtasks komutlarını kullanarak yanal hareket için yeni task oluşturdular. Bunun dışında var olan task’ ı manipüle ederek kendi zararlı yazılımlarını çalıştırdılar ve sonra task’ ı eski haline geri getirdiler. Ayrıca sistem açıldığında SUNSPOT kalıcılığını sağlamak için task oluşturdular.
d) T1059 (Command and Scripting Interpreter):
i) PowerShell: Task oluşturmak, veri sızdırmak vb. işlemler için kullandılar.
ii) Windows CMD Shell: Uzaktan komut çalıştırmak için cmd.exe’ yi kullandılar
iii) Visual Basic: Saldırganlar Sibot gibi zararlı yazılımları VB ile yazdı.
4) Kalıcılık (Persistence)
a) T1053.005 (Scheduled Task/Job),
T1078 (Valid Accounts),
T1133 (External Remote Services),
T1587.001 (Develop Capabilities: Malware): Önceki aşamalarda anlatıldığı üzere bu taktikler kalıcılık sağlamak için de kullanılmıştır.
b) T1546.003 (Event Triggered Execution: WMI Event Subscription): Saldırganlar WMI command-line event kullanarak sistem açılırken rundll32.exe ile Backdoor çalıştırılmasını sağladı.
c) T1098 (Account Manipulation):
i) .001 (Additional Cloud Credentials): Saldırganlar OAuth uygulamalarına ve Service Principals’ a credential eklediler.
ii) .002 (Additional Email Delegate Permissions): Saldırganlar Set-CASMailBox CMDLET kullanarak kendi cihazlarını izin verilen olarak eklediler. Böylece kurban mailbox içerisindeki maillere ulaşma izinleri oldu.
iii) .003 (Additional Cloud Roles): Yeni oluşturulan Servis hesaplarına company administrator yetkisi verdiler.
iv) .005 (Device Registration): Set-CASMailBox kullanarak kendi cihazlarını kaydettiler.
d) T1543.003 (Create or Modify System Process: Windows Service): Windows çalıştırıldığında servis olarak kaydedilen zararlı DLL vasıtasıyla TEARDROP zararlı yazılımı çalıştırılır.
5) Yetki Yükseltme (Privilege Escalation)
a) T1078 (Valid Accounts),
T1053.005 (Scheduled Task/Job),
T1546.003 (Event Triggered Execution: WMI Event Subscription),
T1098 (Account Manipulation): Önceki aşamalarda anlatıldığı üzere bu taktikler yetki yükseltmek için de kullanılmıştır.
b) T1484.002 (Domain Policy Modification: Domain Trust Modification): Saldırganlar Azure AD yönetici izni kullanarak domain’ i kendi SAML sertifikalarını kabul etmesi için konfigüre etti.
6) Savunmadan Kaçınma (Defense Evasion)
a) T1078 (Valid Accounts),
T1484.002 (Domain Policy Modification: Domain Trust Modification): Önceki aşamalarda anlatıldığı üzere bu taktikler savunmadan kaçınmak için de kullanılmıştır.
b) T1550 (Use Alternate Authentication Material): Saldırganlar sahte SAML tokenlerini kullanarak kullanıcıları taklit edebildi ve MFA’ yı bypass ederek sisteme giriş yaptı. Ayrıca sahte “duo-sid” cookie kullanarak email hesaplarındaki MFA’ yı bypass ettiler.
c) T1218 (System Binary Proxy Execution: Rundll32): Rundll32.exe kullanarak Backdoor çalıştırıldı.
d) T1553 (Subvert Trust Controls: Code Signing): SUNBURST zararlısını SolarWinds code signing certificate ile imzalayıp Orion enjekte etmeyi başardılar.
e) T1036 (Masquerading): Comand&Control sunucusundaki hostnameleri hedef ağdaki hostnamelere benzer yaptılar. Ayrıca VPN kullanarak aynı ülkeden çıkma IP kullandılar.
f) T1070 (Indicator Removal): Saldırganlar geçici olarak meşru araçları kendininkileri ile değiştirdiler ve işleri bitince eski haline getirdiler.
g) T1562 (Impair Defenses):
i) .001 (Disable or Modify Tools): Service Control Manager kullanarak hedef ağdaki güvenlik izleme cihazlarını etkisiz hale getirdiler.
ii) .002 (Disable Windows Event Logging): Saldırganlar AUDITPOL kullanarak audit loglarının toplanmasını engelledi.
iii) .004 (Disable or Modify System Firewall): “netsh” aracını kullanarak güvenlik duvarı kurallarını güncellediler.
h) T1140 (Deobfuscate/Decode Files or Information): Saldırganlar 7-Zip kullanarak Raindrop zararlı yazılımlarını decode etti.
7) Keşif (Discovery)
a) T1087(Account Discovery): Exchange sunucusu üzerinden
Get-ManagementRolesAssignment CMDLET’ i ile kullanıcı listesini çektiler. Ayrıca domain hesaplarına ulaşmak için Get-ADUser ve Get-ADGroupMember CMDLET’ lerini kullandılar.
b) T1482 (Domain Trust Discovery): Get-AcceptedDomain CMDLET’ ini kullanarak Exchange sunucusunda kabul edilen domainleri incelediler. Ayrıca AdFind kullanarak domainler arası ilişkileri incelediler.
c) T1083 (File and Directory Discovery): Get-WebServicesVirtualDirectory CMDLET’ ini kullanarak konfigüre edilen Exchange sanal klasörüyle ilgili bilgi topladılar.
d) T1096 (Permission Groups Discovery): Yukarıda bahsi geçen metotları kullanarak Exchange sunucusundaki kullanıcı rollerini ve domain gruplarını incelediler.
e) T1057 (Process Discovery): Birçok araç kullanarak çalışan prosesleri incelediler.
f) T1018 (Remote System Discovery): AdFind kullanarak remote sistemleri incelediler.
g) T1082 (System Information Discovery): “fsutil” aracını kullanarak zararlı yazılımı çalıştırmadan önce ssitemin hafızasındaki kullanılabilir alanı incelediler.
h) T1016.001 (System Network Configuration Discovery: Internet Connection Discovery): GoldFinder aracını kullanarak HTTP GET istekleri ile internet bağlantısı var mı incelediler ve proxy serverlarına ulaştılar.
8) Yanal Hareket (Lateral Movement)
a) T1550 (Use Alternate Authentication Material): Önceki aşamalarda anlatıldığı üzere bu taktik yanal hareket için de kullanılmıştır.
b) T1021 (Remote Services):
i) .001 (RDP): Halka açık sistemlerden iç sistemlere giriş yaparken RDP kullandılar.
ii) .002 (SMB Admin Shares): Yönetici hesapları kullanarak hedef kullanıcıya SMB ile bağlantı kurdular.
iii) .006 (Windows Remote Management): PowerShell kabuğunda WinRM kullanarak uzaktan komut çalıştırdılar.
9) Komut ve Kontrol (Command&Control)
a) T1090.001 (Proxy: Internal Proxy): Halka açık sistemlerde SSH port yönlendirme kullandılar ve CobaltStrike örneklerinden birkaçını SMB üzerinden haberleşmesi için konfigüre ettiler.
b) T1105 (Ingress Tool Transfer): Saldırgan grup TEARDROP ve CobaltStrike gibi ekstra yazılımları hedef sisteme yükledi.
c) T1562 (Dynamic Resolution): Dinamik DNS çözümlemesi kullanarak C&C sunucusu için rastgele subdomain oluşturdular.
d) T1071.001 (Application Layer Protocol: Web Protocols): C&C sunucusu ile iletişim için HTTP protokolünü kullandılar.
10) Sızma (Exfiltration)
a) T1048.002 (Exfiltration Over Alternative Protocol: Exfiltration Over Asymmetric Encrypted non-C2 Protocol): Verileri basit bir HTTPS isteği ile hedef sistemin parola korumalı OWA sunucusuna sızdırdılar.
Saldırı Nasıl Tespit Edilebilir?
· Ağ Trafik Analizi: İlk olarak iç ağdaki sistemler arasındaki bağlantılar incelenmeli, daha önce aralarında bağlantı görülmeyen sistemlerde bağlantı oluşması şüphe uyandırmalı. İkincil olarak, trojan C&C sunucusu için sürekli yeni domain oluşturarak bağlantı kurması da aynı şekilde şüphe uyandırmalı.
· Honeypot: Organizasyon ağına Honeypot kurarak saldırgan tespit edilebilir.
· Veri Sızdırma Tespiti: Herhangi bir tespit sistemi kullanarak veri akışı incelenebilir ve saldırı tespit edilebilir.
· Yeni Executable Dosyalar: SolarWinds saldırısında meşru olarak dosyalar değiştirilsede yeni oluşturulan çalıştırılabilir dosyalar ile tespit edilme ihtimali var.
· Yeni Tasklar: Windows üzerinde yeni oluşturulan tasklar veya modifiye edilmiş eski ve meşru tasklar ile saldırı tespit edilebilir.
CISA Hafifletme (Mitigation) Önerileri
· SolarWinds tarafından yayımlanan uygun güncellemeler yapılmalı
· Başarılı bir saldırının etkilerini azaltmak için tüm yazılımları ayrıcalıklı olmayan bir kullanıcı (yönetici ayrıcalıkları olmayan) olarak çalıştırın.
· Kullanıcılara güvenilmeyen web sitelerini ziyaret etmemelerini veya bilinmeyen ya da güvenilmeyen kaynaklar tarafından sağlanan bağlantıları takip etmemelerini hatırlatın.
· Özellikle güvenilmeyen kaynaklardan gelen e-postalarda veya eklerde bulunan hiper metin bağlantılarının oluşturduğu tehditler konusunda kullanıcıları bilgilendirin ve eğitin.
· En Az Ayrıcalık İlkesini tüm sistem ve hizmetlere uygulayın.
KAYNAKÇA
· https://www.techtarget.com/whatis/feature/SolarWinds-hack-explained-Everything-you-need-to-know
· https://attack.mitre.org/campaigns/C0024/
· https://www.linkedin.com/pulse/how-detect-prevent-solarwinds-supply-chain-attack-roger-grimes/
· https://www.cisecurity.org/solarwinds

June 16, 2024

Togg'dan sonra tamamen yerli imkanlarla doğan 2nci elektrikli modelimiz Amperino, gün sayıyor...

You may like these posts

Post a Comment

Hollywood Movies

Popular Posts

WEB BROWSER SECURITY (TARAYICI GÜVENLİĞİ) ÖZELLİKLERİ

WEB Anlatımı (Serves Cloud Deep Web Google Amazon)

CIO GRUP - SİBER AĞ DEFENSX TOPLANTISI

Yerli Dijital Savunma Ürün Üretici Firmaları

OpenAI ERP Entegrasyonu ve İş Uygulamarında Geliştirmeler

Aktif Siber Savunma ve Siber Güvenlik Hizmetleri | BİLGEM TechTalks Teknoloji Konuşmaları

LİDERLİK

CRM-Crew Resource Management

2023 için Bilişim Teşvikleri

İletişim Formu

Labels

Random Posts

Search This Blog

Fast Grid

POPULAR SHARE

WEB BROWSER SECURITY (TARAYICI GÜVENLİĞİ) ÖZELLİKLERİ

WEB Anlatımı (Serves Cloud Deep Web Google Amazon)

CIO GRUP - SİBER AĞ DEFENSX TOPLANTISI

Yerli Dijital Savunma Ürün Üretici Firmaları

OpenAI ERP Entegrasyonu ve İş Uygulamarında Geliştirmeler

Aktif Siber Savunma ve Siber Güvenlik Hizmetleri | BİLGEM TechTalks Teknoloji Konuşmaları

About Us

Follow Us

Footer Copyright

Contact form