Bilgisayar korsanlarına odaklanan bir araştırma ekibi olan Google’ın Tehdit Analizi Grubu (TAG), dün bu yılın Ağustos ayında bir macOS Catalina sıfır gün güvenlik açığına dayalı olarak Hong Kong web kullanıcılarına bir saldırı yapıldığını ortaya çıkardı. Bu saldırı, macOS güvenlik açığı kullanılarak gerçekleştirilen hedefli bir siber saldırı olarak kayıtlara geçti.
TAG bunu, kötü amaçlı yazılımın meşru bir web sitesine yerleştirildiği bir yaklaşım olan “boşluk saldırısı” olarak nitelendirdi. Bu durumda bilgisayar korsanları, bir medya kuruluşu ve “önde gelen bir demokrasi yanlısı işçi ve siyasi grup” için web sitelerine odaklandı; bu web sitelerinin ziyaretçilerine, o sırada macOS Catalina’da yama uygulanmayan ve ardından ziyaretçilerin bilgisayarlarına bir arka kapı yükleyen bir XNU ayrıcalık yükseltme güvenlik açığı sunuldu.
Catalina, saldırı gerçekleştiğinde macOS’un şu anki sürümüydü (o zamandan beri Monterey tarafından değiştirildi) ve açıkçası bilgisayar korsanlarının odak noktasıydı. TAG deneyi Mojave kullanarak tekrarladı, ancak yalnızca “istismarın kalıntılarını” gözlemledi. Benzer şekilde, araştırmacılar Big Sur’daki korumaların saldırıyı geçersiz kıldığını keşfetti.
Demokrasi yanlısı bir web sitesinin seçimi, doğal olarak saldırıya siyasi bir unsur getiriyor. Tabii ki, TAG tehdit aktörünün “iyi kaynaklara sahip, muhtemelen devlet destekli bir grup” olduğuna inandığını söyledi.
TAG başkanı Shane Huntley, Anakart’a, araştırmacıların “ilgilendirme sağlamak için yeterli teknik kanıta sahip olmadığını ve ilişkilendirme hakkında spekülasyon yapmadığımızı söyledi. Ancak, faaliyetin ve hedeflemenin doğası, hükümet destekli bir aktörle tutarlıdır.”
Apple uzmanı araştırmacı Patrick Wardle, saldırıların arkasında kimin olduğunu tartışırken, Anakart’a iki makul olasılık olduğunu söyledi: Çin veya Çin gibi görünmek isteyen biri. “Elbette her ikisi de mümkün olsa da,” dedi, “birincisi çok daha olası.”
Anakart raporunu, bunun gibi hikayelerin mutlaka macOS güvenliğinin geçmişte olduğundan daha zayıf veya daha savunmasız olduğunun bir işareti olmadığını gözlemleyerek bitiriyor; Gerçekten de site, Apple ve diğer teknoloji şirketlerinin hataları her zamankinden daha hızlı düzelttiğine dikkat çekiyor.
Wardle, sıfır gün saldırılarının gerçekten daha üretken hale gelebileceğini kabul ediyor, ancak onları tespit etmede daha iyi olmamızın eşit derecede mümkün olduğunu söylüyor.
TAG, Apple’a sıfır gün kusurunu bildirdi ve o zamandan beri düzeltildi. Ancak daha fazla iç rahatlığı için Mac güvenlik ipuçlarımızı okuyun.
macOS Güvenlik Açığı Nasıl Çalıştı ve Hangi Sistemleri Etkiledi?
Saldırının temelinde yatan XNU ayrıcalık yükseltme güvenlik açığı, macOS Catalina’nın çekirdek yapısındaki bir zafiyetten yararlanıyordu. XNU, macOS ve iOS işletim sistemlerinin kalbinde yer alan hibrit bir çekirdektir. Bu güvenlik açığı, saldırganların düşük yetkili bir kullanıcı hesabından tam sistem yöneticisi (root) erişimi elde etmesine olanak tanıyordu. Saldırı zinciri şu şekilde işliyordu: Kullanıcı, ele geçirilmiş bir web sitesini ziyaret ettiğinde, tarayıcı üzerinden hedef bilgisayara bir istismar kodu gönderiliyordu. Bu kod, XNU çekirdeğindeki zafiyeti tetikleyerek sisteme sızıyor ve ardından bir arka kapı (backdoor) yüklüyordu. Arka kapı, saldırganlara uzaktan tam kontrol sağlıyor, dosyaları çalma, sistemi izleme ve ek kötü amaçlı yazılımlar yükleme gibi eylemleri mümkün kılıyordu. TAG’ın analizine göre, bu macOS güvenlik açığı yalnızca Catalina sürümünde başarıyla kullanılabildi. Mojave’de yalnızca “istismarın kalıntıları” gözlemlenirken, Big Sur ve sonraki sürümlerde Apple’ın getirdiği gelişmiş çekirdek korumaları (System Integrity Protection ve diğer güvenlik katmanları) saldırıyı tamamen geçersiz kıldı.
Saldırının Hedefleri ve Jeopolitik Bağlamı
Bu siber saldırının en dikkat çekici yönlerinden biri, hedef seçimindeki siyasi motivasyondur. Saldırganlar, Hong Kong’da faaliyet gösteren bir medya kuruluşu ile “önde gelen bir demokrasi yanlısı işçi ve siyasi grup” olarak tanımlanan bir oluşumun web sitelerini hedef aldı. Bu durum, saldırının arkasında devlet destekli bir aktör olabileceği yönündeki şüpheleri güçlendiriyor. Google TAG, tehdit aktörünün “iyi kaynaklara sahip, muhtemelen devlet destekli bir grup” olduğunu belirtirken, Apple güvenlik araştırmacısı Patrick Wardle, Çin’in bu tür bir saldırı için en olası fail olduğunu ifade etti. Ancak TAG başkanı Shane Huntley, kesin bir ilişkilendirme yapmak için yeterli teknik kanıt bulunmadığını vurguladı. Bu tür hedefli saldırılar, genellikle casusluk, bilgi toplama veya siyasi muhalifleri sindirme amacı taşır. Saldırının Hong Kong’daki demokrasi yanlısı gruplara yönelik olması, bunun bir siber casusluk operasyonu olduğunu düşündürmektedir. Kullanıcıların, bu tür jeopolitik bağlamı olan tehditlere karşı daha dikkatli olması ve güncel macOS güvenlik açığı yamalarını takip etmesi hayati önem taşır.
Mac Kullanıcıları İçin Alınması Gereken Güvenlik Önlemleri
Bu tür sıfır gün saldırılarına karşı korunmanın en etkili yolu, proaktif bir güvenlik yaklaşımı benimsemektir. İşte Mac kullanıcılarının uygulaması gereken temel adımlar:
- Sisteminizi Her Zaman Güncel Tutun: Apple, güvenlik açıklarını kapatmak için düzenli olarak güncellemeler yayınlar. macOS’unuzu en son sürüme güncellemek, bilinen macOS güvenlik açığı tehditlerine karşı ilk savunma hattınızdır. Sistem Tercihleri > Yazılım Güncelleme bölümünden güncellemeleri kontrol edin.
- Bilinmeyen Web Sitelerine Karşı Dikkatli Olun: Özellikle siyasi veya hassas içerikli siteleri ziyaret ederken dikkatli olun. Saldırganlar, güvenilir görünen sitelere kötü amaçlı kod yerleştirebilir. Güvenilir bir VPN ve güncel bir tarayıcı kullanmak ek koruma sağlar.
- Güvenlik Yazılımları Kullanın: macOS için geliştirilmiş güvenlik duvarı ve kötü amaçlı yazılım koruma yazılımları, sıfır gün saldırılarını tespit etme ve engelleme konusunda yardımcı olabilir. Örneğin, Little Snitch gibi uygulamalar giden bağlantıları izleyerek şüpheli aktiviteleri bildirir.
- Yedekleme Yapın: Time Machine veya başka bir yedekleme çözümü kullanarak verilerinizi düzenli olarak yedekleyin. Bir saldırı durumunda, sisteminizi temiz bir yedekten geri yükleyebilirsiniz.
- İki Faktörlü Kimlik Doğrulama (2FA) Kullanın: Apple ID’niz ve diğer önemli hesaplarınız için 2FA’yı etkinleştirin. Bu, saldırganların şifrenizi ele geçirse bile hesabınıza erişmesini zorlaştırır.
Bu önlemler, genel güvenlik duruşunuzu önemli ölçüde iyileştirecektir. Ayrıca, düzenli olarak güvenlik haberlerini takip etmek ve yeni keşfedilen macOS güvenlik açığı türleri hakkında bilgi sahibi olmak da faydalıdır.
Sıfır Gün Saldırılarının Artışı ve Tespit Zorlukları
Patrick Wardle’ın da belirttiği gibi, sıfır gün saldırılarının sayısındaki artış, hem saldırganların daha yetenekli hale gelmesinden hem de tespit teknolojilerimizin gelişmesinden kaynaklanıyor olabilir. Sıfır gün açıkları, yazılım geliştiricilerinin henüz haberdar olmadığı ve yama yayınlamadığı güvenlik zafiyetleridir. Bu nedenle, bu açıkları kullanan saldırıları geleneksel antivirüs yazılımlarıyla tespit etmek çok zordur. Google TAG gibi araştırma ekipleri, bu tür saldırıları ortaya çıkarmak için gelişmiş tehdit avcılığı teknikleri, makine öğrenimi ve geniş ölçekli veri analizi kullanır. Ancak, bir sıfır gün açığı keşfedildiğinde ve yama yayınlanana kadar geçen süre, sistemlerin savunmasız kaldığı kritik bir penceredir. Bu nedenle, kullanıcıların yamaları mümkün olan en kısa sürede uygulaması hayati önem taşır. Apple’ın bu açığı hızla kapatması, şirketin güvenlik konusundaki kararlılığını gösterse de, bu tür olaylar macOS ekosisteminin de hedef alındığını hatırlatmaktadır.
Sıkça Sorulan Sorular (FAQ)
Bu macOS güvenlik açığı şu an için geçerli mi?
Hayır, Google TAG tarafından keşfedilen ve Apple’a bildirilen bu macOS güvenlik açığı, Apple tarafından yayınlanan bir güvenlik güncellemesi ile kapatılmıştır. Sisteminizi en son macOS sürümüne güncellediyseniz, bu spesifik açığa karşı korunuyorsunuz demektir.
Hangi macOS sürümleri bu saldırıdan etkilendi?
Saldırı, özellikle macOS Catalina üzerinde başarıyla gerçekleştirilmiştir. Araştırmacılar, macOS Mojave’de saldırının yalnızca kalıntılarını gözlemlemiş, macOS Big Sur ve sonraki sürümlerde ise saldırının başarısız olduğunu tespit etmiştir.
Sıfır gün güvenlik açığı nedir?
Sıfır gün güvenlik açığı, yazılım geliştiricisinin henüz haberdar olmadığı ve dolayısıyla herhangi bir yama veya düzeltme yayınlamadığı bir güvenlik zafiyetidir. “Sıfır gün” terimi, geliştiricinin açığı düzeltmek için sıfır günü olduğu anlamına gelir. Bu açıklar, siber saldırganlar için oldukça değerlidir.
Mac kullanıcıları bu tür saldırılardan nasıl korunabilir?
En önemli adım, işletim sistemini ve tüm uygulamaları her zaman güncel tutmaktır. Ayrıca, güvenilir olmayan kaynaklardan yazılım indirmemek, şüpheli e-posta eklerine tıklamamak, güçlü bir güvenlik duvarı kullanmak ve düzenli yedekleme yapmak da temel korunma yöntemleridir. Gelişmiş kullanıcılar için, sistem davranışlarını izleyen güvenlik araçları (Little Snitch gibi) ek bir katman sağlayabilir.
Bu saldırının arkasında kim var?
Google TAG, tehdit aktörünün “iyi kaynaklara sahip, muhtemelen devlet destekli bir grup” olduğunu belirtmiştir. Ancak kesin bir ilişkilendirme yapılmamıştır. Uzmanlar, saldırının hedef seçimi ve karmaşıklığı göz önüne alındığında, Çin gibi bir devlet aktörünün en olası fail olduğunu düşünmektedir.
