Rehber RAT nedir?

@Rhodes'a duyurulur...

Güzel rehber

Emeğinize sağlık.

Elinize sağlık hocam, önceden arkadaşlarıma şaka olsun diye RAT atardım. Ne korkarlardı ama

Silinen üye dedi:

Selam, bu rehberimde RAT'ın ne olduğunu ve RAT yemekten nasıl kurtulabileceğinizi anlatacağım.

RAT, açılımı ile Remote Administration Tool veya Remote Access Trojan başka bir sisteme uzaktan erişmek için kullanılan araçtır. Örnek olarak, birisi size bir dosya atar ve siz o dosyayı bilgisayarda açarsanız, geçmiş olsun. RAT yediniz.

RAT'ı atan kişi ne yapabilir?

Kısaca, RAT yediğiniz zaman RAT'ı atan kişi her şeyi yapabilir. Tarayıcı çerezlerinize erişir, kredi kartlarınızın bilgilerini ele geçirir, bilgisayarınızda olan dosyalara erişir ve bu sayede önemli verileriniz varsa bunu ele geçirir. Daha saymadığım birçok şeyi RAT yerseniz karşı tarafın eline verirsiniz. Daha basit anlatımak gerekirse, sanal makineye girdiğinizde her şeyi yapabiliyorsunuz değil mi? RAT'ı atan kişi de aynı şekilde, her şeyi yapabilir ve ruhunuz bile duymaz.

RAT yemekten nasıl kurtulurum?

Bunun çok basit yöntemleri var, bildiğiniz kaynaklar dışında dosyalar dışında dosya indirmemek, anlık koruma sağlayacak Antivirus'ler kullanmak bkz. Kaspersky.

RAT yedim, nasıl temizlerim?

Var olup olmadığını popüler virüs programlarıyla taratarak öğrenebilirsiniz, ancak yanlış bilinen bir bilgi daha var. Antivirüsler her zaman her virüsü yakalayamaz, bir virüsü yakalayabilmesi için o virüs içeriğini daha önceden öğrenmesi gerekir, antivirüslerin database güncellemesi bu yüzden önemlidir. Eğer hiçbir şekilde emin olamıyorsanız en garanti yol bilgisayarda bulunan tüm disklere yedek almadan format atmaktır, varsa kullanmış olduğunuz taşınan diskleri (flash bellekleriniz gibi) ve bellek donanımlarını tekrar bilgisayara takmamaktır çünkü geçmişte bulaşan virüs kendisini taşınan aygıtlara kopyalabilir.

Temizledim, sonra?

Virüsü bulup silerse mutlu olursunuz sonra kullandığınız tüm şifreleri değiştirirsiniz ve banka/kredi kartlarınızı iptal ettirip yenisini çıkartırsınız. Bana göre virüs bulmaması daha kötü, düşünsene bilgisayarında virüs var ama çok tecrübeli birisi tarafından izleniyorsun ve antivirüs programların bunu yakalayamıyor. Bu durumda bilinmesi gereken tek şey tecrübeli internet kullanımı olur, kaynağı belirsiz güvenilirliği kesin olmayan dosyaları indirmemek gerekir.

Konu dışında bazı ek bilgiler;

RAT yasal mı?

Bazı RAT'lar yasal, bazıları değil. "Adamlar bilgilerimi çalıyor, nasıl yasalı var?", demeyin çünkü TeamViewer'da bir çeşit RAT türüdür, ama bu yasaldır. Ek olarak, yasal olanlar backdoor kullanmazlar ve bilgisayarına bağlanılan kullanıcı istediği zaman bağlantıyı kesebilir.

Nasıl Yayılırlar?

RAT'lar, P2P dosya paylaşım sistemleri (Torrent gibi), Messenger ve spam e-mailler üzerinden yayılabilirler. Kurban bir dosya indirir, 5 kere Next'e tıklar ve bum! RAT artık sistemdedir ve biri onu bulana kadar sistemin tüm verileri risk altındadır.

Genişletmek için tıkla...

Küçültmek için tıkla...

Kısaca Remote Administrator Tool veya Remote Acces Trojan şeklinde özetleyebiliriz. Bu açılımları çevirirseniz zaten ne olduğunu az çok anlarsınız.

Hack forumlarının vazgeçilmezi Android RAT

Barış dedi:

Antivirüsler Neden Bazen Görmez? (FUD ve Crypter Gerçeği)​

"Antivirüsüm var, bana bir şey olmaz" demeyin. Saldırganlar, "Crypter" (Şifreleyici) adı verilen araçlarla virüsün kod yapısını karmaşıklaştırır. Buna FUD (Fully Undetectable) denir.

Antivirüsler genellikle bilinen virüs imzalarını (signature) arar. Crypter ile şifrelenmiş yeni bir RAT, antivirüs veritabanında henüz tanımlı olmadığı için "Temiz" olarak görünebilir. Bu yüzden antivirüs tek başına yeterli değildir, bilinçli kullanıcı olmak şarttır.

Manuel Kontrol İpuçları:

• Bilgisayar boştayken fanların hızlı dönmesi (Mining şüphesi).
• Görev Yöneticisi'nde veya "Başlangıç" sekmesinde tanımadığınız garip isimli uygulamalar.
• İnternet kullanımında sebepsiz artışlar.

​

Genişletmek için tıkla...

Küçültmek için tıkla...

Ellerinize saglik, bu kismi biraz daha acmak isterim;

Antivirusun bir zararliyi tespit etmek icin illa ki tehdit veritabaninda tanimli olmasi sart degil. Modern antiviruslerde herusitics (sezgisel analiz), davranissal tespit, bulut/Machine Learning tabanli analiz gibi farkli farkli katmanlar da bulunuyor.

Buna ragmen bahsettiginiz gibi yollarla ozellikle bir malware'in ortaya ilk ciktigi donemde antiviruslerden cok ciddi sekilde kacabiliyor. Antivirusler bunu tespit edene ve imza veritabanina ekleyene kadar zaten cok ciddi sayida magduriyet yasanmis olabiliyor.

Modern antivirusler sadece imza temelli calismaz dedim ama bu imzanin gereksiz oldugu anlamina gelmez, aksine hala antivirusun dogrudan "Tamam, bu zararli, direkt engelliyorum" diyebilmesini saglayan sey imza tabanli analiz katmanidir. Eger zararli bu katmanda tespit edilemeyecek, cok yeni bir zararliysa oteki katmanlarda false-negative riski belirgin sekilde artiyor. Neden? Cunku antivirusler gelisirken malware'ler yerinde sayiklamiyor, onlar da surekli gelisiyor ve gitgide karmasik bir hale geliyor. Neden? Cunku false-positive riski de kullanicilar icin sorunlu ve antivirus gelistiricilerinin istemedigi bir durum. Hatta somut bir ornegini bile verebiliriz.

Windows 11'deki Smart App Control ozelligini bilirsiniz. (Kendisi bir antivirus degil, guncel Windows'larda bulunan ek bir koruma katmani) Bu ozellik daha cok giris seviyesi, genel olarak pek bir bilgisi olmayan, karmasik kullanimi olmayan ve guvenligin en on planda oldugu yuzeysel kullanicilar icin tasarlanmis bir arac. Eger korsan oyun kullanan, gelistiricilikle ugrasan, kendi yazilim projelerini gelistiren, internetten dijital imzasi olmayan yazilimlar indiren bir kullanici Smart App Control acarsa muhtemelen illallah eder. Gun icerisinde surekli olarak yapmak istedigi seyleri engeller, asiri derecede kisitlar; ve en sonunda muhtemelen bu kullanicinin yapacagi sey Smart App Control'u bir daha acmamak uzere kapatmak olur.

Iste antivirusler de bu senaryodan kacinmak istiyor. Guvenligi saglarken ayni zamanda kullanicilari asiri derecede kisitlayip onlarin kullanimini bozmak istemiyor. Bu sebeple bazi seylerden feragat etmesi gerekiyor. Bunun avantaji kullanicinin cok daha rahat calismasi, antivirus tarafindan kisitlanmamasi; dezavantaji ise false-negative riski.

AV bir dosyayi kontrol ederken "Elimizdeki sinyallere gore bu dosyanin zararli olma ihtimali ne kadar?" diye bakar. Smart App Control gibi "yeterince guvenilir degilse dogrudan engelle" mantigiyla calismaz. Ornegin;

Dusuk risk: Calismasina izin ver.

Orta risk: Uyari ver, bulut analizi ve daha fazla inceleme katmanini aktif et. Kontrollu sekilde calistir.

Yuksek risk: Direkt engelle ve karantinaya al.

Diyebiliriz.

Gunumuzde FUD, packer gibi yapilar antiviruslerin isini cok zorlastiriyor. Cunku bu tarz yontemlerin asil amaci payload'in statik gorunumunu degistirmek ve analiz edilmesini zorlastirmak.

Bir AV dosyayi incelerken onun iceriginden cok sayida sinyal cikarabilir.

Ornegin: Dosya - PE yapisi - Kod - bilinen patternler - heuristic ozellikler - ML siniflandirmasi - Reputation / cloud - Davranissal analiz.

Payload yogun bicimde paketlenmis/sifrelenmisse bazi statik bilgiler AV icin baslangicta gorunmez hale gelir. Bu baglamda AV'nin onune normal executable gibi gorunen ama gercek kodunu daha sonra ortaya cikaran bir dosya gelebilir.

Tabii bu kisim yalnizca statik analiz katmanini zorlastirir. Dosya calistirildiginda gercek davranis ortaya cikarsa davranissal koruma baska firsatlar elde eder.

Peki neden davranissal koruma da yakalayamiyor? Cunku mevzu o kadar basit degil, daha karmasik.

Gercek dunyada Windows'taki mesru yazilimlar da binlerce farkli islem gerceklestiriyor. Oyunlar, kurulum programlari, sistem araclari, suruculer, gelistirici araclari cok dusuk seviyeli islemler yapabilir.

Dolayisiyla AV'nin davranissal motoru genellikle tek bir davranistan ziyade davranis kombinasyonlarina ve baglama bakar.

Ornegin tek basina supheli bir davranis antivirusun hemen engellemesi icin yeterli degil. Birkac supheli davranis olunca risk artmis olur ve daha kontrollu ve incelemeci yaklasir.

Ciddi sekilde birikmis supheli davranislar + supheli dosya + kotu reputation + anormal surec iliskisi ise artik oldukca yuksek riskli gorunur ve muhtemelen antivirus bunu en sonunda engeller.

Yani uzun lafin kisasi antiviruslerin onunde iki temel hata turu var: False Negative ve False Positive. Ikisi de sorunlu fakat maalesef ikisi de ayni anda sifirlanamaz. Bu nedenle AV ureticisinin bir karar esigi belirlemesi gerekiyor. Bu esigi cok agresif yaparsa false-positive riski artar ve antivirus cok kisitlayici olabilir, cok gevsek yaparsa da false-negative artar ve cok fazla zararli kacirabilir.

Ek olarak: Her bilgisayar bostayken fanlarin hizlanmasi sizi tek basina hemen panige sokmasin. Tamamen normal sistem surecleri de buna sebep olabilir.

Gorev Yoneticisinde gordugunuz her yabanci girdi sizi hemen korkutmasin, eskiden kullandiginiz bir yazilimin kalintisi olabilir.

Her ag aktivitesi de hemen virus bulastigi anlamina gelmez. Ayni sekilde isletim sistemindeki tonlarca farkli surec, servis buna sebep olabilir. Malware analizi yaparken tek bir belirtiyle mutlak karar verilmez. Birden fazla veri toplanarak sonuc degerlendirilir. Eger supheli davranislar riskli derecede ust uste binerse o zaman ciddiye almak gerekir.

Ayrica Gorev yoneticisi yerine Process Explorer, Windows'un startup bolumu yerine Autoruns, aktif ag aktivitelerini teknik acidan asiri ileri duzeye gitmeden incelemek icinse TCPView kullanilabilir.

Cok daha teknik ve ileri duzey paket analizi icin Wireshark tarzi yazilimlar kullanilir fakat bu ciddi bir teknik bilgi gerektirir. Yuzeysel, giris-orta seviye kullanicilar icin uygun araclar degil.