BlueKeep nedir ve kendinizi bundan nasıl korursunuz?

BlueKeep, Windows sistemlerindeki en son RDP güvenlik açığıdır. Ne olduğunu ve PC’nizi veya sunucunuzu nasıl koruyacağınızı öğrenin.

Bu yazıda okuyacağınız içeriğin listesi:

• 1. BlueKeep’in Tarihçesi – Bu Sizin İçin Neden Önemli?
• 2. BlueKeep’in Çalıştırılması
• 3. Bu Sizi Etkiler mi?
• 4. Alınan Eradikasyon Tedbirleri
• 5. Sorunu Azaltmak İçin Atılması Gereken Adımlar
• 6. Sonuç

BlueKeep, esas olarak Microsoft Windows’un önceki sürümlerini etkileyen bir güvenlik açığıdır. İlk olarak 2019 yılında araştırmacıların solucan şeklinde sistemden sisteme gezinerek ağları yok etme gücüne sahip olduğunu açıklamasıyla ortaya çıktı. CVE-2019-0708 olarak da bilinir, öncelikle Windows 7, Windows Server 2003, Server 2008, Server 2008 R2, Vista ve XP’yi etkiler.

BlueKeep’i gerektiren risk, işletim sisteminizin Uzak Masaüstü Protokolüne (RDP) saldırdığı için çok büyüktür . Microsoft tarafından verilen ve kullanıcıya diğer sistemlerle bağlantı kurmak için grafiksel bir arayüz sağlayan tescilli bir araçtır. Her ikisine de sahip olmak ölümcül bir kombinasyondur ve sisteminize yıkıcı ölçüde zarar verir.

BlueKeep başlangıçta riski modelleyen araştırmacılarla sınırlıydı. Yine de Kasım 2019’da bilgisayar korsanlarının aracı kripto para birimleri için madencilik kodları yüklemek için kullandığını öğrendiler. Bu saldırı, ilk olarak bir İngiliz araştırmacı olan Kevin Beaumont tarafından, bu tür güvenlik ihlalleri durumunda onları bilgilendirmek için oluşturduğu bal küpleri aracılığıyla tespit edildi. Bu saldırılar, yama uygulanmamış cihazlara madencilik yazılımı yüklemek için kullanılan bir demo yararlanma kodu içeriyordu. Ancak bunları başarıyla yüklemek yerine, yanlışlıkla hatalı olarak kabul ederek ana bilgisayarın bilgisayarını çökertir.

13 Ağustos 2019’da, bazı benzer BlueKeep güvenlik açıkları bildirildi ve toplu olarak DejaBlue olarak adlandırıldı. Bu güvenlik açıkları, önceki sürümlerde bile Windows 7’den Windows 10’a kadar olan en son Windows sürümlerini de etkiledi.

BlueKeep, Windows RDP’de bulunan tek güvenlik ihlali değildir. Genel bir test oturumu sırasında toplam üç düzine güvenlik açığı tespit edildi ve bunlardan bazıları uzaktan kod yürütmeye karşı bile savunmasız. Bu olasılık, bilgisayar korsanlarına internetin ve ağa bakan diğer cihazların kontrolünü ele geçirme avantajı sağlayacaktır.

BlueKeep’in Tarihçesi – Bu Sizin İçin Neden Önemli?

BlueKeep, Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) tarafından tespit edildi ve ardından 2019 yılında Microsoft tarafından rapor edildi. Her iki şirket de bu güvenlik açığının kendi kendine yayılan solucanlardan kaynaklandığını belirtti. Bu saldırı, NotPetya ve WannaCry gibi Ebedi Mavi saldırılarıyla eş anlamlı olacaktır.

Ulusal Güvenlik Ajansı’nın tavsiyesinden sonra RDP ile ilgili ayrı bir sorun tespit edildi. İlki, kimlik bilgilerinin istemci sistemdeki RDP Ağ Düzeyinde Kimlik Doğrulama Girişinde önbelleğe alındığı bir davranış sergiledi. Böylece, ağ bağlantısı kesilirse kullanıcılar erişim bağlantısını otomatik olarak yeniden kazanabilecektir. Microsoft, beklenen davranış olduğunu ve Microsoft’un NT ailesi tarafından sağlanan bir özellik olan Grup İlkesi aracılığıyla devre dışı bırakılabileceğini öne sürerek bu söylentileri reddetti.

Haziran 2019 itibariyle, BlueKeep nedeniyle resmi olarak bildirilen bir güvenlik açığı yoktu, ancak bu güvenlik açığından yararlanan bazı açıklanmayan Kavram Kanıtı (POC) kodları olabilir. 01 Temmuz 2019’da Sophos adlı bir İngiliz güvenlik şirketi, bu sorunu kalıcı olarak düzeltmek için bir yamanın önemini belirtmek için benzer bir PoC örneği bildirdi. Bu konuyla ilgili sesler, Çinli bir güvenlik firmasının bu konuyla ilgili bir konferans vermesiyle daha da belirginleşti. Uzmanlar, bu güvenlik açığının ticari bir versiyonunun açık piyasada bulunabilme ihtimalinin olabileceği konusunda bile uyardı. 31 Temmuz 2019, bilgisayar uzmanlarının şüpheli RDP etkinliği nedeniyle vakaları bildirdiği ve bunun tehlikeli bir soruna dönüşebileceği ve dünya çapında milyonlarca kullanıcının verilerini tehlikeye atabileceği konusunda uyardığı bir örnek oldu.

NSA, bu güvenlik açığı nedeniyle Windows kullanıcılarına sistemlerini güncel tutmaları için açık uyarılar yayınladı. NCSC, NSA, Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve Avustralya ve Almanya’daki eşdeğer kuruluşlar tarafından da tavsiyeler verildi. Uyarıları daha sonra Microsoft’un güvenlik yamaları izledi ve BlueKeep’in internet kullanıcıları için oluşturduğu önemli tehditleri vurguladı.

Ajanslar ayrıca bilgisayar korsanlarının BlueKeep’i fidye yazılımlarında ve bilinen açıklar ve virüsler içeren diğer kitlerde tutacağını da kaydetti. Yamasız sistemlere saldırma verimliliğini ve kapasitesini artıracaktır. Bu nedenle, Ulusal Güvenlik Ajansı, kullanıcıları ağlarını anlamak ve her kullanıcının işletim sistemlerinin en son güncellemelerle yamalanmasını sağlamak için ekstra zaman ve çaba harcamaya çağırdı.

BlueKeep’in Çalıştırılması

Microsoft’un Uzak Masaüstü Protokolü, kimlik doğrulama işleminden önce kurulan sanal kanalları kullanır. Bu kanallar, birbirlerine uzantılar sağlamak için sunucu ve istemci arasında bir veri yolu görevi görür. RDP sürüm 5.1, 32 statik sanal kanalı tanımlar ve bu kanallar dinamik olanları da içerir. Bir sunucu “MS_T120” sanal kanalını 31’den farklı bir sabit kanalla bağlarsa, yığın bozulması olarak bilinen ve doğrudan sistemde rastgele kod yürütmelerine izin veren bir işlem gerçekleşir.

Microsoft’un İşletim Sistemleri XP, Vista, 2, Server 2003, Server 2008 ve Server 2008 R2 bu tür saldırılara karşı savunmasızdır ve başarılı olan sürümler onun kapsamına girmez. CISA, Windows 2000 sürümündeki bu güvenlik açığı sayesinde kod yürütmeyi başarıyla gerçekleştirdiklerini resmi olarak açıkladı.

Bu Sizi Etkiler mi?

BlueKeep, desteklenmeyen ve orijinal Windows İşletim sistemlerini kullanan herkesi etkileyecek önemli bir tehdittir. Bu, dünya çapında internete bağlı 1 milyondan fazla bilgisayarın bundan etkilenebileceği anlamına geliyor. Bu sistemler resmi olarak Windows tarafından korunmaz ve ciddi bir güvenlik riski oluşturan eski uygulamaları çalıştırır. Bunun nedeni, güvenli olmayan ana bilgisayarların saldırganlar tarafından kolayca tespit edilebilmesi ve bu sistemlerin internetini herhangi bir güvenlik açığı için taramak için Masscan veya ZMap gibi kötü şöhretli araçlardan bazılarını kullanabilmeleridir.

Bilgisayar korsanlarının Windows İşletim sistemlerinde BlueKeep’e benzer potansiyel güvenlik açıklarını belirlemek için bağlantı noktası taramalarını kullandığı durumlara ilişkin raporlar bulunmaktadır. Port Tarama, istemci isteğini ana bilgisayardaki birden çok sunucu bağlantı noktası adresine gönderen bir saldırıdır. Aktif bir bağlantı noktası bulma ve bilinen bir hizmet sorununu kullanma hedefli bir hedefe ulaşacaktır. Tor çıkış düğümleri, daha yakın BlueKeep saldırılarının olacağını düşündüren bağlantı noktası tarama saldırılarını maskeledi ve bu devam eden bir risk.

Bu nedenle, yetkililerin kullanıcıları Windows bilgisayarlarına en son güvenlik yamalarını yüklemeleri konusunda sürekli olarak bilgilendirmesi gerekir. Buna uymayan herkes, sistemleri için ciddi risklerle karşı karşıya kalacaktır. Önerilen güvenlik yamalarından veya güncellemelerinden herhangi birine sahip değilseniz, bilgisayar korsanları sisteminizdeki zayıf noktaları ortaya çıkarmak için BlueKeep’i kullanmaya devam edecektir. Bu nedenle, sisteminize yapılan bu tür ahlaksız saldırılara yenik düşmemek için, Microsoft bunları yayınladığında cihazınızı güncellemeye devam etmelisiniz.

Microsoft, saldırıyı ‘kurtulabilir’ olarak etiketledi, bu da bu tehdidin yalnızca yerel olmadığı anlamına geliyor. Herhangi bir kullanıcı etkileşimi olmadan internete yayılma olasılığı vardır. Sisteminize sızmış olabilecek diğer yıkıcı solucanları ve önerilen herhangi bir güvenlik güncellemesi tarafından yama uygulanmamış diğer cihazları gösterir.

Bu örneğin ünlü örneklerinden biri WannaCry idi. Bu kripto fidye yazılımı saldırısı, birçok Windows cihazını çok büyük ölçüde etkiledi. Saldırı noktalarını işletim sisteminin zayıflığına göre yerelleştirdi ve NSA’nın Denklem Grubu tarafından oluşturulan bir arka kapı implant aracı olan DoublePulsar aracılığıyla kötü amaçlı yazılım yüklemesini sağladı. Bu arka kapı, WannaCry’nin EternalBlue olarak bilinen yaygın bir istismar kullanarak sistemden sisteme yayılmasını sağladı. Microsoft, yöntemlerini ve kullanıcılarını bu saldırıdan koruyan bir güvenlik düzeltme ekini acilen yayınlamak zorunda kaldı. Ancak birçok şirket ve kullanıcı hala bunun yükünü taşıyor ve sistemlerini güncellemedikleri için bu saldırıya maruz kaldılar.

WannaCry daha sonra cihazdaki dosyaları şifreledi ve milyonlarca kullanıcıyı sistemlerinden kilitledi. Bilgisayar korsanı daha sonra yetkililerden fidye talep etti, bu fidye uyulması halinde kullanıcıların ve cihazın bilgilerinin kilidini açmasını sağlayacak. Etki muazzamdı ve tüm dünyada 230.000’den fazla sistemi etkiledi. İngiltere’de bir sağlık hizmeti sağlayıcısı olan Ulusal Sağlık Hizmetlerine (NHS) önemli ölçüde zarar verir. Saldırı, ambulansların yönünün değiştirilmesine neden oldu; acil randevular iptal edildi, ameliyatlar ertelendi ve sağlık tröstlerinin üçte birinden fazlası bu saldırının tam darbesiyle karşı karşıya kaldı. Onlara 92 milyon sterlinlik bir zarara mal oldu.

WannaCry saldırısı 150’den fazla ülkeyi ve onların sistemlerini etkiledi ve 4 milyar doların üzerinde büyük bir mali kayıpla sonuçlandı. Kullanıcılar, sistemlerini güvence altına alırken daha dikkatli olsalardı, hasarı önleyebilirlerdi. Periyodik olarak sistemlerini en son yamalarla güncellemek için yalnızca birkaç dakika yeterliydi ve bu, krizi kolayca önleyebilirdi. Böyle bir düzeltmeden kaçınmak için her kullanıcı ve kuruluş için öngörülen BT Standartlarına uyması bir uyandırma çağrısıdır.

Alınan Eradikasyon Tedbirleri

Saldırı setinin tehlikeli önceliği nedeniyle Microsoft, 14 Mayıs 2019’da bu güvenlik açığını engellemek için hayati güvenlik yamaları yayınladı. Şirket, bu güncellemeleri XP, Vista, 7, Server 2003, Server 2008 ve Server 2008 R2 için yayınladı. Microsoft ayrıca, ürün yaşam döngüsünün son aşamalarına giren ve artık güvenlik güncellemeleri almayacak ürün sürümleri anlamına gelen “ömrünün sonu” olarak adlandırılan duruma ulaşan Windows sürümlerini de kapsıyordu. Bu ürünler Vista, XP ve hatta Server 2003’ü içeriyordu. Bu yamanın çalışması “MS_T120″yi her zaman 31 statik kanala bağlı kalmaya zorlayarak yığın bozulması üretme yeteneğini devre dışı bıraktı.

Ulusal Güvenlik Ajansı da bu senaryoda atılması gereken bazı ek adımlar tavsiye etti; bunlar, kullanılmıyorsa Uzak Masaüstü Hizmetleri’nin ve ilişkili TCP 3389’un devre dışı bırakılmasını içerir ve RDP için Ağ Düzeyinde Kimlik Doğrulaması zorunludur. İngiliz güvenlik şirketi Sophos tarafından yapılan analize göre, 2FA veya iki faktörlü kimlik doğrulamanın etkinleştirilmesi, RDP sorununu önemli ölçüde azaltacaktır. Ancak alabileceğiniz en iyi koruma, RDP’yi sisteminizden tamamen çıkarmak ve ona yalnızca Sanal Özel Ağ (VPN) üzerinden erişmektir.

Sorunu Azaltmak İçin Atılacak Adımlar

Microsoft, sorunu daha yeni ortaya çıkarmak için bir güvenlik düzeltme eki yayınlayarak gerçekten de adımlar attı. Sorumlu bir kullanıcı olarak, sisteminizi bu gibi görünmeyen zararlı saldırılardan korumak için elinizden gelen her şeyi yapmalısınız. BlueKeep’in oluşturduğu risk ve diğer olaylardan alınan dersler sizi tetikte tutmalı ve etkilenebilecek cihazlarınızın güvenliğini sağlamanın canlılığını vurgulamalıdır. Bu tür benzer saldırılardan korunmak için birey ve kurum sahibi olarak atılabilecek adımlardan bazıları şunlardır:

• Güvenli olmayan sistemleri düzeltin – Bu nokta önceki bölümlerde vurgulanmıştır, ancak en çok gözden kaçanıdır. Güvenlik güncellemelerinin yüklenmesine uyulmaması, veri hırsızlığı riski oluşturduğundan kullanıcıları zor durumda bırakacaktır. Aynı şey bir kuruluşun bilgisayarına da olursa, müşterilerin hassas bilgileri açığa çıkacağı için bir şirketi bile iflas ettirebilecek bir krizdir.

BlueKeep, Windows 7 ve önceki sürümlerinde 1 milyona kadar kullanıcının ve cihazlarının bilgilerini bozar ve yok eder, ancak bunlar Microsoft’un yayınladığı güvenlik yamalarıyla korunabilir. Yamalar, sahip olduğunuz 32 bit veya 64 bit sistemlerle sürümlere göre Microsoft web sitesinden indirilebilir. Kuruluşlar, BT departmanının her cihazı güncellemeyi kişisel olarak görebilmesi için şirket cihazlarında bir OTA güncelleme yöntemi kullanmalıdır.

• Hassas bağlantı noktaları engellenmelidir – Önceki bölümlerde gördüğümüz gibi BlueKeep, sistemimize girmek ve bilgisayarlarımızdaki hassas bilgileri bozmak için bağlantı noktalarını kullanır. Özellikle, güvenlik duvarlarında doğrudan RDP ile bağlantılı olan bağlantı noktası 3389, dikkat etmeniz gereken bağlantı noktasıdır.

Cihazlarınız ve güvenlik duvarı harici internete yönelikse bu bağlantı noktası açıkça engellenmelidir. Bağlantı noktasının engelinin kaldırılması sorunları tetikleyebilir ve sisteminiz bilgisayar korsanlarının dış saldırılarına açık hale gelebilir. Şirketteki BT Ekipleri, bu bağlantı noktalarını işlerken çok dikkatli olmalı ve gerekirse, sistemlerini saldırılara karşı korumanın değeri konusunda kullanıcıları eğitmelidir.

1. Kullanılmayan aygıtları devre dışı bırakın – Kullanıcıların ve hatta şirket personelinin görünürde bir neden olmaksızın bilgisayarlarına istenmeyen aygıtları bağladığı durumlar vardır. Bu cihazlar şifrelenmemişse veya sisteminiz gerekli güvenlik yamasını içermiyorsa, sisteminize saldırılar yakın olacaktır. Sisteminizde ihtiyaç duyduğunuz hizmetleri takip edin; bunlara ihtiyacınız yoksa, sisteminizden devre dışı bırakın. Hizmetler, örneğin Uzak Masaüstü hizmetleri, kullanmayı tamamladıysanız öncelikle devre dışı bırakılmalıdır. Açık tutmak, sisteminizdeki güvenlik açıklarını ortaya çıkaracak ve bilgisayar korsanlarına saldırmak için bir fırsat penceresi sağlayacaktır.
2. Ağ kontrolünü açın – Şirketinizdeki BT departmanı, şirket cihazlarında Ağ Düzeyinde Kimlik Doğrulamayı veya NLA’yı etkinleştirebilir. Onlara cihazın tam kontrolünü sağlayacak ve hatta kullanıcıların korumasız veya kötü amaçlı yazılımlara veya web sitelerine erişimini kısıtlayacaktır. Sisteme yapılan yetkisiz erişimi de sınırlamalarına yardımcı olur. NLA, esasen Microsoft tarafından Windows Vista sürümlerinde ve sonrasında sunulan isteğe bağlı bir güvenlik özelliğidir. Bu etkinleştirildiğinde, bir uzak oturum oluşturmadan önce RDP bağlandığında uzak bağlantıların uzak sisteme ön kimlik doğrulaması yapması gerekir.
3. Kullanıcıları eğitmek – Sorunu kaynağında engellemek için tüm güvenlik sistemlerine sahip olsanız bile, kullanıcıları BT güvenliğinin temelleri hakkında bilgilendirmezseniz, bunun hiçbir faydası olmaz. Sisteminizi güvence altına almak için pek çok seçenek vardır; bunlar arasında güvenlik yamaları, güncellenmiş yazılımların yüklenmesi, ağların korunması vb. bulunur. Kullanıcı, burada listelenen işlemleri nasıl gerçekleştireceğini bilmelidir. Bu süreçleri takip etmedeki herhangi bir eksiklik, sistemlerini riske atacak kadar ciddi bir dezavantaj taşır.

Kullanıcılar, BlueKeep’in ve bunlardan herhangi birinin başına gelebilecek bu tür diğer olayların ciddiyetini anlamak için mevcut BT Güvenliği eğilimlerini bilmelidir. Kullanıcıları temel bilgiler hakkında eğitmek ve ardından yavaş yavaş bir sonraki seviyeye ilerlemek hayati önem taşır. Şirketin kullanıcılarına uygun rehberlik sağlamadan işler çok iyi dağılabilir ve şirket için para ve itibar açısından felaket olur.

Çözüm

Yukarıda gördüğümüz noktalara göre BlueKeep, basit önlemlerle ortadan kaldırılabilecek bir tehdittir. Arkasında çok fazla zarara ve bir sürü mali kayba neden oldu, ancak kullanıcıların ve bunun yükünü çekenlerin yapması gereken tek şey sistemlerini periyodik olarak güncellemekti. BlueKeep hakkında bilgi sahibi olmak önemlidir, çünkü sisteme ne kadar spesifik olarak zarar verdiğini anlıyoruz, bu da Microsoft ve diğerlerinin gelecekte böyle bir krizi nasıl önleyebileceklerini tasarlamalarına ve haritalandırmalarına yardımcı olacaktır. Bu tür tehditlere karşı her zaman tetikte olmak ve her zaman hazır olmak için bu olayı bilmek ve bilgi edinmek esastır.

Kullanıcılar, BT dünyasının zirvesinde kalmak için BlueKeep tarafından daha önce belirtilen tehditleri takip etmelidir. Bu konuda uyanık olmak sadece IT departmanının sorumluluğunda değil, aynı zamanda tüm kullanıcıların da sorumluluğundadır. Kullanıcılar, sistemlerinde otomatik güncellemenin etkinleştirilmesiyle birlikte güvenlik yamalarının yüklü olması gerekir. Herhangi bir harici sistemin veya siber saldırganın sistemi manipüle etmemesini veya izinsiz olarak gereksiz yere kötü amaçlı yazılım yerleştirmemesini sağlayacaktır.