tarafından Admin Bir Salı Ağus. 17, 2010 5:15 pm
E-posta akarsuyunun içerisinde zararlı içeriğin var olması tüm e-posta tabanlı saldırılar için genel bir zaaftır. Çünkü bu gelen posta üzerinde tehdidi engellemek amacıyla sert politikaların uygulanmasına neden olur. Bu içeriğin ya direkt olarak bloklanmasını yada derinlemesine taranmasını sağlar. Malware üreticileri genellikle yaydıkları kitle-postalarda bir****l yükü göndermezler (örneğin backdoor, şifre çalıcı veya keylogger), bunun yerine downloader Trojan tercih ederler. Bu yöntemin yegane amacı (tipik http yoluyla) bazı uygulamaları indirip uygulamaktır. İndirme yönteminin kullanılması malware yazarına birkaç avantaj sağlar:
• Bir****l dosya ve e-posta.
Zlob adıyla bilinen Windows trojanı pornonun bir tuzak olarak kullanılmasını kusursuz bir şekilde ıspat ediyor. Yükleme mekanizması pornografik içeriğe sahip web sitelerindeki kampanyaları kullanıyor. İçeriğe erişmek için hamle yapıldığında (genellikle cazip bir porno filmi) kullanıcı Şekil 5’te gösterilen hata mesajıyla karşılaşır. Kayıp video codecini indirmek için yapılan tıklama başka bir siteden sahte codec kurulumunun (saldırının amacı doğrultusunda) indirilmesiyle sonuçlanır. Kurulum çalıştırıldığında zararlı Zlob bileşenleri yüklenmiş olur ve kurbanın makinesi zarar görür.
Sonraki Zlob bileşenleri tamamen aynı sosyal mühendislik mekanizmasını kullanır. Ancak arada bir fark vardır; boş hata mesajı yerine bir porno videosundan ses içerir, bu sayede kurbanın zararlı kayıp codeci yüklemesi garanti aldına alınmış olur.
Kullanıcıların internet arama motorları büyük oranda kullanması malware yazarlarının yeni kurbanlar bulmalarına fırsat tanıyor. Arama motorlarında üst sıralara yerleşme amacıyla inşa edilen siteler saldırı hedefi olma açısından şanslarını maksimize etmiş oluyorlar. Arama motorları sıralamalarını manipüle etmek amacıyla sayfa içeriklerinde yapılan değişiklikler genellikle araştırmalarda zararlı sitelerin ilk sıralarda yer almalarını sağlıyor. Genellikle pornografik veya ilaç kullanımına ait sitelerin blok halindeki linklerini görmekte mümkün (bkz. Şekil 6). Bu tip bloklar sitelerinde aranan metinler style=display:none özelliği kullanılarak görüntülenen sayfada arka planda kalmaları sağlanıyor. Bu fenomen link bombardımanı veya Google Bombing olarakta biliniyor (diğer arama motorlarında da yöntem uygulanıyor). Hedeflenen sitelerin çoklu linklerle desteklenmesi bu sitelerin arama motoru sonuçlarına ihtiyaç duymaksızın sıralamada yükselmesine neden oluyor. Geçtiğimiz yıl, Google bu tekniğin uygulanabilirliğini en aza indirmek için link bombardımanına karşı savaşan bir teknoloji başlattı .
HTML extra içerik yüklenmesi için çok rahat yollara sahiptir. En çok kullanılan yöntemlerden biri tagıdır , içeriği sayfaya gizlice entegre eder. Bu tag bir çok web sitesinde uygulanmaktadır. Malware yazarı için bu yöntem gücenilen web adresleri üzerinden kullanıcının müdahalesine veya sosyal mühendislik uygulamalarına ihtiyaç duyulmaksızın zararlı içeriğin çalıştırılması için çok uygundur. 2007’nin son 6 aylık istatistiklerine göre web tabanlı malware uygulamalarının yaklaşık %50’si iframe yöntemini kullanıyor . İçeriğin yüklendiği iframein sayfadaki görüntüsünü ayarlamak için yükseklik ve genişlik özellikleri sıkça kullanılır. Kullanıcının zararlı iframei görmemesi için genellikle genişlik/yükseklik oranları çok küçük ayarlanır (0-10 piksel). Bir sayfada birden fazla iframeler mevcut ise, ufak ifremeler ufak kutucuklara sebep olur. Zararlı iframelerin bu özelliklere sahip olduğu bilinmesine rağmen proaktif tespit sistemleri bunları sıradan olarak görür, çünkü bir çok normak web sitesi çok benzer özelliklere sahip iframeler kullanmaktadır. iframe boyutu tespit için kullanılabilir fakat içeriğide (kaynak kodu) çok iyi analiz edilmelidir. İlginçtir, bir çok saldırı türü küçük boyutlardan çok büyük boyutlu iframelere geçiş yapmıştır (örn: 1500x1500 piksel), muhtemelen ufak boyutlardaki iframeleri potansiyel tehlike olarak gören savunma teknolojilerinin şüphelerini çekmemeyi amaçlıyorlar.
Kurban açısından iframe tagının direk eklenmesiyle bu yöntem sonuç olarak tamamen aynıdır. Günvelik yazılımları içinse üstesinden gelinmesi gereken başka bir problemdir. SophosLabs tarafından tespit edilen neredeyse tüm faydalanılan siteler uzak sunucuya bu şekilde bağlantılar içerir. Bir sitenin güvenliği aşıldığı andan itibaren, bir saldırı için gerekebilecek tüm bileşenler o sitede barındırılabilir. Sayfa zararlı kodun çalıştırılması için modifiye edilip, yüklenecek olan zararlı yazılım aynı serverda barındırılabilir. Fakat bu yönteme pek rastlanmaz, bunun iki ana nedeni vardır. İlk olarak faydalanılan siteleri tek bir yere yönlendirmek merkezi bir kontrol sistemi sağlar. İk**** olarak, ufak bir iframe kodu eklemek yerine büyük scriptler binary dosyalarını yüklemek yakalanma riski açısından çok daha dikkat çekicidir. Bir sitenin bir çok kez kullanıldığı içerdiği bazı işaretlerden anlaşılabilir (Şekil , sayfa kaynağıda bazı işaretler taşır. Çoklu iframe tagları veya zararlı scriptler kullanıldığı bazı durumlarda karakteristik işaretçilerle (HTML yorumlayıcı) eklenen kodun hemen başında ve sonunda karşılaşılır
Şekil 10: Her blok arasında () kullanıldığı görünüyor.
Tüm ağ saldırıları faydalanılan siteler üzerinden gerçekleştirilmez. Hergün internet üzerinde bu amaçla oluşturulmuş yeni sitelere rastlanıyor. Alan adı kayıt süreci yeterli derecede kontrol altında değildir, web tabanlı saldırılar için siteler oluşturulmasına veya benzer bir alan adının web trafiğinin takip edilmesine olanak sağlar. Bu yeni sayılabilecek yöntemi kullanan saldırılar var olan legal bir alan adına bazen telaffuz hataları veya ufak bir harf değişikliği kadar benzer alan adları edinirler . Bu teknikler phishing saldırılarında sıradandır fakat sadece bu saldırı tiplerinde kullanılmazlar. Saldırı için oluşturulmuş özel sitelerin alan adları içeriklerini yansıtmaz. Bazıları popular sitelerin adlarına yakın karakterlerden oluşur, diğerleri ise genellikle anlamsız karakter serilerinden oluşur (bir çoğu telaffuz bile edilemez). Saldırı siteleri alan adı kaydı yapılmadan, bedava hizmet veren servislerden alınan alanlarla da oluşturulabilir. Saldırı sitelerini araştırmanın önemli bir kısmı da alan adı bilgilerini incelemektir, bir sitenin zararlı olup olmadığı kısmen bu kriterle de belirlenebilir (i.e. bir sitenin saldırı sitesi olup olmadığını bildirebiliyor). er ikiside saldırı için Google’dan destek alır. İlki özelleştirilmiş bir Google arama sayfası gibi görünür, fakat esasında kurbana zarar vermek için tasarlanmış ve zararlı kodlar içermektedir . İk****si ise web sayaç servisi olarak görünmesine rağmen değişik tarayıcı açıklarını kullanarak (MS06-057 , WinZip, MS06-055 , QuickTime (CVE-2007-0015), MS07-009 ) kurbanın bilgisayarına zararlı yazılım yüklemeyi amaçlar. Site sonuçları ik**** kez istendiğinde gerçek Google arama sayfasına yönlendilmiş olması ise işin ilginç kısmı.
Şekil 11:Örnek saldırı sitesi ilk istekte zararlı içeriği deniyor ik**** istekte ise orjinal Google arama sayfasına yönleniyor.
Saldırı sitesi kurulduğu andan itibaren hackerların kurbanları bu siteye çekmeleri gerekir. Bunun için genellikle iki yöntem kullanılır, faydalanılan sitelerde ki iframe içeriklerinin çalıştırılması veya içerisinde bu siteye bağlantı içeren spam e-postalar. Spam e-postalarda en çok kullanılan yöntem ise pornografik içerik vaadi (örn: pornografik resimler videolar vb.) , . Son zamanlarda kullanılan saldırı aracı ise Iffy . Iffy ilk olarak, Microsoft Internet Explorer’ın imleç açığı (MS07-017) sayesinde zararlı ANI dosyaları oluşturmak için kullanıldı. Müteakip Iffy saldırılarında ise kurbana zarar vermek için MS07-017 çerçevesinde oluşturulan diğer exploitleri kullanıldı.
URL filtreleme aynı zamanda kullanıcının ziyaret ettiği sitelerin üzerinde de kontrol sağlar. Siteler porno, kumar, şiddet içerikli ve benzeri kategorilere ayrılarak istendiği takdirde engellenmesi sağlanabilir. Kategorize kriterleri URL filtrelemesinin başarısıyla doğru orantılıdır. Bu sebeple URL sınıflandırılmasının belirlenmesi açısından birçok 3. parti yazılım firmasına lisans verilmiştir.