Çevrimiçi hizmetler kötü amaçlı trafiği engellemede daha iyi hale geldikçe, bu saldırıların ve dolandırıcılıkların arkasındaki kişiler hedeflerine ulaşmak için yeni yollar bulmaya zorlanıyor. Şu anda tercih edilen yöntem, “konut proxy ağları” olarak bilinen sistemlerdir. Bu sistemler, milyonlarca ev internet bağlantısını tek bir ağ altında toplar ve proxy operatörleri, saldırıların kötü amaçlı trafiğini bu bağlantılar aracılığıyla yönlendirmek için ücret talep eder. Çevrimiçi hizmetler yalnızca iyi itibara sahip IP adreslerini ve dikkat çekmeyen coğrafi konumları görür.
Çoğu zaman, ev kullanıcılarının bağlantıları suç faaliyetini kolaylaştırmak için kullanıldığının farkında değillerdir. Durumu bilenlerin çoğu da pek umursamazlar. Bağlantılarının bir kısmını başkalarına kiralamalarının karşılığında, birçok kişi ücretsiz film ve TV şovu izleme imkanına sahip olurlar. Kullandıkları dijital medya oynatıcılara sahip olan bazı teknik bilgisi daha az kişilerin, bu cihazların bağlantılarını nasıl kullandığımı anlattığımda, sundukları içerik bolluğunun değerli olduğunu ve bunun neden olduğu potansiyel zarardan daha ağır bastığını düşündüklerini söylediler. Onlar için somut faydalar, soyut risklerden daha önemlidir.
Pazartesi günü yayınlanan bir araştırma, bu tehdidi çok daha net bir şekilde ortaya koyuyor. Plume adlı güvenlik şirketi, SuperBox gibi çeşitli medya oynatıcılarda bulunan kötü amaçlı yazılımların geniş bir ekosistemini katalogladı. Bu kötü amaçlı uygulamalar, cihazlar router’ın arkasında bulunsa bile, uzaktan saldırganlar tarafından gizlice kurulabilir. Pazartesi günkü derinlemesine analiz yalnızca SuperBox’a odaklanmış olsa da, Plume, benzer şekilde aynı tehdidi oluşturan düzinelerce başka akış cihazının bulunduğunu uyardı.
“Araştırmacılarımızın bulgularına göre, bu konut proxy ağları sadece gelir elde etme araçları değil,” diye yazdı Plume araştırmacıları. “Aynı zamanda ek olarak kötü amaçlı yazılım dağıtımı için bir hedef olarak kullanılıyor. Bu, siber suçluların zaten tehlikeye girmiş cihazları tamamen yeni kötü amaçlı yazılım aileleriyle enfekte etmesini sağlıyor ve bu durum genellikle cihaz sahibinin dikkatini çekmiyor.”
Android tabanlı SuperBox, neredeyse tüm işletim sistemi düzeyindeki güvenlik önlemleriyle yapılandırılmıştır. Önceden yüklenmiş uygulamalar veya SuperBox uygulama mağazasında bulunan uygulamalar, kök erişimiyle çalışır, yani cihaz üzerinde sınırsız yönetici sistem haklarına sahiptir. Proxy hizmeti müşterileri de birkaç Linux komutuyla kök erişimi elde edebilirler. Bu sayede hem uygulama hem de ödeyen müşteri kendi uygulamalarını yükleyebilir, cihaza bağlı olduğu yerel ağda gözetleme yapabilir ve diğer bağlı cihazlarla aynı sistem haklarına sahip olabilir.
SuperBox, Android’in varsayılan savunma mekanizmalarını devre dışı bırakır, bunlar arasında imza doğrulaması, “bilinmeyen kaynaklar” kısıtlaması, izin inceleme iletişim kutusu ve Play Protect taraması bulunur. Sonuç olarak, SuperBox’un ADB (Android Debug Bridge) internete açık hale gelir. Dahası, kullanıcıların düşük seviyeli sistem haklarına sahipken geçici olarak yönetici düzeyine erişim sağlayan kod olan “su” ikilisi, herhangi bir kimlik doğrulama olmadan kök erişimi sağlar. ADB’nin internete açık olması ve kök erişimi için kimlik doğrulaması olmaması kombinasyonu, hem uygulamaların hem de proxy hizmeti kullanıcılarının cihaz üzerinde istedikleri gibi neredeyse her türlü komutu çalıştırmasına olanak tanır.
Çoğu zaman, kullanıcılar SuperBox’larını ev router’larının arkasına yerleştirirler ve bu durumun onları internet bağlantılı uzaktan saldırganlardan koruduğunu düşünürler. Ancak bu güvenlik hissi tamamen yanıltıcıdır. Aslında, birçok SuperBox uygulamasında bulunan proxy işlevlerini sağlayan ikili dosyalar, bir dışsal bağlantı açar ve bu bağlantıyı sonsuza kadar açık tutar. Router’lar, güvendikleri iletişimlere bağlı oldukları için bu iletişimi engelleyemezler çünkü bunlar SuperBox ile proxy sunucusu arasındaki şifreli dışsal bağlantılardır. Ağ trafiğini izlemeye yetenekli kullanıcılar bile, ADB portuna yapılan herhangi bir gelen bağlantıyı fark etmezler.
“Burada merkezi rol oynayan şey açık ADB portudur,” diye e-postayla yazan Plume araştırmacısı Gergely Eberhardt. “Kök erişimiyle birlikte, tek bir ‘pm install’ komutu sessizce herhangi bir APK dosyasını yükleyebilir. Bu, Android’in tüm varsayılan korumalarını aynı anda atlar: imza doğrulaması, ‘bilinmeyen kaynaklar’ kısıtlaması, izin inceleme iletişim kutusu ve Play Protect taraması.”
Açık ADB ile birlikte, varsayılan olarak bulunan proxy işlevlerine sahip uygulamaların varlığı tehlikeli bir kombinasyon oluşturur ve SuperBox’ı önemli bir tehdit haline getirir.
“Bu kombinasyon, ek enfeksiyonlara yol açar; bunlar başka konut proxy ağlarına veya DDoS saldırıları için kullanılan IoT bot ağlarına katılım anlamına gelir. Saldırganlar genellikle birincil proxy ağının müşterileridir,” diye yazdı Plume. “Cihaz sahipleri istemedikleri çok sayıda bot’a sahip olurlar ve bunların farkında olmazlar, tüm bu botlar aynı IP adresini kullanır ve bu IP adresinin itibarı da o botların kullandığı şeyleri yansıtır.”
SuperBox’u kullanan bazı proxy ağ hizmetleri, müşterilerinin SuperBox kullanıcılarının yerel ağlarına erişmesini önlemek için önlemler alır. Örneğin, yakın zamanda kapatılan Popanet, yerel ağın dışındaki IP aralıklarına erişimi engeller. Ancak yine de, Popanet kullanıcıları 0.0.0.0 gibi özel bir joker adres belirterek yerel IP’lere erişebilirler; Android daha sonra bu adresi SuperBox IP’si olan 127.0.0.1’e yönlendirir. Bu konumdan proxy kullanıcıları, yerel ağın geri kalanına erişebilir.
Pazartesi günkü gönderide ayrıca Popanet ağının bile canlı bir sömürü girişimi kolaylaştırdığı belirtildi. Plume şöyle yazdı:
“Önceki bölümde anlattığımız yerel ağ koruma sorununu sadece teorik bir endişe olarak değil, aynı zamanda gerçek bir sorun olarak kabul ediyoruz. Bu durumun gerçekten de yaşanıp yaşanmadığını görmek için kontrollü bir deney yaptık. Popanet ağına normal bir konut çıkış noktası olarak katıldık ve herhangi bir bağlantının tünel üzerinden gelen ve port 5555 veya 5858’e (bunlar en yaygın ADB portlarıdır) yönlendirilen her türlü bağlantının yerel bir tuzak sistemimize yönlendirilmesini sağladık. Operatör perspektifinden bakıldığında, noktamız herhangi bir normal konut uç noktası gibi görünüyordu ve müşteri trafiği sağlıyordu; ancak içerdendi, ADB portuna ulaşmaya yönelik tüm girişimler bizim tarafından yakalanıyordu.
Bu noktayı üç haftadan uzun bir süre çalışır durumda tuttuk; bu süre zarfında tuzak sistemimiz 1352 farklı adresten gelen ADB’ye erişim girişimini kaydetti. Tüm saldırılar iki aileye ayrılabilir: biri 0.0.0.0 adresini, ya ham olarak ya da nip.io gibi bir joker DNS hizmeti aracılığıyla yerleştirilmiş bir alan adı olarak kullanır; diğeri ise proxy tarafından isLoopbackAddress() ile engellenen 127.0.0.1’dir.
mysperboxtv.com adresine gönderilen ve basım saati itibarıyla yanıt almadığımız bir e-posta, bu konuya ilişkin görüş almak için gönderildi.
Denemeler sırasında, SuperBox’ları başka bir proxy ağına dönüştüren veya DDoS saldırıları için kullanılan bot ağlarına katılan çeşitli kötü amaçlı uygulamaların kurulumuna yönelik girişimler tespit edildi. Üç ana uygulama şunlardı: CECbot, Mirai’nin bir varyantı ve Maskify.
Pazartesi günkü raporu okuduktan sonra, SuperBox’ın ve benzerlerinin tümünün bağlantılı olduğu ağlar için gerçek ve acil bir tehdit oluşturduğu sonucuna varmak kaçınılmazdır. Kendilerini internet bağlantısından izole edilmiş olarak gören bile risk altındadır. Eğer böyle bir cihaz kullanıyorsanız, onu kapatmalı ve elden çıkarmalısınız. Aile üyelerinizden birinin böyle bir cihaz kullandığını fark ederseniz, müdahale etmelisiniz. Google’a göre Popanet proxy hizmetiyle çalışan 2 milyon cihaz varken, bulunduğunuz bölgede de böyle bir ağın çalıştığı olasılığı yüksektir.
Bu Gelişmeyi Toplulukta Değerlendirin
Haber hakkındaki düşüncelerinizi, donanım deneyimlerinizi ve teknik sorularınızı topluluk üyeleriyle anlık olarak tartışın.
Bir yanıt yazın