Blog

ClickFix PowerShell saldırısı, kullanıcıyı teknik bir açıktan ziyade kendi eliyle kötü amaçlı kod çalıştırmaya ikna etmeye dayanan bir sosyal mühendislik yöntemidir. Güvenlik araştırmacılarının yakından izlediği StrikeStub kampanyası, bu yaklaşımın ne kadar olgunlaştığını ortaya koyuyor: Sahte bir doğrulama ekranı, panoya kopyalanan tek satırlık bir komut ve arkasından bellekte çalışan, eklenti tabanlı bir uzaktan erişim truva atı (RAT). Bu yazıda saldırı zincirini aşama aşama açıp, kurumların ve web sitesi sahiplerinin hangi noktalarda savunma kuramadığını inceliyoruz.

ClickFix Yönteminin Klasik Kimlik Avından Farkı

Geleneksel kimlik avı, kullanıcıdan bir parola, kart numarası veya oturum bilgisi ister. ClickFix ise çok daha farklı bir yol izliyor: Kullanıcıya bir çözüm sunuyormuş gibi davranıp, işletim sisteminin kendi araçlarını onun eliyle çalıştırtıyor. Saldırganın gönderdiği e-posta, sosyal medya mesajı ya da ele geçirilmiş bir sitenin açılış sayfası genellikle şu senaryolardan birini kullanıyor:

• “Tarayıcınızı doğrulamak için insan olduğunuzu kanıtlayın” başlıklı sahte bir CAPTCHA ekranı
• “Dosya görüntülenemiyor, hatayı düzeltmek için aşağıdaki adımları izleyin” mesajı
• “Toplantı kaydına erişmek için doğrulama kodu gerekiyor” şeklinde hazırlanmış sahte bir kurumsal portal
• “Sitenizde güvenlik taraması başarısız oldu, düzeltme komutunu çalıştırın” gibi teknik destek görünümlü uyarılar

Bu ekranlardaki metin, kullanıcıya üç adımlı masum bir işlem yaptığını söylüyor: Windows tuşu ile R tuşuna birlikte bas, açılan pencereye panodaki kodu yapıştır, Enter’a bas. Kullanıcı bu üç hareketi yaptığında, panoya önceden yerleştirilmiş olan PowerShell komutu gizli pencerede çalışmaya başlıyor. Kullanıcı hiçbir dosya indirmediği, hiçbir bağlantıya tıklamadığı için kendini güvende hissediyor; oysa yürütme işlemi çoktan tamamlanmış oluyor.

StrikeStub Yükleyicisinin Anatomisi

StrikeStub, tek başına zararlı işlevi taşıyan bir yazılım değil; bir yükleyici (stager). Görevi, sistemde kendine yer bulmak, ortamın analiz için kurulup kurulmadığını anlamak ve ardından asıl zararlı bileşenleri belleğe çekmek. Bu ayrım, kampanyayı hem daha dayanıklı hem de daha zor tespit edilir hale getiriyor.

Ortam ve Kurban Doğrulama

İlk aşamada yükleyici, çalıştığı makinenin gerçek bir hedef mi yoksa bir inceleme ortamı mı olduğunu anlamaya çalışıyor. Bunu yaparken genellikle şu sinyallere bakılıyor:

• Sistem çalışma süresi, işlemci çekirdek sayısı ve bellek miktarı gibi donanım izleri
• Ekrandaki analiz araçlarına ait pencere başlıkları ve çalışan süreç adları
• Kullanıcı adı, bilgisayar adı ve etki alanı (domain) üyeliği bilgileri
• Klavye düzeni ve saat dilimi üzerinden hedeflenen coğrafi bölge tahmini
• Hata ayıklayıcı varlığı ve sanal makineye özgü aygıt imzaları

Bu kontrollerden biri şüpheli sonuç verirse yükleyici sessizce sonlanıyor. Böylece zararlı yazılım, otomatik analiz sistemlerinde “çalışmamış” gibi görünerek imza üretimini geciktiriyor.

Güvenlik Bileşenlerini Atlatma Girişimleri

Ortam kontrolünü geçen örnekler, PowerShell üzerindeki güvenlik günlüklerini ve betik tarama arayüzünü devre dışı bırakmaya yönelik adımlar deniyor. Amaç, çalıştırılan kodun iz bırakmadan ilerlemesi. Bu noktada dosyasız (fileless) teknikler devreye giriyor: Zararlı bileşen disk üzerinde ikili dosya olarak durmuyor, doğrudan bellekte birleştirilip çalıştırılıyor. Yürütme için imzalı sistem araçlarından yararlanılması, yani “sistemde zaten var olan meşru araçların kötüye kullanımı”, geleneksel dosya taramasının işini iyice zorlaştırıyor.

Kalıcılık ve Sonraki Aşamaya Geçiş

Yükleyici başarılı olduğunda, yeniden başlatmalardan sonra da çalışabilmek için tipik olarak şu mekanizmalardan birkaçını kullanıyor: zamanlanmış görev oluşturma, kayıt defterindeki çalıştırma anahtarları, başlangıç klasörüne kısayol yerleştirme veya WMI olay abonelikleri. Kalıcılık sağlandıktan sonra komuta kontrol sunucusuyla şifreli bir kanal kuruluyor ve asıl RAT bileşeni belleğe indiriliyor.

Modüler RAT Katmanı: Tek Yükleyici, Çoklu Yetenek

Kampanyayı ilginç kılan nokta, son aşamadaki zararlının sabit bir program olmaması. RAT, çekirdek bir iletişim motoru ve ihtiyaç duyuldukça yüklenen eklentilerden oluşuyor. Saldırgan bir kurban üzerinde hangi yeteneğe ihtiyaç duyarsa yalnızca o modülü gönderiyor; bu da hem ağ üzerindeki ayak izini küçültüyor hem de güvenlik ürünlerinin davranış imzası çıkarmasını zorlaştırıyor.

Modül	İşlevi	Kurum İçin Anlamı
Keşif	Sistem bilgisi, ağ komşuları, yetki seviyesi, kurulu güvenlik ürünleri	Saldırganın yanal hareket planı için harita çıkarması
Kimlik bilgisi toplama	Tarayıcıda kayıtlı parolalar, çerezler, oturum belirteçleri	Çok faktörlü doğrulamanın atlatılması, oturum çalınması
Girdi kaydı	Klavye vuruşları ve pano içeriğinin izlenmesi	Parola yöneticisi ve kurumsal uygulama girişlerinin ele geçirilmesi
Uzak komut yürütme	PowerShell, komut istemi ve WMI üzerinden görev çalıştırma	Fidye yazılımı dağıtımı için hazırlık
Dosya sızdırma	Belge tarama, arşivleme ve dışarı aktarım	Veri ihlali ve fikri mülkiyet kaybı
Tünelleme	İç ağa SOCKS benzeri erişim, uzak masaüstü köprüsü	Ağ segmentasyonunun etkisizleşmesi

Bu yapı, tek bir tespit kuralının tüm kampanyayı durdurmasını engelliyor. Bir modülün imzası çıkarıldığında saldırgan yalnızca o eklentiyi değiştiriyor; çekirdek yapı ve ClickFix dağıtım kanalı aynı kalıyor.

Uçtan Uca Saldırı Zinciri

Saldırının tamamını tek bir akış olarak görmek, savunma noktalarını belirlemeyi kolaylaştırıyor:

1. Yem: Kullanıcıya sahte doğrulama, hata veya toplantı daveti içeren bir sayfa gösteriliyor.
2. Panoya yazma: Sayfadaki betik, kullanıcı fark etmeden panoya bir komut yerleştiriyor veya kopyalama düğmesi sunuyor.
3. Kullanıcı eylemi: Kullanıcı çalıştır penceresine kodu yapıştırıp onaylıyor.
4. Yükleyici çalışması: PowerShell gizli modda başlıyor, ortam kontrollerini yapıyor.
5. Kalıcılık: Zamanlanmış görev veya kayıt defteri girdisi ile yeniden başlatmaya dayanıklı hale geliyor.
6. Komuta kontrol: Şifreli HTTPS trafiği üzerinden saldırgan sunucusuna bağlanıyor.
7. Modül yükleme: İhtiyaç duyulan eklentiler bellekte çalıştırılıyor.
8. Yanal hareket ve sızdırma: Kimlik bilgileri toplanıyor, iç ağ taranıyor, veri dışarı aktarılıyor.

Dosyasız Teknikler Savunmayı Neden Zorluyor

Geleneksel uç nokta güvenliği, diskteki dosyaları taramak üzerine kurulu. Oysa burada diskte indirilen bir çalıştırılabilir dosya yok; kullanıcının kendi eliyle tetiklediği imzalı bir araç ve bellekte birleştirilen betikler var. Üstelik ClickFix, teknik bilgisi düşük kullanıcıları da hedeflediği için “şüpheli e-posta eki” gibi klasik uyarı sinyalleri devreye girmiyor. Saldırı, kullanıcıyı kendi güvenlik kararının merkezine oturtuyor.

İkinci zorluk, dağıtım kanalının sürekli değişmesi. Aynı yükleyici farklı uzantılarla, farklı dillerde hazırlanmış sahte sayfalarla ve farklı ikna senaryolarıyla karşımıza çıkabiliyor. Bu nedenle yalnızca bilinen alan adlarını engelleyen statik listeler kısa sürede etkisini yitiriyor.

Katmanlı Savunma İçin Uygulanabilir Adımlar

Aşağıdaki önlemler tek başına yeterli değil; ancak birlikte uygulandığında saldırı zincirinin en az bir halkasını koparıyor.

• PowerShell’i kısıtlayın: Yalnızca imzalı betiklerin çalıştığı kısıtlı dil modu, uygulama denetimi ve betik bloğu günlüklemesi açık olsun.
• Çalıştır penceresini izleyin: Uç nokta güvenlik ürünlerinde “çalıştır penceresine yapıştırılan komut” davranışını alarm olarak tanımlayın.
• Davranış odaklı tespit kurun: Süreç ağacı, ebeveyn-çocuk ilişkisi ve komut satırı desenleri üzerinden kurallar yazın; yalnızca dosya imzasına güvenmeyin.
• Yetkiyi daraltın: Standart kullanıcı hesapları, ayrıcalık yükseltme onayı ve yerel yönetici parolalarının merkezi yönetimi kalıcılık ve yanal hareketi zorlaştırır.
• Giden trafiği filtreleyin: Bilinmeyen alan adlarına yapılan HTTPS bağlantılarını kısıtlayan bir çıkış politikası, komuta kontrol kanalını keser.
• Farkındalık eğitimini somutlaştırın: “Hiçbir doğrulama ekranı sizden komut çalıştırmanızı istemez” kuralı, soyut güvenlik tavsiyelerinden daha etkilidir.
• Zafiyet yönetimini sürekli hale getirin: Yapay zekâ destekli zafiyet yönetimi yaklaşımları, hangi varlığın hangi tehditle öncelikli olarak ele alınması gerektiğini belirlemede yardımcı oluyor.
• Yeni yüzeyleri hesaba katın: Tarayıcıda gezinen otonom ajanlar ve tarayıcı eklentileri, kullanıcı adına işlem yaparken ClickFix benzeri yönlendirmelere maruz kalabilir. Bu ajanların hangi sitelere erişebildiğini, hangi izinlerle çalıştığını ve panoya erişim yetkisini sınırlamak, yeni nesil sosyal mühendislik girişimlerine karşı ek bir katman oluşturur.

Sonuç

StrikeStub kampanyası, ClickFix’in yalnızca bir “kullanıcı hatası” olmadığını gösteriyor. Saldırganlar, imzalı araçları, dosyasız yürütmeyi ve modüler RAT yapısını birleştirerek tespitten kaçınmayı ve kalıcılığı artırmayı hedefliyor. Savunma tarafında ise tek bir ürüne veya tek bir imzaya güvenmek yerine PowerShell görünürlüğü, davranış analizi, yetki daraltma, çıkış trafiği kontrolü ve kullanıcı farkındalığını birlikte ele almak gerekiyor. Bu katmanlar birlikte çalıştığında, saldırı zincirinin en kırılgan halkası olan kullanıcı eylemi ile yükleyici arasındaki bağlantı kesilebilir.