Zararlı Yazılım Nedir? Nasıl Çalışır?

Kişisel bilgisayarlar, sunucular, mobil ve IoT cihazları günlük hayatın ayrılmaz parçası haline geldi. Bu durum siber saldırganların saldırılarını ve saldırı yöntemlerini oldukça çeşitli hale getirdi. Zararlı yazılımlar da siber saldırganların sıkça kullandığı yöntemler arasında. Peki zararlı yazılım çeşitleri neler, nasıl çalışıyor ve bulaşıyor? Gelin inceleyelim.

Zararlı Yazılım Nedir?

Siber saldırganların bir sisteme erişmek amacıyla izlediği birkaç farklı yöntem vardır. İngilizce “malicious software” kelimelerinden türetilen malware yani zararlı yazılımlar bir sisteme sızma amacıyla hackerlar tarafından kullanılan en yaygın yöntemlerden biridir.

Zararlı yazılımlar kullanıcının bilgisi ve isteği dışında bir sisteme yerleşerek sisteme çeşitli zararlar vermeyi amaçlayan yazılımlardır. Zararlı yazılımlar bilgisayarda yer alan dosyaları tahrip edebilir, veri güvenliğini ihlal edebilir, sistemi çalışmaz hale getirebilir, fidye için dosyalara el koyabilir veya sadece spam reklamlar ile can sıkıcı bir halde ortaya çıkabilirler.

Zararlı Yazılım Çeşitleri Nelerdir?

Zararlı yazılımlar amaçları, çalışma yöntemleri ve yapıları bakımından çeşitli alt başlıklara ayrılır. Bir dosya ile beraber gelen virüsler, kendini bilgisayardan bilgisayara kopyalayan solucanlar, gizlice bilgisayarlara sızan trojanlar zararlı yazılımlardan bazıları. Şimdi, oldukça fazla çeşide sahip zararlı yazılımlara yakından bakalım.

Virüs

Bilgisayar virüsleri genel olarak tüm zararlı yazılımların ortak adı olarak kullanılır ancak bu pek de doğru bir kullanım değildir. Bilgisayar virüsleri, tıpkı hastalıklara sebep olan biyolojik virüslerin bir canlıdan bir diğerine bulaşması gibi bilgisayardan bilgisayara bulaşır. Bulaştığı sisteme zarar vermek için belirli işlevleri yerine getirir. Bu genelde sistemi sabote etmek için dosyaları silmektedir.

Virüsler kodunu çalıştırabilmek için ve bilgisayardan bilgisayara yayılabilmesi için çalıştırılabilir bir dosyaya eklenir. Kullanıcı şüpheli bir dosyayı açtığında virüs çalışmaya başlar. Virüslerin oldukça çeşitli tipleri vardır.

Dosya virüsleri, önyükleme sektörü virüsleri, makro virüsler, ağ virüsleri, eşlik virüsleri, yazılım bombaları, Cross-site scripting virüsleri ve DOS virüsleri gibi farklı virüs versiyonları bulunur.

Solucan (Worm)

Solucanlar virüslere benzer özellikleri ile virüslerin alt sınıfı olarak da görülebilir. Solucan virüsleri kendisini bir bilgisayardan diğerine kopyalayarak yayılır. Kullanıcının hiçbir etkisi olmadan kendi kendine çalışan solucanlar e-posta, internet siteleri, çıkarılabilir aygıtlar (USB bellek, CD) aracılığı ile bulaşabilir. Bellek ve ağ bant genişliğini kullanılmaz hale getirebilir. Arka planda siber saldırganların istedikleri yazılımları çalıştırarak kişisel bilgilere ulaşmasına imkan sağlayabilir.

Kök Kullanıcı Takımı (Rootkits)

Zararlı yazılımlar sisteme girdiğinde kullanılan güvenlik yazılımları veya sistemde oluşturduğu kaynak kullanımı aracılığı ile tespit edilebilir. Rootkit zararlıları ise sistemde yönetici yetkisi elde ederek kendisini sistem içerisinde gizleyebilir. Yönetici yetkisi ile kendisini algılayacak olan yazılımları yanıltabilir.

Rootkitler gizlenme yetenekleri sayesinde asıl işi yapacak olan zararlı yazılımların sistemde gizlenmesini sağlar. Rootkitler sisteme erişim sağlamak için oluşturulan arka kapıları, klavye kullanımını dinleyen keyloggerları gizleyebilir. Sistemin başka siber saldırılar amacıyla kullanılacak zombi bilgisayara dönüştürülmesine yol açabilir. Örneğin, sahte VPN yazılımı ile bilgisayarlara bulaşan Zacinlo adlı zararlı yazılım, rakip zararlı yazılımları sistemden kaldırdıktan sonra arka planda görünmez web tarayıcılar açarak reklamlara sahte tıklamalar gerçekleştirebilir.

Arka Kapı (Backdoor)

Güvenlik yazılımları ile donatılmış bir sistem düşünün, sistemin tüm giriş ve çıkışları denetlenmektedir. İnternet trafiği, harici diskler zararlı yazılımlara karşı taranır. Siber saldırgan ise tüm bu denetimlerden uzak duracak bir arka kapıyı sisteme yerleştirir. Böylelikle bilgisayarı uzaktan kontrol edebilir hale gelirler.

Arka kapı zararlıları sisteme bir virüs yada trojen gibi başka bir zararlı aracılığı ile sisteme yerleştirilir. Arka kapılar sisteme kurulan bir yazılımda, işletim sistemlerinde veya donanım yazılımında yer alabilir. Arka kapılar özellikle bu amaç için yazılan zararlı yazılımlar olabileceği gibi bir yazılımda oluşan açık neticesinde oluşabilir ve kötü niyetli saldırganlar tarafından keşfedilen bu açık ile sistemlere erişim sağlayabilirler.

Truva Atı (Trojan Horse)

Adını Odysseus’un Truva surlarını aşmak ve şehre girebilmek için yaptırdığı rivayet edilen Truva Atı mitinden alan Truva Atı zararlı yazılımı kendini zararsız bir yazılım olarak göstererek kullanıcının kendisini sisteme yüklemesini amaçlar. Masum olduğunu düşünülen bir e-mail eki ya da indirilen bir yazılım ile sisteme fark edilmeden bulaşırlar. Truva atları sisteme kripto madenciliği yazılımları, keylogger yada bir arka kapı yazılımı kurabilir.

Fidye Yazılımı (Ransomware)

Fidye yada şantaj zararlıları yerleştikleri sistemdeki dosyalara erişimi engelleyerek kullanıcılardan para talep etmektedir. Saldırganlar tarafından sisteme bulaştırılan zararlı yazılım dosyaları şifreleyerek veya sistemi kullanılmaz hale getirerek kullanıcılardan bu durumu tersine çevirebilmeleri için belirli bir ücret talep eder. Son yıllarda özellikle şirketlere yapılan ve dosyaların şifrelenmesine sebep olan fidye saldırıları oldukça sık görülür. Saldırgana kripto paralar gibi takip edilemeyecek bir yöntem ile ödeme yapılarak dosyalara erişimi sağlayacak anahtar alınır.

Şantaj yazılımlarını 4 sınıfa ayrılabilir. Şifreleme fidye virüsleri yukarıda da bahsedilen ve çok sık karşılaşılan sistemdeki dosyaların şifrelendiği ve anahtar karşılığı fidye talep edilen zararlılardır. Şifreleme kullanmayan fidye virüslerinde ise dosyaların şifrelenmesi yerine sistemin kullanılmaz hale getirilmesi amaçlanır. Sürekli çıkan görseller, bildirimler veya kapatılamayan pencereler vasıtasıyla sistemi kullanılmaz hale getirir. Leakware veya Doxware olarak adlandırılan diğer bir çeşit fidye virüslerileri ise kullanıcının sisteminden elde edilen hassas verileri yayınlamakla tehdit etmeye dayanır.

Mobil cihazların yaygınlaşması ile mobil fidye virüsleri de ortaya çıkmaya başlamıştır. Mobil cihazlarda veriler genellikle online olarak senkronize edildiği ve bulutta saklandığı için verileri şifrelemek yerine cihazı kullanılmaz hale getirme yöntemi veya leakware yöntemi uygulanır.

Fidye yazılımlarının en bilineni ilk olarak 2013 yılında ortaya çıkan CryptoLocker adlı fidye yazılımıdır. CryptoLocker bulaştığı bilgisayar ve bağlı olduğu ağdaki dosyaları şifreleyerek belirli bir süre içerisinde Bitcoin olarak ödeme talep eder. CryptoLocker aktif bir tehdit olarak görülmese de ardından bir çok taklitçisi ortaya çıkmıştır.

Reklam Yazılımı (Adware)

Reklam zararlıları sisteme bulaşabilecek en az tehlikeli zararlı yazılım türüdür. Adware kullanıcı verilerini kullanarak hedef odaklı reklamlar sunmak için kullanılır. Saldırganların elinde kullanıcılara rahatsız edici sıklıkta ve zararlı yazılımların sisteme bulaşmasına yol açabilecek reklamlar gösterecek şekilde kullanılabilir. Arama motorunu değiştiren yazılım aynı zamanda web etkinliğini de takip edebilir.

Casus Yazılım (Spyware)

Casus yazılımlar da yaygın olarak karşılaşılan zararlı yazılım türlerindendir. Yerleştikleri sistemlerin kullanıcılarına ait kişisel bilgileri, gerçekleştirdiği işlemleri kullanıcının bilgisi haricinde toplar ve takip ederler. Casus yazılımların asıl işlevi sistemden sisteme kendini kopyalamak yerine kendisini gizleyerek kullanıcıları takip etmektir. Bu yönü ile casus yazılımlar virüs ve solucanlardan ayrılır.

Casus yazılımlar kişileri hedef alabileceği gibi ticari bilgilerin ele geçirilmesi amacıyla da kullanılabilir.

Klavye Dinleme (Keylogger)

Keylogger zararlıları bulaştıkları sistemde gerçekleşen klavye hareketlerini kaydeder ve saldırgana gönderir. Klavyede basılan her tuş kayıt altına alınarak şifre ve kredi kartı gibi bilgilerin ele geçirilmesi amaçlanır. Mail, saldırgan siteler ve korsan yazılımlar aracılığı ile sisteme bulaşırlar.

Tarayıcı Ele Geçirme (Browser Hijacking)

Kurulan bir yazılım ya da tarayıcı eklentisi ile birlikte gelen istenmeyen ve zararlı olabilme potansiyeline sahip yazılımlardır. Tarayıcının açılış sayfası değiştirilebilir, istenmeyen reklamlar gösterilebilir, tarayıcı verileri toplanabilir veya zararlı yazılımların indirilmesine yol açabilecek pop-up’lar otomatik olarak açılabilir.

Korkutucu Yazılım (Scareware)

Scareware zararlıları kullanıcılara sistemde zararlı yazılımlar bulunduğuna dair uyarılar vererek sahte yazılımları satmaya çalışır. Kullanıcıya tehlikede olduğunu söyleyip korku yaratarak sahte antivirüs, güvenlik ve bakım yazılımları satmak asıl amaçtır.

Bot Ağları (Botnets)

Bu tip zararlılar bilgisayarınızı saldırganlar tarafından verilen görevleri yerine getirecek birer bot haline getirir. Zararlı yazılımdan etkilenen cihazları organize bir şekilde kullanarak DDoS saldırıları gerçekleştirmek, spam göndermek gibi amaçlar için kullanırlar.

Örneğin, internet üzerinden otomatik olarak ARC işlemci kullanan IoT cihazlarını bulup botnete dahil eden Mirai adlı zararlı yazılım oluşturduğu botnet ağı ile 2016 yılında Minecraft oyununun altyapısına gerçekleştirilen DDoS saldırısı ile ortaya çıkmıştır.

Dosyasız Zararlı (Fileless Malware)

Adı üzerinde sabit diske herhangi bir dosya bulundurmayan zararlı yazılımlardır. Kullanıcının belleğinde çalışan bu tip zararlı yazılımlar sabit diske tespit edilecek bir dosyası olmadığından güvenlik yazılımları tarafından tespit edilmesi oldukça güçtür.

Örneğin geçmişte Microsoft Defender ATP araştırma ekibi tarafından, Astaroth adlı trojanın sistemlere fileless malware kullanılarak bulaştırıldığını ortaya çıkarılmıştı. Kullanıcılara .LNK uzantısına sahip spam içerikler ile bulaşmıştı. Bilgisayarın belleğine yerleşen yazılım sonrasında sisteme truva atı indirip çalıştırmıştı.

Zararlı Yazılımlar Nasıl Çalışır? Nasıl Bulaşır?

Zararlı yazılımlar temiz bir sisteme dışarıdan bulaşır. Zararlı yazılımın bir bilgisayara veya akıllı cihaza bulaşması için birkaç yöntem vardır. Mail ile gelen bir dosya eki, başkasından alınan USB bellek aracılığıyla, sahte yada korsan yazılım indirilmesi sırasında zararlı yazılımlar bulaşabilir. Tüm bunlara dikkat edilse bile kullanılan bir yazılımdaki güvenlik açığı sistemde kötü amaçlı kişiler tarafından kullanılabilecek bir arka kapı görevi görebilir.

Zararlı yazılımların ortak noktası sisteme gizli bir şekilde yerleşmek ve fark edilmeden çalışmaya devam etmektir. Virüs ve solucan gibi zararlı yazılımlar bilgisayardan bilgisayara yayılma davranışı gösterirken truva atı zararlılarının asıl amacı sisteme gizlice sızmak ve sonrasında başka bir zararlının sisteme bulaşmasını sağlamaktır. Arka kapı yazılımları, keylogger ve casus yazılımların ise amacı fark edilmeden uzun süre çalışmaktır.

Sen de siber güvenlik alanında kariyer planlıyorsan, hedefine uygun bootcamp eğitimlerinden haberdar olmak için Techcareer.net’i takip edebilirsin. Techcareer.net Discord kanalına katılarak, fırsatlardan anında haberdar olabilirsin.