MUDDYWATER / PROXYRAT SİSTEM SIKILAŞTIRMA ÖNERİLERİ

Transkript

1 MUDDYWATER / PROXYRAT SİSTEM SIKILAŞTIRMA ÖNERİLERİ MUDDYWATER / PROXYRAT ZARARLI YAZILIMI İÇİN SON KULLANICI VE SUNUCU SİSTEMLERİNDE UYGULANACAK SIKILAŞTIRMA ÖNERİLERİ Bilgi Teknolojileri ve İletişim Kurumu (BTK) Ulusal Siber Olaylara Müdahale Merkezi (USOM) Adres: Bilgi Teknolojileri ve İletişim Kurumu (BTK) Merkez Binası Eskişehir Yolu 10.Km No:276 Çankaya/Ankara Telefon Numarası: Fax: iletisim@usom.gov.tr

2 AÇIKLAMA... 2 ALINMASI GEREKEN ÖNLEMLER Ofis Dokümanları Üzerinde Makroların Kapatılması a. Yerel Sistem Üzerinde Makroların Kapatılması b. Domainde Grup Politikası Üzerinde Makroların Kapatılması Powershell in Kapatılması a. Yerel Sistem Üzerinde Powershell in Kapatılması b. Domainde Grup Politikası Üzerinde Powershell in Kapatılması Komut İstemcisinin (cmd) Kapatılması a. Yerel Sistem Üzerinde Komut İstemcisinin Kapatılması b. Domainde Grup Politikası Üzerinde Komut İstemcisinin Kapatılması... 18

3 AÇIKLAMA Son zamanlarda ofis dokümanlarını kullanarak devlet kurumlarını hedef alan siber saldırılar yapılmaktadır. Ofis dokümanının içerisinde yer alan makroların çalıştırılması ile zararlı yazılım sistemlere bulaşmakta ve daha sonrasında zararlı aktivitelerine devam etmektedir. Aşağıda belirtilen zararlı yazılımın analiz ve aksiyon raporlarında ilgili zararlılara ait bilgiler bulunmaktadır: Rapor Adı: Yayınlanma Tarihi ProxyRat_APT_Analiz_Raporu_v Tehdit Analiz Raporu - MuddyWater Kampanyası Zararlı Yazılım Aksiyon Planı - MuddyWater ProxyRAT v İlgili zararlı yazılımlar ile devam eden siber saldırıları önlemek adına sıkılaştırma önerileri aşağıda verilmektedir. Bu sıkılaştırma önerileri üç ana başlık içerisinde toplanmaktadır: 1. Ofis dokümanlarında makro özelliğinin kapatılması 2. Powershell kullanımının kapatılması 3. Komut istemci (cmd) kullanımının kapatılması 1. Ofis Dokümanlarında Makro Özelliğinin Kapatılması Zararlı yazılım özellikle makro üzerinden yayılmaktadır. Birinci madde olan ofis dokümanlarının makro özelliğinin nasıl kapatılacağı; Yerel yetkiye sahip bir kullanıcı tarafından Ofis uygulamaları (Word, Excel, PowerPoint) üzerinden kapatma Yerel sistem üzerinde yönetici seviyesindeki bir kullanıcı tarafından yerel grup politikası (local group policy) ile kapatma Aktif dizin yöneticileri (domain admin) tarafından grup politikaları (group policy) ile kapatma başlıkları ekran görüntüleri ile adım adım anlatılmaktadır.

4 2. Powershell Kullanımının Kapatılması HİZMETE ÖZEL Makronun olmadığı durumlarda farklı yöntemler izleyen zararlı için ikinci madde olan powershell kullanımının kapatılması gerekmektedir. Bu nedenle ilgili sıkılaştırma önerisinde; Yerel sistem üzerinde yönetici seviyesindeki bir kullanıcı tarafından yerel grup politikası (local group policy) ile kapatma Aktif dizin yöneticileri (domain admin) tarafından grup politikaları (group policy) ile kapatma başlıkları ekran görüntüleri ile adım adım anlatılmaktadır. 3. Komut İstemci (cmd) Kullanımının Kapatılması Son olarak saldırı yüzeyini azaltmak için komut istemci özelliğinin kapatılması tavsiye edilmektedir. Bu nedenle ilgili sıkılaştırma önerisinde; Yerel sistem üzerinde yönetici seviyesindeki bir kullanıcı tarafından yerel grup politikası (local group policy) ile kapatma Aktif dizin yöneticileri (domain admin) tarafından grup politikaları (group policy) ile kapatma başlıkları ekran görüntüleri ile adım adım anlatılmaktadır. Aşağıda belirtilen maddeler öneri mahiyetindedir. Bunların haricinde alınması gereken diğer bütün tedbirler kurumunuzun sorumluluğundadır.

5 ALINMASI GEREKEN ÖNLEMLER HİZMETE ÖZEL 1. Ofis Dokümanları Üzerinde Makroların Kapatılması Zararlı yazılımın sisteme buluşmasını engellemeye yönelik en önemli adım olan makroların ofis dokümanları üzerinde kullanımının engellenmesi sağlanmalıdır. Eğer ofis dokümanlarında makro kullanımına gereksinim varsa bu internet bağlantısı olmayan, iç ağdan yalıtılmış bir şekilde sağlanmalıdır. Word, Excel ve PowerPoint uygulamaları üzerinden makroları manuel olarak devre dışı bırakmak için: File > Options > Trust Center > Trust Center Settings > Macro Settings > Disable all macros without notification

6

7 Yukarıda belirtilen çözüm önerisi ilgili ofis uygulamaları için zararlı makro içeren ofis dokümanlarının sistem üzerinde çalışmasını engelleyebilir fakat standart yetkiye sahip bir kullanıcı dahi istemesi durumunda bu ayarı değiştirerek zararlı kod içeren ofis dokümanının çalışmasını sağlayabilir. Daha efektif bir çözüm için lokal sistem üzerinde Local Group Policy Editor ve etki alanı üzerinde Group Policy Management Editor üzerinden ofis dokümanlarının ayarları merkezi olarak yönetilebilir. Bu sayede standart yetkiye sahip kullanıcıların da yapılan ayarları değiştirmesinin önüne geçilerek zararlı kod içeren makroların ofis dokümanları üzerinden çalışması engellenebilir. Hem yerel sistem hem de etki alanı için yapılması gereken işlemler aşağıda belirtilmiştir.

8 1.a. Yerel Sistem Üzerinde Makroların Kapatılması Test sırasında kullanılan işletim sistemleri ve ofis sürümü: İstemci: Ofis Sürümü: Windows 7 Professional x64 Microsoft Office 2013 x64 Yerel sistem üzerinde bulunan kullanıcıların ofis dokümanlarını merkezi olarak yönetebilmek için ilgili yönetimsel şablonların Microsoft un sitesinden indirilmesi gerekmektedir. Test sırasında kullanılan Ofis sürümü 2013 olduğu için ilgili şablonlar aşağıdaki adresten indirilmiştir. Diğer Ofis sürümleri için ilgili şablonlar aşağıdaki adreslerden indirilebilir. Microsoft Office 2010 Administrative Template: Microsoft Office 2016 Administrative Template:

9 İndirilen kurulum dosyası yerel sistem üzerinde çalıştırıldığında belirtilen dizine admin ve admx olmak üzere iki adet dizin oluşturmaktadır. admx klasörü içerisinde bulunan excel15.admx, ppt15.admx ve word15.admx dosyaları C:\Windows\PolicyDefinition\ dizini altına kopyalanmalıdır.

10 Yine admx klasöründeki en-us dil klasörü içerisinde bulunan excel15.adml, ppt15.adml ve word15.adml dosyaları C:\Windows\PolicyDefinition\en-US klasörü altına kopyalanmalıdır. Yerel grup politika editörü üzerinde User Configuration\Administrative Templates seçeneği altında sistem üzerinde yüklenen yönetimsel şablonlar görülmektedir. Bu noktada editör üzerinde aşağıdaki işlemler uygulanır. Microsoft Word/Excel/PowerPoint 2013\Word/Excel/PowerPoint Options\Security\Trust Center seçilir ve sağda bulunan ayarlar içerisinde VBA Macro Notification Settings ayarı Disable all without notification seçeneği seçilerek etkin duruma getirilir. Block macros from running in Office files from the Internet ayarı etkin duruma getirilir.

11 Yapılan değişiklikler doğrultusunda son olarak makro içeren bir ofis dokümanı çalıştırılmak istendiğinde makronun çalışmadığı görülmektedir. Ayrıca kullanıcı ofis dokümanları üzerinde makro ayarlarını değiştirmek istese de başarılı olamamaktadır.

12 1.b. Domainde Grup Politikası Üzerinde Makroların Kapatılması Test sırasında kullanılan işletim sistemleri ve ofis sürümü: Etki Alanı Sunucusu: Windows Server 2012 R2 x64 İstemci: Ofis Sürümü: Windows 7 Professional x64 Microsoft Office 2013 x64 Etki alanında ofis dokümanlarını merkezi olarak yönetebilmek için ilgili yönetimsel şablonların Microsoft un sitesinden indirilmesi gerekmektedir. Test sırasında kullanılan Ofis sürümü 2013 olduğu için ilgili şablonlar aşağıdaki adresten indirilmiştir. Diğer Ofis sürümleri için ilgili şablonlar aşağıdaki adreslerden indirilebilir. Microsoft Office 2010 Administrative Template: Microsoft Office 2016 Administrative Template: İndirilen kurulum dosyası etki alanı sunucusu üzerinde çalıştırıldığında belirtilen dizine admin ve admx olmak üzere iki adet dizin oluşturmaktadır. admx klasörü içerisinde bulunan excel15.admx, ppt15.admx ve word15.admx dosyaları C:\Windows\PolicyDefinition\ dizini altına kopyalanmalıdır.

13 Yine admx klasöründeki en-us dil klasörü içerisinde bulunan excel15.adml, ppt15.adml ve word15.adml dosyaları C:\Windows\PolicyDefinition\en-US klasörü altına kopyalanmalıdır.

14 Grup politikası yönetim editörü üzerinde User Configuration\Policies\Administrative Templates seçeneği altında sistem üzerinde yüklenen yönetimsel şablonlar görülmektedir. Bu noktada editör üzerinde aşağıdaki işlemler uygulanır. Microsoft Word/Excel/PowerPoint 2013\Word/Excel/PowerPoint Options\Security\Trust Center seçilir ve sağda bulunan ayarlar içerisinde VBA Macro Notification Settings ayarı Disable all without notification seçeneği seçilerek etkin duruma getirilir. Block macros from running in Office files from the Internet ayarı etkin duruma getirilir.

15 Yapılan değişiklikler doğrultusunda son olarak makro içeren bir ofis dokümanı çalıştırılmak istendiğinde makronun çalışmadığı görülmektedir. Ayrıca kullanıcı ofis dokümanları üzerinde makro ayarlarını değiştirmek istese de başarılı olamamaktadır. Not: Dokümanda zararlı yazılımların en çok kullandığı ofis uygulamaları Word, Excel ve PowerPoint olduğu için bu uygulamaların yerel ve etki alanı grup politikaları üzerinden yönetimi anlatılmıştır. Maksimum seviye güvenlik için kurum içerisinde kullanılan tüm ofis dokümanları üzerinde ilgili ayarların yapılması önerilmektedir.

16 2. Powershell in Kapatılması Makronun olmadığı durumlarda farklı yöntemler izleyen zararlı için ikinci madde olan powershell kullanımının kapatılması gerekmektedir. 2.a. Yerel Sistem Üzerinde Powershell in Kapatılması Test sırasında kullanılan işletim sistemi: Windows 7 Professional x64 Powershell i yerel grup politika editörü üzerinde kapatmak için: User Configuration\Administrative Templates\System\ sağ tarafta bulunan ayarlar bölümündeki Don t run specified Windows applications seçeneği etkin duruma getirilir ve altta bulunan List of disallowed applications bölümüne powershell.exe değeri yazılarak kaydedilir.

17 2.b. Domainde Grup Politikası Üzerinde Powershell in Kapatılması Test sırasında kullanılan işletim sistemleri ve ofis sürümü: İstemci: Windows 7 Professional x64 Etki Alanı Sunucusu: Windows Server 2012 R2 x64 Powershell i grup politikası yönetim editörü üzerinden kapatmak için: User Configuration\Policies\Administrative Templates\System\ sağ tarafta bulunan ayarlar bölümündeki Don t run specified Windows applications seçeneği etkin duruma getirilir ve altta bulunan List of disallowed applications bölümüne powershell.exe değeri yazılarak kaydedilir.

18 3. Komut İstemcisinin (cmd) Kapatılması Saldırı yüzeyini azaltmak için komut istemci özelliğinin kapatılması tavsiye edilmektedir. 3.a. Yerel Sistem Üzerinde Komut İstemcisinin Kapatılması Test sırasında kullanılan işletim sistemi: Windows 7 Professional x64 Komut istemcisini yerel grup politika editörü üzerinde kapatmak için: User Configuration\Administrative Templates\System\ sağ tarafta bulunan ayarlar bölümündeki Prevent access to the command prompt seçeneği etkin duruma getirilir.

19 3.b. Domainde Grup Politikası Üzerinde Komut İstemcisinin Kapatılması Test sırasında kullanılan işletim sistemleri ve ofis sürümü: İstemci: Windows 7 Professional x64 Etki Alanı Sunucusu: Windows Server 2012 R2 x64 Komut istemcisini grup politikası yönetim editörü üzerinden kapatmak için: User Configuration\Policies\Administrative Templates\System\ sağ tarafta bulunan ayarlar bölümündeki Prevent access to the command prompt seçeneği etkin duruma getirilir.