Carberp Truva Atı

İnsanların sadece araştırma yapmak için değil, sosyal medya üzerinden resim, düşünce gibi paylaşımlarda bulunma, banka hesaplarının yönetimi, faturaların ödenmesi gibi işlemler için kullanılan ve popülerliğinin hızla artmakta olduğu internet, kötü amaçlı kişiler tarafından bilgilerin çalınması amacı ile kullanılan bir numaralı kaynak haline gelmektedir. Bu yüzden her gün yeni ve farklı varyasyonlarda zararlı yazılımlar ortaya çıkmaktadır.

Günümüzde internetin sağladığı avantajlar sayesinde zararlı yazılım barındıran botnet’lere ulaşmak oldukça kolaydır. Dışarıdaki herhangi bir saldırgan tarafından ücretli veya ücretsiz birçok zararlı yazılım internet ortamında kolaylıkla bulunabilmektedir.

Carberp Truva Atı , kullanıcıların interaktif banka, Paypal, kredi kartı gibi ticari önem taşıyan bilgilerinin yanı sıra internet ortamında yapılan araştırmalar, log kayıtları ve sosyal ağ kimlik bilgilerinin çalınması için geliştirilen zararlı bir yazılımdır. Carberp zararlı yazılımının son yıllarda etkili olması ile birlikte ücretinin giderek azalması yaygınlaşmasına hız kazandırmaktadır.

Carberp Truva Atını kullanan kötü amaçlı saldırganların daha çok kurumsal kimlik bilgileri ve hizmet verdiği alanlarda sahip olduğu müşteri bilgileri nedeniyle hedef olarak kendilerine bankaları tercih etselerde birçok kurum ve kişi tehdit altındadır.

Tehdit Tanımı

Truva atı (Trojan) zararlı yazılım barındıran veya yükleyen programlara denilmektedir. Truva atlarının bir yöntemi, masum kullanıcıya kullanışlı veya dikkat çekici programlar gibi görünebilir; ancak çalıştırıldıklarında içerisine yerleştirilen zararlı kodlardan dolayı zararlıdırlar.
Carberp truva  atının da dâhil olduğu diğer yöntem ise kendi başına işlem yapmayan ve başka bileşenlere ihtiyaç duyan zararlı yazılımlardır. Bu yöntemde truva atlarının zararlılığı kullanıcının davranışlarına bağlıdır. İçeriye yerleştirilen bir zararlı yazılımın etkisini gösterebilmesi için dışarıdan gerekli bileşenlerini yüklemesi gerekmektedir. Bilgisayarın sistem veya üzerinde yüklü olan programlarının bir kopyası gibi çalışarak, truva atları ihtiyaç duydukları bileşenleri indirebilmekte ve zararlı yazılım etkisini de bu şekilde gösterebilmektedir. Carberp tehdit ettiği platformlarda bu şekilde bir yöntem izlemekte ve farklı boyutlarda olan bileşenlerini yüklemektedir. Carberp’in kaynak kodu 1.8 GB gibi yüksek boyutta yer kaplamaktadır.

Carberp Truva Atı ilk olarak 13 Ekim 2010 yılında keşfedilmiştir. C++ dili kullanılarak geliştirilmiş Carberp Truva Atı’nın etkilediği Sistemler:

Tehdit Yöntemi

Bulaşma Yöntemi

Casberp Truva Atı içerisinde zararlı yazılım bulunan bir çalıştırılabilir dosyanın sahte web sayfaları aracılığı( sosyal mühendislik yöntemleri) ile masum kullanıcının bilgisayarına yüklenmektedir. Sürekli değişen dosya adı ile hedef sistemde aşağıdaki dizine yerleşmektedir.
Carberp zararlı yazılımı sisteme yerleştikten sonra anti virüslerin kendisini tespit etmesi ya da kaldırması durumunu engellemek için sistemde çalışan “explorer.exe” içerisine yerleşir ve bir sonraki yeniden başlatma işleminde Carberp Truva Atı bileşenlerini yüklemeye başlar.

Çalışması

Carberp zararlı yazılımı “exploerer. exe” vasıtasıyla bileşenlerini yükledikten sonra gene sistem işlemi olan “svchost.exe”’nin bir kopyası olarak çalışmasını sürdürmektedir. Bu süreçten sonra Carberp Truva Atının bilinen ve temel olarak işlevleri:
Carberp Truva Atının ilk olarak yüklediği eklentiler ve etkilenen uygulamaların listesi:
  1. stopav.plug : Sistemin korunmasını sağlayan bazı anti virüs yazılımlarının güncellenmesini durdurur.
  2. passw.plug : Sistemde yüklü olan bazı uygulamalar üzerinde kullanılan kullanıcı adları, mail adresleri ve parola bilgilerini toplar.
  3. Carberp Truva Atı sistemde yüklü olan bazı uygulamaların log kayıtları bilgilerini toplar.
Carberp Truva Atının sahip olduğu eklentiler zaman ilerledikçe ortaya çıkmakta ve işlevleri halen daha Symantec, Eset, Kaspersky, Norton, Microsoft gibi birçok antivirus firmaları tarafından araştırılmaktadır. Avast firmasının yaptığı teknik analiz sonucunda Carberp Truva Atının zaman ilerledikçe sahip olduğu eklentiler hakkında bilgi sunan zaman-eklenti grafiği aşağıdaki gibidir.
truva atı

Önerilen Önlemler

Genellikle sosyal mühendislik yöntemleri kullanılarak sistemlere bulaşan Carberp Truva Atından korunmak için kişilerin yada kurumların bünyesinde çalışanlarının internet ortamında bu tarz saldırılara karşı daha dikkatli olmaları gerekmektedir. Ayrıca, kullanılan sistemlerde aşağıdaki önlemlerin alınması tavsiye edilmektedir:

Sonuç

Carberp Truva Atı küçük veya büyük firmaların sistemlerine bulaşmış ve müşteri bilgilerinin çalınması sonucu sadece firmaları değil müşterilerinizi de ciddi zararlara uğratmıştır. Carberp, günümüzde erişilmesinin kolay olması ve sahip olduğu zararlı yazılımlar bakımında kişiler ve kurumlar için büyük tehditler oluşturmaktadır. Bu nedenle, Carberp Truva Atı ve türevlerine karşı bilincin arttırılması ve önlemler alınması gerekmektedir.

Mehmet KILIÇ

Kaynaklar:

o http://blog.avast.com/2013/04/08/carberp_epitaph/
o http://www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx?Name=Win32%2fCarberp
o http://www.securelist.com/en/descriptions/Trojan.Win32.Jorik.Carberp.ar
o http://www.lavasoft.com/mylavasoft/malware-descriptions/blog/trojanwin32carberp-trojanwin32genericpakcobra
o http://www.symantec.com/security_response/writeup.jsp?docid=2010-101313-5632-99&tabid=2
o http://go.eset.com/us/resources/white-papers/carberp.pdf