Bilgisayar exploiti (sömürüsü), siber suçluların bir sisteme yasadışı erişim elde etmek için kullandıkları hatalardan veya güvenlik açıklarından yararlanan bir kötü amaçlı yazılım türüdür. Bu güvenlik açıkları, yalnızca siber suçlular tarafından keşfedilmeyi ve kullanılmayı bekleyen işletim sisteminin ve uygulamalarının kodunda gizlidir. Yaygın olarak kullanılan yazılımlar işletim sisteminin kendisini, tarayıcıları, Microsoft Office’i ve üçüncü taraf uygulamalarını içerir. Bazen sömürüler siber suç grupları tarafından bir exploit kiti olarak adlandırılır. Exploit kitleri, sınırlı teknik bilgiye sahip suçluların exploitleri kullanmasını ve kötü amaçlı yazılım yaymasını kolaylaştırır.
Exploitlerin ne olduğunu daha iyi anlamak için, 2000’lerin başında popüler olan pahalı bisiklet ve dizüstü bilgisayar silindir kilitlerini düşünmek yardımcı olabilir. Birisi çevrimiçi bir video yayınlayana kadar, bu kilitlerin ucuz ve kolayca temin edilebilen bir Bic kalemini kullanarak saniyeler içinde nasıl seçilebileceğini gösteren insanlar, bu kilitler için 50 dolardan yukarı ödedi. Bu, kilit üreticilerini kilitlerini güncellemeye zorladı ve tüketiciler yeni seçim kilitlerine yükseltmek zorunda kaldılar. Bu, bir fiziksel güvenlik sisteminin somut bir istismarıdır. Siber suçlular, yazılım için geçerli olduğu gibi, diğer insanların bilgisayarlarına, mobil cihazlarına ve ağlarına erişmelerini sağlayacak Bic kalemi gibi akıllı numaralar arıyor.
Exploit saldırıları genellikle malspam ve drive-by indirme ile başlar. Siber suçlular, şüpheli olmayan kurbanları virüslü bir e-posta ekini açmaya veya kötü amaçlı bir web sitesine yönlendiren bağlantıları tıklamaları için kandırır. Virüslü ekler, genellikle bir Word belgesi veya PDF, uygulama zafiyetlerinden yararlanmak için tasarlanmış bir yararlanma kodu içerir.
Drive-by indirme işlemleri, tarayıcınızdaki Internet Explorer veya Firefox gibi güvenlik açıklarından veya tarayıcınızın Flash gibi çalışan eklentilerinden yararlanır. Geçmişte güvenli bir şekilde ziyaret ettiğiniz bir web sitesini ziyaret edebilirsiniz, ancak bu sefer web sitesi saldırıya uğradı ve bunu bile bilmiyorsunuz. Alternatif olarak, spam e-postasında sizi tanıdık bir web sitesinin sahte bir sürümüne götüren kötü amaçlı bir bağlantıyı tıklayabilirsiniz. Ve özellikle zor durumlarda, kötü amaçlı yazılım bulaşmış bir reklam veya pop-up görüntüleyen, kötü reklam olarak da bilinen meşru bir web sitesini ziyaret edebilirsiniz. Siteyi ziyaret ettikten sonra, web sayfasındaki kötü amaçlı kod, bilgisayarınıza kötü amaçlı yazılım yüklemek için arka planda görünmez şekilde çalışır.
Siber suçlular, exploitleri, can sıkıcı bir sorundan sakatlığa kadar bazı kötü amaçlı amaçların bir aracı olarak kullanıyor. Siber suçlular, bilgisayarınızın kaynaklarını bir DDoS saldırısı veya Bitcoin (kriptojacking) için bir zombi botnetin için kullanmaya çalışabilir. Alternatif olarak, siber suçlular reklam yazılımı yüklemeye ve masaüstünüzü reklamlarla doldurmaya çalışabilir. Siber suçlular sisteminize girmek ve verileri doğrudan çalmak ya da zaman içinde sizden gizlice veri toplamak için kötü amaçlı yazılım yüklemek isteyebilir (casus yazılım). Son olarak, siber suçlular tüm dosyalarınızı şifreleyen kötü amaçlı yazılımlar yükleyebilir ve şifreleme anahtarı (fidye yazılımı) karşılığında ödeme talep edebilir.
Zero-day Exploit Nedir?
Zero-day! Aslında, sıfır saatlik bir istismar olarak da bilinen 0day exploit, onu yaratan siber suçludan başka kimsenin bilmediği ve mevcut bir düzeltme bulunmayan bir yazılım güvenlik açığıdır. Bir exploit kamuya açık hale geldiğinde, artık sıfır gün değildir. Bazen bilinen bir exploit, exploitin yayınlanmasından bu yana bir veya daha fazla gün geçtiğini gösteren n-day exploit olarak adlandırılır.
0day exploit kamuya açık hale geldikten sonra, yazılım üreticileri suçlulardan faydalanabilmek ve faydaları elde edebilmek için exploitleri düzeltmek için suçlulara karşı bir yarışa girerler. Neyse ki, araştırmacıların sıkıntıları var. Araştırmacılar suçlular yapmadan önce bir istismar bulursa, araştırmacılar genellikle kusurları üreticiye bildirecek ve halkın (ve suçluların) genel olarak bilmelerine izin vermeden önce bunları düzeltme şansı verecektir.
Proaktif olarak exploit aramak, bazı bilgisayar korsanları için bir spor haline geldi. Yıllık Pwn2own yarışmasında, exploit uzmanları, web tarayıcıları ve kurumsal uygulamalar da dahil olmak üzere birçok kategoride popüler yazılımları başarıyla hacklemek için para ve ödül kazanırlar. Yazılım güvenliğine olan ilgilerinin bir göstergesi olarak Microsoft ve VMware, 2018’de Pwn2own etkinliğine sponsor oldu.
Sadece Siber Suçlular Mı Exploit Yazar?
Hayır, diğer şirketlerin zafiyetlerini bulmak ve bunları kişi, şirket, kurum ya da kuruluşlara bildirmeyi kendine amaç edinmiş birçok kişi veya ekip vardır. Mendax Yazılım‘da onlardan birisi. 2020 yılında iki adet Apple exploiti yazıp, Apple’a bunları raporladık ve oluşan bu istismarı kapatmalarında yardımcı olduk. Bu alanda çalışmalarımıza devam ederek, birçok firmaya yardımcı olmayı hedefliyoruz. Mendax Enterprises