Bazen "açıkça orta olan" şeyler hakkında konuşmak zorundasınızdır ve bu düşünce yazıya başlamak için oldukça yerinde olacaktır çünkü bugünlerde bu konu hakkında yazmak umduğum bir şey değildi.  Derinlere inmeden önce eski bir kurala göz atarak başlayalım.

Bilgi güvenliği alanında eski bir deyiş vardır, eğer bir saldırganın bilgisayarınıza fiziksel erişimi varsa artık o sizin bilgisayarınız değildir.  Bunun nedeni oldukça basit:  saldırganların eline bir bilgisayar geçtiğinde, istedikleri her şeyi değiştirebilirler.  Keylogger gibi aygıtlar yükleme, disk sürücülerini kaldırma ve bunları kopyalama ve aksi takdirde silme, değiştirme veya sisteme istedikleri her şeyi ekleme; bunların hepsi bilgisayara yaklaştıkça daha kolay hale gelecektir.  Bu tabii ki şaşırtıcı ya da zekice değildir.  Aksine, bu kaçınılmaz bir gerçektir.  Saldırganlar için, bu onların iş tanımının bir parçasıdır.

Bununla birlikte işletmeler, okullar ve her türlü organizasyon bunun farkındadır.  Bu kuruluşların hiçbiri sunucularını lobi, resepsiyon alanı, ziyaretçi merkezi, bekleme odası veya kamuoyunun ya da herhangi bir çalışanın, fakültenin, öğrencinin veya personelin girebileceği ve bunlara fiziksel olarak erişebileceği yerlere koymaz.  Ya da en azından faaliyet göstermek isteyen hiçbir işletme buna izin vermez.  Genellikle, sunucular ayrı olarak ya kendilerine ayrılmış özel bir odada ya da çoğu personelin giriş iznininin bile olmadığı arkada bir köşede tutulurlar.

Ancak tüm bu ortak bilgiler , fiziksel dünyada güvenlik hakkında öğrenilen dersler her zaman internet dünyasına düzgün (veya doğru) aktarılmaz.  Doğrudan internete bağlı olan Microsoft Windows sunucu işletim sistemlerinin çeşitli sürümlerini kullanan ve kimin erişeceğini konusunda çok az ya da hiç güvenlik pratiği bulunmadan çalıştıran ve çok sayıda sunucu vardır.  Ve bu da bizi RDP tartışmasına getiriyor.

RDP nedir?

Uzak Masaüstü Protokolü'nün kısaltması olan RDP, bir bilgisayarın uzaktan kullanabilmesi için ağ üzerinden başka bir bilgisayara bağlanmasına izin verir.  Bir etki alanında, Windows XP veya Windows 10 gibi bir istemci sistemi çalıştıran bilgisayarlar, işletim sisteminin bir parçası olarak önceden yüklenmiş RDP istemci yazılımı ile birlikte gelir ve bu da kuruluşun sunucuları da dahil olmak üzere ağdaki diğer bilgisayarlara bağlanmalarını sağlar.  Bu durumda bir sunucuya bağlantı, doğrudan sunucunun işletim sistemine veya o sunucudaki sanal makinenin içinde çalışan bir işletim sistemine olabilir anlamına gelir.  Bu bağlantıdan, bir kişi tıpkı o sunucuya bağlı klavyeyi ve monitörü kullanıyormuş gibi dizinleri açabilir, dosyaları indirebilir ve yükleyebilir ve programları çalıştırabilir.

RDP Citrix tarafından 1995 yılında icat edildi ve WinFrame adlı Windows NT 3.51'in geliştirilmiş bir sürümünün bir parçası olarak satıldı.  1998 yılında Microsoft, Windows NT 4.0 Terminal Server Edition'a RDP ekledi.   O zamandan beri, protokol Microsoft'un Windows Server işletim sistemlerinin tüm sürümlerinin bir parçası olmuştur ve Windows XP 2001 yılında piyasaya sürüldüğünden bu yana Windows İstemci işletim sistemlerinin tüm ev dışı kullanıcı sürümlerine dahil edilmiştir.  Günümüzde, RDP'nin yaygın kullanıcıları, sunucu odasına dahi gitmek zorunda kalmadan oturdukları yerden sistemi yöneten sistem yöneticilerinin yanı sıra kuruluşlarının etki alanındaki sanallaştırılmış masaüstü makinelerine bağlanabilen uzak çalışanları içermektedir.

Saldırganlar RDP ile ne yapar?

Geçtiğimiz birkaç yıldır ESET, saldırganların RDP kullanarak internetten Windows Server'a uzaktan bağlandığı ve bilgisayarın yöneticisi olarak oturum açtığı olaylarla giderek artan sayıda karşılaşmıştır.  Saldırganlar sunucuda yönetici olarak oturum açtıktan sonra, genellikle sunucunun ne için kullanıldığını, kimin tarafından ve ne zaman kullanıldığını belirlemek için bazı keşif gerçekleştirirler. 

Saldırganlar denetimine sahip oldukları sunucu türünü öğrendikten sonra kötü amaçlı eylemler gerçekleştirmeye başlayabilirler.  Gördüğümüz yaygın kötü amaçlı faaliyetler şunlardır:

•        sistemdeki varlığının kanıtlarını içeren günlük dosyalarını temizleme

•        zamanlanmış yedeklemeleri ve gölge kopyaları devre dışı bırakma

•        güvenlik yazılımını devre dışı bırakma veya içinde yöneticiler için izin verilen dışlamalar ayarlama

•        çeşitli programları sunucuya indirme ve yükleme

•        erişilebilirlerse eski yedeklemeleri silme veya üzerine yazma

•        sunucudan veri çıkarma

Bu, bir saldırganın yapabileceği her şeyin tam bir listesi değildir, bir saldırgan da bu aktivitelerin tümünü gerçekleştirecek diye bir kural yoktur.  Saldırganlar, önceden belirlenmiş bir gündemi varsa zaman içerisinde birkaç kez veya sadece bir kez bağlanabilirler.   Saldırganların yapacağı şeyler büyük ölçüde değişse de, en yaygın olanlarından ikisi:

•        Monero gibi kripto para birimi oluşturmak için coin madenciliği programlarının kurulması

•        kuruluştan para gasp etmek için, genellikle Bitcoin gibi kripto para kullanılarak ödenebilir, fidye yazılımı yükleme

Bazı durumlarda, saldırganlar, RDP etkinliğinin keşfedilmesi ve sonlandırılması durumunda tehlikeye atılmış bir sunucuya erişimini (kalıcı şekilde) korumak için ek uzaktan denetim yazılımı yükleyebilir.

Hem fidye yazılımı yoluyla gasp etmek hem de kripto para madenciliği için ihlal edilmiş hiçbir sunucu görmedik, ancak bir sunucunun önce bir saldırgan tarafından kripto para madenciliği için ardından ise  başka bir saldırgana devredilerek yeni saldırganın para kazandığı ihlal örnekleri ile karşılaştık,  Görünüşe göre hırsızlar arasında çok az da olsa bir onur bulunuyor.

RDP saldırıları hakkında bilgi, sextortion dolandırıcılarının bile dolandırıcılıklarını daha meşru hale getirmek için fidye notlarını içeren bir noktaya ulaştı.

BlueKeep, varsayılan olarak 3389 portunu kullanır.  Bu portu farklı bir değerle değiştirdiyseniz, engellenmesi gereken port yeni değerdir.

Bu tablo, basitçe şekliyle önem sırasına ve uygulama kolaylığına dayanır, ancak bu, kuruluşunuza bağlı olarak değişebilir.  Bunlardan bazıları kuruluşunuz için geçerli olmayabilir veya bunları farklı bir sırayla yapmak daha pratik olabilir ya da kuruluşunuzun atması gereken ek adımlar bulunabilir.

Uç noktası güvenlik yazılımınızın BlueKeep güvenlik açığını algıladığını kontrol etmeniz gerekir.  BlueKeep, ESET Internet Security ve ESET Smart Security Premium ile tüketiciler, ESET uç nokta koruma programları ile işletmeler için  ESET'in güvenlik duvarı teknolojisinin bir uzantısı olan ESET Network Attack Protection modülü tarafından RDP/Exploit.CVE-2019-0708 olarak algılanır. 

Şekil2: ESET Antimalware teknolojisi şunları açıkladı: Ağ Saldırısı Koruması

Bu program BlueKeep için Microsoft'un güncelleştirmelerini uyguladıktan önce ve sonra Windows XP, Windows Vista, Windows Server 2003, Windows Server 2003 R2, Windows Server 2008 ve Windows Server 2008 R2 32-bit ve 64-bit sürümlerine karşı test edilmiştir. Programı kullanmak için yürütülebilir (.exe) dosyayı çalıştırın.  İlk sürümde kullanılmak için komut satırı bağımsız değişkeni bulunmamaktadır.

Program çalıştırıldığında , sistemin istismara karşı savunmasız olup olmadığını, sistem yamalıysa durumunu veya sistem BlueKeep istismarına karşı savunmasız olmadığını bildirecektir.  Sistemin savunmasız olması durumunda araç, Microsoft'un web sitesinde uygun yamaları indirmek için kullanıcıyı web sayfasına götürür.

Bu, kişisel kullanım için tasarlanmış tek amaçlı bir araçtır ve otomatikleştirilmiş bir ortamda toplu kullanım için dağıtılması amaçlanmamakla birlikte, sınırlı hata raporlaması vardır. Komut dosyası oluşturması için eğer sistem korunuyorsa ERRORLEVEL sıfır, korunmuyorsa bir gösterilecektir.

Son düşünceler ve ek okuma

BlueKeep istismarı asla yaygınlaşmayabilir, ancak önleme araçlarına dahil edilmesi, kurum içi güvenlik testlerinin kalıcı bir parçası olacağı anlamına gelir.  Bu nedenle, BlueKeep'in istismarını önlemenin gerçek çözümü, güvenlik açığı olan cihazları şirketinizin ağından kaldırmaktır. 

Bununla birlikte, savunmasız bir cihazın kaldırılması, cihazın işletmede, maliyet veya başka nedenlerden dolayı kritik bir rol oynaması sebebiyle her zaman mümkün olmayabilir.  Uzun zamandır güvenliğe katmanlı bir yaklaşım sergiliyoruz ve BlueKeep'e karşı koruma politikamız da istisna bulundurmamaktadır.  Aslında, yukarıda belirtilen bazı adımlar, örneğin ESET Secure Authentication gibi bir 2FA uygulamasını yüklemek, ağlarınızın davetsiz misafirlerden ve diğer tehditlerden korunmasına yardımcı olabilir.

RDP ve BlueKeep hakkında daha fazla bilgiye şu adresten ulaşabilirsiniz:

·         CSO Online.  Microsoft, Windows müşterilerine wormable RDP açığını yamaları için uyarıyor. (15 Mayıs 2019)

·         Microsoft. Windows XP SP3, Windows Server 2003 SP2, Windows Server 2003 SP2 R2, Windows XP Professional x64 Edition SP2, Windows XP Embedded SP3, Windows Embedded POSReady 2009 ve Windows Embedded Standard 2009'daki uzaktan kod yürütme güvenlik açığı için güvenlik güncelleştirmesinin açıklaması. (17 Haziran 2019)

·         Microsoft. CVE-2019-0708 için müşteri rehberi | Uzak Masaüstü Hizmetleri Uzaktan Kod Yürütme Güvenlik Açığı: 14 Mayıs 2019.

·         Microsoft. CVE-2019-0708 | Uzak Masaüstü Hizmetleri Uzaktan Kod Yürütme Güvenlik Açığı. (14 Mayıs 2019)

·         Microsoft. Uzak Masaüstü Hizmetleri Bağlantıları için Ağ Düzeyinde Kimlik Doğrulamasını Yapılandırma. (13 Haziran 2013)

·         MITRE.  CVE-2019-0708. (tarihsiz)

·         NSA.  NSA Siber Güvenlik Raporu: Windows'un Eski Sürümlerinde Uzak Masaüstü Hizmetleri Yama geçilmesi. (4 Haziran 2019)

·         SANS.  Microsoft Windows RDP “BlueKeep” Güvenlik Açığı (CVE-2019-0708) [şimdi pcaps ile] hakkında bir güncelleme. (22 Mayıs 2019)

·         US-CERT, Teknik Uyarısı AA19-168A: Microsoft İşletim Sistemleri BlueKeep Güvenlik Açığı. (17 Haziran 2019)

·         WeLiveSecurity.  İlk BlueKeep saldırıları yeni uyarılar veriyor. (11 Kasım 2019)

·         WeLiveSecurity.  Microsoft, yeni BlueKeep-benzeri kusurlar konusunda uyardı. (15 Ağustos 2019)

·         WeLiveSecurity.  BlueKeep yaması yeterince hızlı ilerlemiyor. (17 Temmuz 2019)

·         WeLiveSecurity.  NSA, Windows kullanıcılarını 'BlueKeep' yaması yapmaya çağıran kadroya dahil oldu. (6 Haziran 2019)

·         WeLiveSecurity.  Hemen yamalayın! BlueKeep güvenlik açığı neden büyük bir olay. (22 Mayıs 2019)

·         ZDNet.  BlueKeep RDP zararlısı için yoğun tarama etkinliği tespit edildi. (26 May 2019)

Meslektaşlarım; Alexis Dorais-Joncas, Bruce P. Burrell, Nick FitzGerald, Matúš P., Peter R., Peter Stančík, Štefan S. ve diğer ESET çalışanlarına bu makaledeki yardımları için özel teşekkürler.