Görünmeyen Tehdit: PowerShell ile Sessiz Saldırılar

PowerShell Neden Tehlikeli Olabilir?

• PowerShell, sistem üzerinde yüksek yetkilerle çalışabilen ve işletim sistemi bileşenlerine doğrudan erişim sağlayan güçlü bir araç olduğu için saldırganlar tarafından kolayca kötüye kullanılabilir.
  
  
• Bellek içi (fileless) çalışabilmesi ve diske kalıcı iz bırakmadan komut çalıştırabilmesi, geleneksel güvenlik çözümlerinin PowerShell tabanlı saldırıları tespit etmesini zorlaştırmaktadır.
  
  
• Invoke-Obfuscation gibi araçlarla PowerShell kodlarının karmaşıklaştırılabilmesi, zararlı aktivitelerin gizlenmesine ve güvenlik mekanizmalarının atlatılmasına imkân tanır.
  
  
• PowerShell’in varsayılan olarak Windows sistemlerinde yüklü gelmesi ve etkin izleme ile uzman analiz desteği olmadan kullanılması, kurumsal ortamlar için ciddi güvenlik riskleri oluşturmaktadır.
  
  

Sessiz Saldırı Kavramı Ne Anlama Gelir?

• Sessiz saldırı (stealth attack), bir bilişim sistemi veya ağa yönelik, mümkün olduğunca uzun süre fark edilmeden faaliyet göstermeyi amaçlayan siber saldırı türüdür. Temel hedef, sistemde görünür bir hasar oluşturmadan veri toplamak, yetki elde etmek veya kalıcı erişim sağlamaktır.

​ ​

1. Kullanılan Teknikler

2. 1. Dosyasız (Fileless) Saldırılar: Zararlı kod doğrudan belleğe yüklenir ve sistemin kendi araçları (ör. PowerShell) kullanılarak çalıştırılır. Disk üzerinde iz bırakmadığı için tespiti zorlaşır.
   2. Living off the Land (LotL): Saldırgan, dışarıdan araç getirmek yerine sistemde var olan meşru yazılımları kötüye kullanır.
   3. Yan Kanal Saldırıları (Side-Channel Attacks): Donanımın çalışma şekline odaklanarak, işlemci davranışı ve elektromanyetik sinyaller üzerinden bilgi çalma yöntemidir.
      
      

3. Belirtiler ve İpuçları

4. 1. Bilgisayar veya mobil cihaz performansında düşüş, fanların aşırı çalışması veya sistemin donması.
   2. Bilinmeyen dosya ve uygulamaların ortaya çıkması; özellikle .exe, .bat, .scr uzantılı dosyalar.
   3. Hesaplarda şüpheli girişler, e-posta veya sosyal medya aktiviteleri.
   4. Tarayıcı ayarlarının değişmesi, istem dışı reklam ve açılır pencere oluşması.
   5. Antivirüs veya güvenlik yazılımlarının kapanması veya güncellenememesi.
      
      

5. Gelişmiş Tehditler ve Riskler

6. 1. Gelişmiş kalıcı tehditler (APT) aylar veya yıllar boyunca sistemde sessizce kalabilir ve kritik verileri izleyebilir. Sessiz saldırılar çoğu zaman kullanıcı davranışlarını hedef alır ve fark edilmeden çalışır; bu nedenle sadece teknik önlemler değil, izleme ve kullanıcı farkındalığı ile korunmak gerekir.
      
      

Dosya Bırakmadan Yapılan Saldırılar

• Dosyasız saldırılar, diske zararlı dosya yazılmadan, genellikle sistem belleği (RAM) üzerinden gerçekleştirilen siber saldırılardır.
• Saldırganlar, cmd.exe ve powershell.exe gibi işletim sistemiyle gelen, güvenilir kabul edilen araçları kötüye kullanır.
• Amaç, geleneksel antivirüs çözümlerinden kaçmak ve saldırının tespit edilmesini zorlaştırmaktır.
• Bu yöntemle arka kapı oluşturma, yetki yükseltme ve veri sızdırma gibi işlemler sessizce yapılabilir.
• Bu saldırılara karşı en etkili savunma, komut satırı ve süreç davranışlarını izleyen EDR çözümleridir.

Geleneksel Antivirüslerin Neden Zorlandığı Durumlar

• Dosyasız Saldırılar: Zararlı kod doğrudan bellek üzerinde çalıştığı için taranacak dosya yoktur.
• Sıfırıncı Gün Tehditleri: Daha önce görülmemiş zararlılar imza tabanlı antivirüslerce algılanamaz.
• Kod Gizleme: Şifreleme ve kod karıştırma yöntemleri tespiti zorlaştırır.
• Meşru Araçların Kötüye Kullanılması: PowerShell ve WMI gibi sistem araçları saldırılarda kullanıldığında fark edilmesi gecikir.
• Uzun Süreli ve Sessiz Saldırılar: Düşük kaynak kullanımı ve zamana yayılmış saldırılar kolay fark edilmez.
• Çok Aşamalı Saldırılar: APT ve fidye yazılımı gibi karmaşık saldırı zincirleri, antivirüslerin algılama yeteneğini aşar.
  
  

Powershell Saldırıları Fark Etmek Mümkün mü?

PowerShell, sistem yönetimi için geliştirilmiş meşru bir araç olmasına rağmen, saldırganlar tarafından sıkça kötüye kullanılmaktadır. PowerShell tabanlı saldırılar genellikle dosyasız, gizli ve düşük görünürlüklü oldukları için tespit edilmeleri zor kabul edilir. Ancak uygun güvenlik önlemleri ve izleme mekanizmaları ile bu saldırıların tespit edilmesi mümkündür.

SONUÇ;

PowerShell ve benzeri meşru araçların güvenli kullanımı; doğru yapılandırma, kapsamlı loglama, davranış temelli izleme ve yetkin güvenlik analistleri ile mümkündür. Kurumların, EDR gibi gelişmiş güvenlik çözümleri ve kullanıcı farkındalığını bir arada ele alması, günümüzün sessiz ve dosyasız saldırılarına karşı en etkili savunma yaklaşımını oluşturmaktadır.