CVE-2023-24880: Microsoft Windows SmartScreen Security Feature Bypass Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2023-24880, Microsoft Windows SmartScreen'de bulunan bir güvenlik özelliği atlatma zafiyetidir. Bu zafiyet, bir saldırganın özenle hazırlanmış kötü niyetli bir dosya aracılığıyla Mark of the Web (MOTW) korumalarını aşmasına olanak tanır. Bu durum, kullanıcıların bilgilendirilmeden kötü niyetli içeriklerin çalıştırılması ve sistemlerine sızılması riskini artırır. Zafiyetin ayrıntıları incelendiğinde, özellikle Windows işletim sisteminin kullanıcı güvenliği için kritik bir katman olan SmartScreen'in işleyişinde önemli bir boşluk olduğu görülmektedir.

Zafiyetin tarihçesi, 2023 yılının başlarına dayanmaktadır. Microsoft, kullanıcılarının güvenliğini sağlamak amacıyla SmartScreen özelliğini sürekli güncellemektedir ancak bazı durumlarda sistemin karmaşıklığı ve hızla gelişen tehdit ortamı, yeni zaafiyetlerin ortaya çıkmasına zemin hazırlamaktadır. CVE-2023-24880, Windows'un dosya tanımlama sürecinde eksik bir kontrol mekanizması nedeniyle ortaya çıkmıştır. Bu kontrol mekanizması, bazı dosyaların MOTW korumasını devre dışı bırakmasına olanak tanımıştır.

Gerçek dünya senaryolarında bu tip bir zafiyet, örneğin bir şirketin dosya paylaşım platformunda veya e-posta sisteminde kötü niyetli bir dosyanın paylaşılması ile suistimale açık hale gelebilir. Saldırgan, hedefin güvenlik kontrollerini atlatmak için bu zafiyeti kullanarak dosyayı sisteme enjekte edebilir ve kullanıcıların bu dosyayı çalıştırmasını bekleyebilir. Kullanıcı, dosya açıldığı anda, bilmeden de olsa zararlı yazılımın sistemde çalışmasına neden olabilir. Bunun sonuçları, veri ihlali, kötüye kullanım veya RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) saldırıları şeklinde ortaya çıkabilir.

CVE-2023-24880, özellikle finans sektörü, sağlık hizmetleri ve kamu güvenliği gibi hassas veri işleyen sektörlerde oldukça tehlikeli olabilir. Bu sektörlerdeki organizasyonlar, genellikle oldukça katı güvenlik protokollerine sahip oldukları için, SmartScreen'in sağladığı ek katmanları devre dışı bırakmanın sonuçları ciddi felakete neden olabilir. Ayrıca, zafiyet farklı işletim sistemleri ve uygulama yazılımlarıyla entegre olduğundan, çok sayıda kullanıcı ve kurumu etkileyebilir.

Etkileşim alanının genişliği, zafiyetin potansiyelinde gizli kalmamaktadır. Yüzlerce yaygın yazılım ve hizmet, kullanıcıların bilgisayarındaki dosyaların güvenliğini sağlamak için SmartScreen'e güvendiğinden, bu zafiyet üzerindeki etkileri hızla yayılabilir. Kullanıcıların dosya indirme ve çalıştırma alışkanlıkları, güvenlik farkındalıklarının artırılması adına değerlendirilmeli ve eğitimlerle desteklenmelidir. Kullanıcıların, yalnızca güvenilir kaynaklardan dosya indirmeleri ve dosyaları açmadan önce gözden geçirmeleri gerektiği konusunda bilinçlendirilmeleri önemlidir.

Sonuç olarak, CVE-2023-24880 zafiyeti, daha geniş bir tehdit manzarasının sadece bir parçasıdır. Zafiyetler üzerine detaylı bilgi sahibi olmak ve kullanıcıları bilinçlendirmek, bu tarz zafiyetlerden en az zararla kurtulmanın yollarından biridir. "White Hat Hacker" perspektifinden, bu tür zafiyetlerin tespiti, analizi ve sistemlerdeki etkisinin azaltılması için atılacak adımlar, bireylerin ve organizasyonların güvenlik duruşlarını güçlendirir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Windows SmartScreen, kullanıcıların internet üzerinden indirdikleri dosyaların güvenliğini sağlamak amacıyla geliştirilmiş bir güvenlik özelliğidir. Ancak, CVE-2023-24880 zafiyeti, bu mekanizmayı atlatma imkanı tanıyan bir güvenlik açığı içermektedir. Bu zafiyet, saldırganların "Mark of the Web" (MOTW) savunmalarını geçmesine olanak sağlayabilir, bu da kötü niyetli dosyaların sızdırılmasına yol açabilir. Bu bölümde, bu zafiyetin teknik sömürüsünü, gerçek dünya senaryolarını göz önüne alarak ele alacağız.

Zafiyetin sömürülebilmesi için öncelikle hedef sistemin Windows tabanlı olması gerekmektedir. Salgının başarısı için, hedef tabanın etkili bir şekilde geliştirilmiş bir kötü amaçlı dosya ile ikna edilmesi sağlanmalıdır. İlk aşama, kullanıcının bilgisayarında bir dosya oluşturmak ve bu dosyanın bazı programlar tarafından "güvenli" olarak algılanmasını sağlamak için yeterince örtbas etmek olacaktır.

Bu aşamada yapılması gereken ilk işlem, hedef dosyanın MOTW bilgilerinin doğru bir şekilde manipüle edilmesidir. Örneğin, bir HTML veya bir Office belgesi biçiminde hazırlanan kötü niyetli dosyada, bu dosyanın içeriğini manipüle ederek Windows'un servisine güvenli olarak işaretlenmesini sağlamak için birkaç farklı element kullanabilirsiniz. Bu durumu test etmek için aşağıdaki gibi bir Python scripti yazabilirsiniz:

import os

# Kötü amaçlı dosya içeriği oluştur
malicious_content = """&lt;html&gt;
&lt;head&gt;&lt;title&gt;Oyun&lt;/title&gt;&lt;/head&gt;
&lt;body&gt;&lt;h1&gt;Bankacılık Bilgilerinizi Girmek İçin Tıklayın&lt;/h1&gt;&lt;/body&gt;
&lt;/html&gt;"""

# Dosya yazma işlemi
with open("malicious_file.html", "w") as f:
    f.write(malicious_content)

# Komut ile "Mark of the Web" eklenmesi
os.system("echo [ZoneTransfer] &gt;&gt; malicious_file.html")
os.system("echo ZoneId=3 &gt;&gt; malicious_file.html")

Bu örnek, kötü amaçlı bir HTML dosyası oluşturmakta ve bu dosyayı MOTW ile işaretlemekte. Hedef cihazda bu dosya açıldığında, SmartScreen savunmasını atlatma potansiyeline sahiptir.

İkinci aşamada, oluşturulan bu dosyanın, kısıtlamalar olmaksızın çalıştırılması sağlanmalıdır. Bunun için dosya açılmadan önce kullanıcıyı herhangi bir güvenlik uyarısıyla karşılaştırmamız gerekiyor. Örneğin, e-posta veya sosyal mühendislik yöntemleri ile kullanıcıyı dosyayı açmaya ikna edebiliriz. Eğer kullanıcı dosyayı açar ve çalıştırırsa, kötü amaçlı içerik devreye girir.

Saldırı senaryosunda ardışık olarak hedef makinede belirli HTTP istekleri yapılmalı ve güvenli tarayıcı ve uygulama sınırlarının nasıl atlatılabileceği gözlemlenmelidir. İşte biri istek örneği:

POST /malicious_endpoint HTTP/1.1
Host: example.com
Content-Type: application/json

{
    "action": "execute_malicious_code"
}

Kullanıcının bu dosyadaki kötücül kodu çalıştırması durumunda, zafiyetin etkisi ile hedef sistemde işlem yapılabilir. Bu aşamada potansiyel bir Uzaktan Kod Yürütme (RCE - Remote Code Execution) riski ortaya çıkar. Kötü niyetli kod, sistemde istenmeyen işlemler gerçekleştirebilir ve verileri ele geçirebilir.

Sonuç olarak, CVE-2023-24880 zafiyetinin sömürülmesi, teknik bilgi, kullanıcı manipülasyonu ve dikkatli hazırlanmış içeriğin bir kombinasyonu gerektirmektedir. Bilgisayar güvenliği açısından bu tür zafiyetlere karşıı özellikle dikkatli olmak gerekiyor. Güvenlik yöneticileri, bu tür zafiyetlerin etkilerini göz önünde bulundurarak, sistemlerini korumak için güncel yamalar ve güvenlik protokollerine uymalıdır.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Windows SmartScreen, birçok kullanıcının günlük hayatında güvenlik sağlayan önemli bir bileşendir. Ancak CVE-2023-24880 zafiyeti, bu güvenlik mekanizmasının bypass (atlama) edilmesine sebep olabilmektedir. Bu durum, kötü niyetli aktörlerin, zafiyetten faydalanarak kullanıcıları hedef almasına olanak tanır. Bir siber güvenlik uzmanı olarak, bu tür zafiyetleri tespit etmek için log analizi yaparken bazı belirli imzalara (signature) dikkat etmek önemlidir.

Zafiyetin detaylarına bakıldığında, bir saldırganın, Mark of the Web (MOTW) savunmalarını aşmak için özenle hazırlanmış kötü amaçlı bir dosyayı kullanarak SmartScreen'i atlatabileceği görülmektedir. MOTW, dosyaların internet kaynaklarından geldiğini ve bu nedenle potansiyel olarak tehlikeli olabileceğini belirten bir işarettir. Bu özelliğin aşılması, bir siber saldırıda oldukça kritik bir adımdır ve Adli Bilişim (Forensics) süreçleri için önemli bir veri kaynağı yaratır.

Bir saldırının gerçekleştiğini anlamak için, öncelikle Access log (Erişim logları) dosyalarını incelemek faydalı olacaktır. Burada izlenecek yollar arasında, kullanıcıların indirdikleri dosyaların kaynaklarının gözden geçirilmesi yer alır. Örneğin, kullanıcının indirdiği dosyanın URL'sinin güvenilir olup olmadığına dair bilgiler bu loglarda yer alır. Aşağıda bir örnek log çıkışı gösterilmektedir:

192.168.1.2 - - [27/Mar/2023:14:25:43 +0000] "GET /downloads/malicious_file.exe HTTP/1.1" 200 34567 "http://trusted-site.com" "Mozilla/5.0"

Burada dikkat edilmesi gereken noktalar, dosyanın indirildiği URL’nin güvenilir bir kaynağa ait olup olmadığı ve kullanıcı tarafından gerçekleştirilen eylemlerin sıklığıdır. Eğer kullanıcı, bilinmeyen veya potansiyel olarak zararlı bir kaynaktan dosya indiriyorsa, bu bir alarm işareti olabilir.

Ayrıca, Error log (Hata logları) dosyalarında, kullanıcıların kötü amaçlı yazılımlar tarafından etkilendiğine dair belirtiler ortaya çıkabilir. Kullanıcılar, sıkça uygulama çökmesi veya hata mesajları ile karşılaşıyorsa, bu durum SmartScreen'in potansiyel bir saldırıyı algılayamadığını gösteriyor olabilir. Bu tür hataların, aşağıdaki gibi log girdileri ile belgelenmesi olasıdır:

[ERROR] Application Crash: malicious_file.exe, reason: Security feature bypass detected.

Yukarıdaki hata mesajı, bir güvenlik özelliğinin bypass edilmesi ile ilişkilendirilebilir. Log analizi sırasında bu tür hata mesajlarına dikkat etmek, saldırının izlerini bulmak için büyük önem taşır.

Siber güvenlik uzmanları, ayrıca log dosyalarında şüpheli IP adreslerini de kontrol etmelidir. Örneğin, benzer IP adreslerinden gelen artan erişim talepleri veya aynı dosyanın farklı kullanıcılara yüklenmiş olması, RCE (Remote Code Execution / Uzaktan Kod Çalıştırma) veya Auth Bypass (Kimlik Doğrulama Atlama) girişimlerinin bir belirtisi olabilir. Belirli bir zaman diliminde anormal aktiflik gösteren IP adreslerini ve bu adreslerin erişim loglarını incelemek, bir tehlikenin varlığını tespit etmek için kritik bir adımdır.

Sonuç olarak, Microsoft Windows SmartScreen zafiyeti, etkili bir güvenlik önlemi olma kapasitesine sahipken, bu tür güvenlik risklerinin tespit edilmesi ve önlenmesi için, Adli Bilişim (Forensics) ve log analizi süreçlerinin felsefi ve teknik olarak derinlemesine yapılması gerekmektedir. Kullanıcıların bilinçlendirilmesi, potansiyel olarak zararlı içeriklere karşı korunması için en önemli adımlardan biridir.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows SmartScreen, kullanıcıları zararlı içeriklerden koruyan önemli bir güvenlik katmanıdır. Ancak, CVE-2023-24880 olarak bilinen bir güvenlik açığı, bu mekanizmanın atlatılmasına olanak tanımaktadır. Saldırganlar, özel olarak hazırlanmış kötü amaçlı bir dosya ile Mark of the Web (MOTW) savunmalarını geçerek potansiyel olarak sistemlere sızabilirler. Bu durum, kullanıcılara hem veri kaybı hem de kötü amaçlı yazılım bulaşma riski taşımaktadır.

Bu güvenlik açığını kapatmak ve genel sistem güvenliğini artırmak için en iyi yöntemlerden biri, sistemleri düzenli olarak güncellemektir. Microsoft tarafından sağlanan kritik güncellemeleri zamanında yüklemek, bilinen zayıflıkları ortadan kaldırmanın en etkili yollarından biridir. Ayrıca, kullanıcıların bilinçli olması, zararlı içerikler yüklememeleri ve şüpheli dosyaları açmamaları sağlanmalıdır.

Alternatif olarak, Web Application Firewall (WAF) kurallarını yeniden gözden geçirmek ve güncellemek, bu tür saldırılara karşı savunmayı güçlendirebilir. Örneğin, WAF üzerinde aşağıdaki kural setlerini ekleyerek yüksek riskli dosya uzantılarını çalıştırmaya yönelik denemeleri engelleyebilirsiniz:

SecRule FILES_TMPNAMES "@rx \.(exe|scr|bat|cmd|vbs|js)$" \
  "id:1001,phase:1,deny,status:403,msg:'Kötü niyetli dosya uzantısı engellendi.'"

Yukarıdaki kural, belirli dosya uzantılarını engelleyerek, kullanıcıların bilmeden yaratabilecekleri güvenlik açıklarını minimuma indirir.

Sıkılaştırma (hardening) süreçleri de göz ardı edilmemelidir. Gereksiz hizmetlerin devre dışı bırakılması, güvenlik duvarı ayarlarının gözden geçirilmesi ve sınırlı kullanıcı izinlerinin uygulanması gibi adımlar, bir sistemin saldırılara karşı dayanıklılığını artırmaya yardımcı olur. Örneğin, kullanıcı hesaplarının yönetimi sırasında aşağıdaki adımlar izlenebilir:

Kullanıcı Rolleri ve İzinleri: Her kullanıcıya ihtiyaç duyduğu minimum yetkilerin verilmesi, saldırganların sistem üzerinde daha geniş etki alanı elde etmesini engelleyebilir. Örneğin, bir kullanıcı sadece belirli bir uygulamaya erişebilecekse, sistemin geri kalanına erişimi kısıtlanmalıdır.
İzleme ve Loglama: Sistem aktivitelerini sürekli izlemek, beklenmeyen davranışların tespit edilmesine olanak tanır. Aşağıdaki gibi log kuralı oluşturarak, şüpheli aktiviteleri gerçek zamanlı olarak izleme imkanınıza kavuşabilirsiniz:

AuditLog Rule: /var/log/auth.log

Zayıf Şifreler ve Kimlik Yönetimi: Tüm kullanıcı hesapları için karmaşık şifre politikalarının uygulanması temel bir gereklilik olmalıdır. Özellikle, zayıf şifreler, brute force (yansıtmalı saldırı) yöntemleriyle hızlı bir şekilde kırılabilir.

Sonuç olarak, CVE-2023-24880 gibi güvenlik açıklarına karşı alınacak önlemler, istenmeyen sistem erişimlerini önlemek açısından son derece önemlidir. Yazılım güncellemeleri, WAF kuralları, sıkılaştırma süreçleri ve kullanıcı yönetimi gibi yöntemler, sistem güvenliğini artırarak olası saldırılara karşı bir savunma hattı oluşturur. Her bir adım, sistemin genel güvenlik postürünü yükseltirken, siber tehditler karşısında daha dirençli hale gelmesini sağlar.