KULLANICIYA YÖNELİK TEHDİTLER

Yaşantımızda öyle kelimeler vardır ki insanlarla iletişimimizde bu kelimeleri sık sık kullanırız. Bilgisayarlarla içice olduğumuz durumlarda da teknolojinin getirdiği bu kelimeleri de yaşantımıza yerleştirdik. Bu teknolojiye ait kelimeleri kendimizle neredeyse bunlarla bütünleştirdik. Muhakkak bir toplantıda "bilgisayarıma virüs bulaştı. Geçenlerde bana trojan mı ne ondan bulaşmış" yada basında "sistemlere virüs bulaştı." gibi cümleler çok duymaya başladı. Kimimiz ise "yok kardeşim bana virüs müdür nedir o parazitlerden bulaşmaz :)" diyebiliriz. Bilgisayarlarımızla birlikte İnternette serbestçe dolaşmaya başladığımızda Virüs, Trojan, Rootkit, Backdoor(Arkakapı), Worm(Solucan) gibi kelimelerle devamlı karşılaşmaktayız. Bu türden isimler insanlarından hayatında yer edinmeye başladığından beri bu kavramlara ilişkin tanımlamalarda yazılmaya başlandı.

Bu tanımlamalar şu şekildedir:

Virüsler, programların içine kendini ekleyen kod parçalarıdır.
Truva atları ( Trojan ), kullanıcılara zararsız bir program gibi görünerek sisteme entegre edilir. Kullanıcılara resim, güvenlik programı veya şüphe uyandırmayacak bir program gibi tanıtılır.
Solucan ( Worm ), sistemlerin ağ ortamlarını kullanarak başka bir sisteme geçerler. Yayılması için sistemlerin güvenlik boşluklarından yararlanırlar.
Arkakapı ( Backdoor ), sisteme herhangi birinin dışarıdan müdahale etmesini sağlayan uygulamalardır.

Virüs, Trojan, Backdoor, Solucan gibi kavramlar birbirinden ayrı olsa da bunların tümüne birden bilgisayar kullanıcıları arasında virüsler denilmeye başlandı. İnternetin kullanım oranının artmasıyla birlikte yayılma oranı olarak tehlikeli kodlar statüsünde solucanlar daha popüler oldu. Dosyalara bulaşan virüsler büyük oranda azalmaya başladı. Yazılım hatalarının ortaya çıkması ve bu hataları kullanarak yayılması için yazılan solucanlardaki artış bilgisayar kullanıcılarını büyük zora sokmaktadır. Öyle ki bazı solucanlar Trojan � Backdoor türüne ilişkin kodları bünyesinde barındırmaktadır. Bu tür karışık kod kombinasyonunu barındıran solucan, kullanıcının sistemine bulaştığında sisteme dışarıdan giriş izni verebilir. Buda istenmeyen sonuçlar zincirinde yer alır.

Bir Virüs/Solucan yazarının düşünceleri arasında;
- Sistemdeki yazılımlar neler olabilir? Kullanılan bu yazılımlarda tehlike oluşturacak hata(solucanın yayılmasında kullanılan hata) var mı? Eğer hata varsa solucan nasıl yayılır?
- Sosyal mühendislik solucanda yayılma hızını ne ölçüde etkiler?
- E-posta, chat gibi işlemleri gerçekleştiren yazılımlarına ilişkin kod solucanın yayılma hızına etki eder mi? gibi düşünceler yer alır.
Yada bir solucan yazarının düşüncesinde, İnternette yayılan bir solucanın hatasını kullanarak yayılan ve yaşamaya çalışan solucan fikride olabilir(Bir nevi solucanların savaşı). Örnekler çoğaltılabilir. Her ne olursa olsun neticesinde etkilenenler yine İnternet kullanıcıları olacaktır.
Bu yazıda Linux sistemlerine ilişkin virüs ve solucanlardan bahsedilecektir?
Genellikle, sorulan soruların başında Linux çekirdeğine sahip işletim sistemine virüs bulaşır mı?
Yanıt kısaca; bulaşma yüzdesi düşük. Eğer sistem iyi bir şekilde yapılandırılmışsa sisteme dosya virüsü bulaşma olasılığı çok zordur. /sbin, /tmp gibi yapılar farklı bir bölümde olup, nosuid, noexec, read only şeklide tanımlanırsa bir dosya virüsünün bu sistemde beslenme olasılığı çok zordur. Böyle bir durum mevcutsa Linux için dosya virüsleri var mı? türünden aklımıza soru gelebilir. Sorunun yanıtı, Evet. Bu dosya virüsleri ülkemizde pek bilinmemektedir. Dediğim gibi bunların yayılma olasılığı düşük.
Durumu solucanlar açısından değerlendirirsek Linux ne derece güvenlidir? demektense sisteme kurulan yazılımlar ne derece güvenlikli demek daha doğru olur.
Çünkü; sisteme kurulu olan bir ağ yazılımında(web sunucu, ftp sunucu v.b.) yada kullanıcılarla birebir ilişkiyi sağlayan bir yazılımda açık var ise bu açıklar solucanlara davetiye çıkarır ve sistemin güvenlik bütünlüğünü tamamıyla zorlar. Örneğin, Apache solucanı(Slapper), phpBB solucanı(perl.Santy).
Son zamanlarda bu solucanların en bilineni phpBB solucanıdır. Bu solucan phpBB isimli bir web forum uygulamasının açığını kullanarak yayılır. Yayılmak için beslendiği ortam google isimli tarama motorudur.
Google arama motoru sayesinde phpBB web uygulamasını kullanan sistemleri bulup, site dizinlerini tarayarak “.asp / .htm / .jsp / .php / .phtm / .shtm” uzantılı dosyaların içeriklerini;
This site is defaced!!!
NeverEverNoSanity WebWorm generation
olacak şekilde değiştiriyor.
Bu phpBB solucanından esinlenerek yazılmış bir çok solucan ortaya çıktı. Bunlardan biri google arama motoru yerine yayılmak için search.aol.com adresini kullanıyordu. Bu solucanlardan bazısı web sayfalarını değiştiriyor, bazısı ise sistemde arkakapı bırakıyordu. Bu türden solucanlar hakkında araştırma yaparken dikkatimi çeken bir solucan oldu. Bu solucan sadece phpBB forum uygulamasını içeren siteleri aramıyor. Google ve Yahoo isimli arama motorlarının vasıtasıyla 51 adet farklı uygulamayı tarayarak ki bunların hepsi açık içeriyor ve tarama sonucunda açık bulunan sitelere arkakapı yüklüyor. Neticesinde de bu arkakapı sayesinde uzaktan sisteme giriliyor. Görülmektedir ki sistemi tehlikeli durumu düşürenlerin en başında uygun şekilde yapılandırılmamış uygulamalar gelmektedir.

Perl.Santy: phpbb solucanı tarafından içeriği değiştirilmiş bir site.

fake_exploit: derlenen sahte bir exploitten kesit. İçerisinde bir perl ile yazılmış bir betik var. Bu betik, sistemin uzaktan(remote control) kontrol edilmesini sağlıyor.

QtFprot: F-prot antivirüs uygulamasının kullanımını, grafiksel arabirim vasıtasıyla kolaylaştırır.

Panda Antivirüs: Oldukça popüler olan Panda Antivirüsün Linux versiyonu dosya virüslerini tespit etmede oldukça başarılı.

H+BEDV Antivir: Dosya virüslerini tespit etmede başarılı. Ayrıca tespit ettiği virüsleri sistem kayıt(log) dosyalarında da belirtiyor.

Clamav: Ücretsiz olması nedeniyle dikkat çeken bir Antivirüs. Linux dosya virüslerini tanıma oranı yüksek.

Gildo virüsü: Bulaştığı dosyanın ortasına eklediği mesaj kolaylıkla görülüyor.