Mövzunu Açan
#0
Process Doppelgänging, MITRE ATT&CK çerçevesinde T1055.013 koduyla tanımlanan bir teknik olup, saldırganların kötü amaçlı yazılımlarının tespit edilmeden çalıştırılmasına olanak tanır. Bu teknik, Windows işletim sistemleri üzerinde, mevcuttaki bir sürecin, başka bir sürecin hafızasını kullanarak yeniden oluşturulmasına dayanır.
Bu yöntemin temelinde, Windows’un hafıza yönetimi ve dosya sistemi özellikleri yatmaktadır. Saldırganlar, bir kötü amaçlı yazılım dosyasını, hedef sistemde mevcut bir süreçle ilişkilendirerek, bu sürecin izinlerini ve bağlamını kullanabilir. Böylece, kötü amaçlı yazılım, normal bir süreç gibi davranarak, güvenlik yazılımlarını atlatabilir.
Process Doppelgänging işlemi şu adımlardan oluşur:
Bu teknik, özellikle Windows 10 gibi güncel işletim sistemlerinde daha az tespit edilir çünkü bu sistemler, hafıza yönetimi ve süreç oluşturma işlemlerinde birçok güvenlik önlemi içermektedir. Ancak, saldırganların bu teknikleri kullanmaları, yalnızca teknik bilgi gerektirmekle kalmaz, aynı zamanda işletim sisteminin mimarisine dair derin bir anlayış da gerektirir.
Sonuç olarak, Process Doppelgänging, siber tehdit aktörlerinin tespit edilmeden sistemlere sızmasını sağlamak için kullandığı karmaşık bir tekniktir. Bu tür yöntemlerin farkında olmak ve sistem güvenliğini artırmak için gerekli önlemlerin alınması kritik öneme sahiptir.
Bu yöntemin temelinde, Windows’un hafıza yönetimi ve dosya sistemi özellikleri yatmaktadır. Saldırganlar, bir kötü amaçlı yazılım dosyasını, hedef sistemde mevcut bir süreçle ilişkilendirerek, bu sürecin izinlerini ve bağlamını kullanabilir. Böylece, kötü amaçlı yazılım, normal bir süreç gibi davranarak, güvenlik yazılımlarını atlatabilir.
Process Doppelgänging işlemi şu adımlardan oluşur:
- İlk olarak, saldırgan, hedef sürecin hafıza görüntüsünü alır.
- Ardından, kötü amaçlı yazılım dosyası, bu hafıza görüntüsüne yazılır.
- Son aşamada, saldırgan, sistemin mevcut süreçleri ile bu yeni yazılan görüntüyü birleştirir, böylece kötü amaçlı yazılım, hedef sürecin içine sızmış olur.
Bu teknik, özellikle Windows 10 gibi güncel işletim sistemlerinde daha az tespit edilir çünkü bu sistemler, hafıza yönetimi ve süreç oluşturma işlemlerinde birçok güvenlik önlemi içermektedir. Ancak, saldırganların bu teknikleri kullanmaları, yalnızca teknik bilgi gerektirmekle kalmaz, aynı zamanda işletim sisteminin mimarisine dair derin bir anlayış da gerektirir.
Sonuç olarak, Process Doppelgänging, siber tehdit aktörlerinin tespit edilmeden sistemlere sızmasını sağlamak için kullandığı karmaşık bir tekniktir. Bu tür yöntemlerin farkında olmak ve sistem güvenliğini artırmak için gerekli önlemlerin alınması kritik öneme sahiptir.