Güvenlik Bülteni – 7

APPLE vs FBI: Şimdi Sırada WhatsApp Var
Apple ile olan savaşı daha sonuçlanmamışken şimdi de WhatsApp’ın şifreleme konusu mahkeme gündeminde yerini alıyor.
WhatsApp’ın uçtan uça şifreleme ve VoIP üzerinden şifreli görüşmelere imkan vermesi federal otoritelerin mahkeme kararı ile dinleme yapabilmesinin önüne geçiyor. Amerikan Adalet Bakanlığı (DOJ) nasıl ilerlenmesi gerektiğini tartışırken hükümet Apple’dakine benzer şekilde süreci yeniden işletmeye kararlı.
Bu arada Apple ile FBI arasındaki savaş hızla sürüyor. DOJ Apple’ı FBI’a yardım etmezse tüm işletim sisteminin kaynak kodunu teslim etmek zorunda kalabileceği yönünde uyardı. Tüm kaynak kodun yanında gerekli elektronik imzalarında alınması ile tüm iPhone’ları açacak bir işletim sistemi yapma isteği bulunuyor. Bunun sızması ise hackerların tüm iPhone’ları kırabilmesi demek oluyor.
İşleri kızıştıran ve çirkinleştiren bir başka gelişme de Florida Şerifi Vows Tim Cook’un ya da Apple’ın yasalardan üstün olmadığını ve fırsat bulursa Tim Cook’u tutuklamakla tehdit etti.
Bu arada iPhone şifreleme teknolojisinde çalışan geliştiriciler Apple FBI için arka kapı oluşturmayı kabul etse bile işlerinden ayrılmak pahasına yardım etmeyecekleri yönünde açıklamalar yaparak güvenli olması için çaba sarf ettikleri ürünlerine arka kapı yapmayacaklarını açıkladılar.

Klavye Sürçmesi Bir Milyar Dolara Mal Oldu
Yazım hataları genelde utanç vericidir ama bu sefer Bangladeş Merkez Bankası ve New York Federal Rezervlerini yaklaşık bir milyar dolarlık (£700 Milyon) soygundan kurtardı.
Geçen ay, kimlikleri tespit edilemeyen saldırganlar Bangladeş merkez bankasına sızıp para transferleri için gerekli olan bilgileri ele geçirdiler. Sonra da Filipinler ve Sri Lanka hesaplarına transferler başlattılar.
Buraya kadar her şey plana uygun gidiyordu ancak küçük bir yazım hatası soygunu tam anlamıyla gerçekleştirmelerine engel oldu. $81 milyon transfer gerçekleştirdikten sonra 50 tane $20 milyon transferi emri geçerken “Shalika Foundation” yerine “Fandation” yazdıkları için Deutsche Bank personeli Bangladeş’ten teyit almak isteyince transferler durduruldu.
$81 milyon için henüz bir nakde döndürme girişiminde bulunulmadığı açıklandı.

DDoS Koruma Hizmeti Veren Staminus Hack’lendi!
Kaliforniya menşeili hosting ve DDoS (Distributed Denial of Service) koruması hizmetleri veren Staminus Communications şirketinin sunucuları hackerlar tarafından kırıldı ve müşterilerin kişisel ve hassas bilgileri sızdırıldı.
Bir buçuk gün erişilemez durumda kalan Staminus web sitesi ile ilgili Twitter mesajında veri sızıntısı ile ile ilgili bir açıklama bulunmuyordu: “A rare event cascaded across multiple routers in a system-wide event, making our backbone unavailable.”
​Ana omurgaya sızan saldırganlar router cihazlarının tamamını fabrika ayarlarına döndürerek şirketi çalışamaz hale getirdi. Bu sırda şirketin veri tabanını indiren hackerlar aşağıdaki bilgileri ele geçirmiş oldu:- ​Müşteri kullanıcı adları
– Parolaların hashleri
– E-posta adresleri
– Müşteri gerçek isimleri
– Müşteri kredi kartı bilgileri (açık olarak)
– Müşteri destek kayıtları
– Sunucu kayıtları
– Mesajlaşma kayıtları
– Aralarında Intreppid’in de bulunduğu bazı servislerin kaynak kodları
– Şirket müşterilerinden Ku Klux Klan’ın veritabanı

Forbes’un açıklamasına göre 15 GB veri indirildi. 1.971 şifrelenmemiş kredi kartı numarası, son kullanma tarihi ve güvenlik kodları ele geçirilmiş oldu.
Saldırganlar indirdikleri verileri paylaşırken eğlenmeyi de unutmamışlar. Aslında en temel güvenlik kurallarına uyulmadığının bir göstergesi niteliğindeki açıklamaları şöyle;
Bir Güvenlik Şirketi Yönetmenin Püf Noktaları:- Tüm sunucuların yönetici (root) parolalarını aynı yapın
– PDU’ları (güç dağıtım üniteleri)  telnet üzerinden dışarıya açın
– Sunucuları güncellemeyin, yükseltmeyin ya da denetlemeyin
– PDO’yu (PHP Veri Objeleri) ihmal edin
– Tüm işinizi güvenlik tiyatrosuyla koruyun
– Tüm kredi kartı bilgilerini şifresiz saklayın
– Tüm kodları dikkatsizce sonlandırın

$100.000 Kazanmaya Var mısın? Bir Google Chromebook Hack’le
Eğer hack yeteneğiniz varsa ve yeteri kadar zamanınız da varsa $100.000 kazanabilirsiniz.
Google Chromebook ya da Chromebox cihazlarını Web üzerinden yani uzaktan kırmayı başaranlara vermeyi planladığı ödülü iki katına çıkarttı.
Geçen sene Chromebook bilgisayarlarını uzaktan kırmayı başaran çıkmayınca Google güvenlik ekibi ödülü $50.000’dan $100.000’a çıkarttıklarını açıkladı.
Bir Chromebook makinası Guest modda iken kalıcı olarak kırabilen ilk kişi ödülü almaya hak kazanacak.
Diğer bir deyiş ile Chromebook makinası kilitli haldeyken kırılması ve sistem yeniden başlatılsa dahi bu durumun değişmemesi gerekiyor.
Geçtiğimiz sene Google servislerinde açıklar bulan güvenlik araştırmacılarına $2.000.000’dan fazla ödül parası dağıtmıştı. Bunların arasında Google.com alan adını satın almayı başaran ve karşılığında $12.000 ödül sahibi olan Amazon çalışanı Sanmay Ved’de bulunuyor.

Internet Servis Sağlayıcıları Reklam Şirketlerine Verilerinizi Satıyor
Amerikan Federal İletişim Komisyonu (FCC) internet kullanıcılarının gizliliğini korumayı hedefleyen bir teklifte bulundu.
Bu teklif Internet Servis Sağlayıcılarının (ISS) ne kadar müşteri verisini toplayabileceğine ve reklam şirketlerine satabileceğine düzenleme getirmeyi hedefliyor.
Şu anda Internet Servis Sağlayıcıları için her hangi bir kural ya da yasa bulunmuyor. Eğer kabul edilirse ISS için ilk kez gizlilik ile ilgili bir kural getirilmiş olacak.
“Deep packet inspection” ile müşterilerinin internet sörf alışkanlıklarını toplayıp kayıt altına alan ISS’ler aşağıda örnekleri verildiği gibi bilgileri toplayarak bu davranışlara özel reklam çalışması yapabilmeleri için reklam şirketlerine satıyorlar.​- Arama kriterleri
– Ziyaret edilen web siteleri
– Giriş yapılan bilgiler
– Hangi uygulamaların kullanıldığı

Zararlı Yayan Reklam Kampanyası Üst Seviye Web Sitelerini de Vurdu
Bilgisayar korsanları siber uzayı delerek karanlık emellerine ulaşmak için yeni arayışlar içinde.
Üst seviye, güvenilir bulduğumuz The New York Times, BBC, MSN, AOL ve daha birçok web sitesi zararlı yazılım yaymak için oluşturulmuş reklamları farkında olmadan sitelerinde yayarak bu güveni kaybetmenin eşiğindeler.
Bu reklamlar güvenilen sitelerde yayınlanıp kendilerine tıklamanızı sağlamayı hedefliyorlar. Güvenli kaynaklardan geldiğini düşündüğünüz bu reklamlara tıkladığınızda ise Angler Exploit Kit (AEK) zararlısını barındıran ve sisteminize bulaştıracak sitelere sizleri yönlendiriyorlar.
AEK içinde birçok sıfırıncı gün açığının da bulunduğu zararlı yazılımlardan oluşuyor.
Kampanyanın engellenmeden daha yüksek başarıya ulaşmasını sağlamak amacıyla önce bilinen güvenlik ürünlerinin sisteminizde varlığını kontrol eden bir JSON dosyası (JavaScript Object Notation) çalıştırılıyor.

Hackerlar Jailbrake Yapılmamış iOS Cihazlara Zararlı Yüklenebiliyor
Android’ler için 1 milyardan fazla cihazı etkileyen Qualcomm Snapdragon yonga zafiyeti ve milyonlarca cihazı etkileyen Stagefright zafiyetinden sonra iPhone cihazları için de haberler kötü.
Hackerlar sizin müdahalenize ihtiyaç duymadan iPhone’unuza zararlı yazılım yüklemenin yeni bir yolunu keşfetti.
Palo Alto Networks araştırmacılarının ortaya çıkarttığı bu yeni yöntem Jailbrake yapılmamış yani satın alınmış hali ile normal olarak kullanılan yüzlerce milyon iPhone ve iPad’leri tehdit altında bırakabilir.
AceDeceiver türevi bu iPhone zararlısı şirket sertifikası olmaksızın ve Apple’ın FairPlay adını verdiği Dijital Hak Yönetimi (DRM) koruma mekanizmasındaki tasarım açıklıklarını kullanarak kendini yüklemeyi başarıyor.
AceDeceiver’ın FairPlay Man-in-the-Middle (MITM) tekniğini kullanan hackerlar zararlı yazılımları kullanıcının haberi ya da müdahalesi olmadan diğer Apple güvenlik kontrollerini de atlatarak kurmayı başarıyorlar.

​Milyonlarca Cihazı Tehdit Eden Yeni Bir Uzaktan Android Telefon Kırma Zararlısı
​Android kullananların dikkatine; Android Stagefright zafiyeti geri döndü.
Milyonlarca Android cihaz yeni açığa çıkan Android Stagefright Zararlısı ile yeniden hackerların ve istihbarat teşkilatlarının tehdidi altında.
Android Stagefright zafiyeti geri döndü; ve bu kez 10 saniyede Android cihazınızı kırabilecek durumda. Hackerlar tarafından, düzenlenmiş bir medya dosyasının bulunduğu web sitesini ziyaret ettiğinizde, zararlı, Android telefonunuzu hackerların insafına bırakmaya yetiyor.
CVE-2015-3864 zafiyetini kullanarak Address Space Layout Randomisation (ASLR) isimli bellek koruma işlemini atlatan zararlı Android sürüm 2.2’den 4.0’a kadar ve 5.0’dan 5.1’e kadar etkili oluyor.
Stagefright Zararlısının aşamaları ise şu şekilde;
1. Aşama: Kurban düzenlenmiş ir video içeren siteye yönlendirilmek üzere kandırılır. Bu video Android’in medya sunucu yazılımını bozarak savunmasız hale getirir.
2. Mayda sunucu bozulduğunda sitedeki JavaScript saldırganın sunucusuna kurbanın cihazı ile ilgili bilgileri gönderir.
3. Saldırganın sunucusu cihaza özel hazırlanmış videoyu göndererek Stagefright zafiyetini kullanıp cihaz hakkında daha fazla bilgi edinir.
Bu bilgilerle yeni bir video hazırlanır ve kurbanın akıllı cihazında gerekli tüm yetkiler ile casus yazılım kurulmuş olur.

1 Milyardan Fazla Snapdragon Yongalı Android Telefon Hacklenmeyi Bekliyor
Bir milyardan fazla Android cihaz Qualcomm Snapdragon yongasındaki açıklık nedeniyle yönetici (root) seviyesinde erişim riski ile karşı karşıya.
Trend Micro güvenlik uzmanları Qualcomm’un çekirdek seviyesindeki Snapdragon kodunda bulunan programlama açıklıkları nedeniyle eğer doğru uygulanırsa saldırganlara yönetici (root) seviyesinde erişim hakkı kazandırarak cihazın tüm kontrolünü ellerine geçirmelerini sağlayabileceği konusunda uyarıyor.
Açıklık CVE-2016-0805 ve Qualcomm tarafındaki açıklık CVE-2016-0819 olarak kayıtlı. Google konu ile ilgili raporun ardından güvenlik yamalarını yayınladı ancak bu yamaların cihazlara ulaşması bu kadar hızlı olmayabilir.
Google’ın kendi cihazları Nexus 5X, 6P, 6, 5, 4, 7, 9 ve 10 bu yamayı almış olsa da diğer cihazlar için Qualcomm – Google – Cihaz üreticiniz – Operatörünüz – Cihazınız sıralamasının tamamlanmış olması gerekiyor. Ne kadar süreceği ise çok değişkenlik gösterebiliyor.

“EKBER was here”
İETT sistemi, kimliği belirsiz kişilerce hack’lendi. Bu sabah toplu taşıma araçlarına binenler bilgilendirme ekranlarında “Ekber was here” yazısını gördü.
İstanbul’da sabah işlerine gitmek üzere metro, metrobüs ve otobüslere binen vatandaşlar ilginç bir yazı ile karşılaştı.
Toplu taşıma araçlarındaki bilgilendirme ekranlarında “Ekber was here” yazılması dikkat çekti.
İstanbul Elektrik Tramvay ve Tünel İşletmeleri Genel Müdürlüğü’nün (İETT) internet sitesine de bir süre girilemedi.
Sorunun İETT sisteminin hack’lenmesi nedeniyle yaşandığı ve kısa sürede giderildiği öğrenildi.​