Akıllı telefonlarda zararlı yazılımın başlangıcı 2004 yılına kadar uzanır. O yıl Cabir kendini ilk kez göstermişti. 29A virüs yazarları grubunun üyesi olan Vallez kod adlı biri tarafından geliştirilen Cabir önemli bir solucan olarak tarihteki yerini aldı. Cabir yazdığı virüs .sis dosyası olarak Symbian işletim sistemli cihazlara Bluetooth üzerinden bulaşması için tasarlanmıştı. Bu içeriğin yayılması çok da uzun sürmedi.

Yıl sonuna kadar çok daha güçlü kötücül yazılımlar karşımıza çıktı. Aynı yıl suçlular kötücül mobil kodlarla para kazanmanın yollarını geliştiriyor ve Qdial isimli Truva atını Symbian telefonlara göndermeye başlıyordu. Bu Truva atı telefonlara ücretli servislerin ulaşmasını sağlayarak suçlulara gelir sağlıyordu. Bu saldırıların kaynağı olarak Birleşik Krallık, Almanya, Hollanda ve İsviçre görülüyordu. Zaman geçtikçe platform fark etmeksizin bu yöntem suçluların en önemli para kazanma silahlarından biri haline geldi.

O yılın Kasım ayında Skulls isminde yeni bir mobil kötücül yazılım ortaya çıktı. Skulls daha çok eski tip bilgisayar virüslerini anımsatıyordu. Skulls mobil cihazdaki uygulama dosyalarına kod yazıyor, onların işlevlerini yitirmelerini sağlarken normal sembolleri yerine bilindik kurukafa ve çapraz geçen iki kemik yerleştiriyordu. Skulls e-posta ve P2P paylaşımla dağıtılıyordu. Ayrıca kendini “Genişletilmiş Tema Yöneticisi” olarak göstererek Nokia 7160’a, ardından da diğer Symbian cihazlara sızmaya çalışıyordu. Skulls’un ikinci sürümünde Cabir ile bir işbirliği görülüyordu. Bu kez sembollerin yerine kurukafa ve kemikler yerleşmezken kullanıcıların anlamakta zorlanacağı bir kötücül yazılım haline geliyordu. Daha sonra bu birleşme birçok kötücül yazılım için rol model oldu.

2005 yılında mobil kötücül yazılım bilgi hırsızlığına yönelmesine rağmen tehdit, günümüzde olduğu kadar profesyonel seviyede değildi. Pbstealer isimli kötücül yazılım bulaştığı cihazın tüm kişi rehberini kopyalıyor ve menzilde bulunan Bluetooth’lu cihaza aktarılıyordu. Pbstealer Cabir’in kaynak kodunu kullanıyordu ve şu mesajı veriyordu: “İyi bir sanatçı kopyalar, büyük bir sanatçı çalar.” Aynı yıl diğer akılda kalıcı noktaysa ilk kez bir mobil kötücül yazılımın daha düşük etkisi olan Bluetooth yerine MMS kullanılarak yayılması oldu. Commwarrior yıkıcı bir yazılım olmasa da mobil kötücül yazılım evrim tablosundaki yerini bu şekilde alıyordu.
Neredeyse tüm kötücül yazılımların Symbian için yaratılmasının yanında daha az etkisi olsa da Windows CE için de kötücül yazılımlar üretiliyordu. Windows CE’nin Symbian’a göre daha güvensiz olmasına rağmen Symbian mobil işletim sistemi piyasasında çok daha pay sahibi olduğunda suçluların hedefi olmuştu. Suçlular için bir diğer ilgi çekici alan da J2ME (Java 2 Micro Edition) için geliştirilen kötücül yazılımlar olmuştu. Bu geliştirme platformu suçluların birçok platforma aynı anda yayılması için zemin oluşturmuştu. J2ME kullanan tüm cihazlar tehlike altına girdi ve saldırılan cihaz sayısında önemli bir artış gerçekleşti. 2009 yılında çoğu mobil kötücül yazılım J2ME için SMS ile dağıtılan Truva atlarından oluşuyordu. SMS dolandırıcılığının birçok çeşidi çıktı. Bunlar arasında ücretli servisler için atılan mesajlar ya da çok daha sosyal mühendislik içeren, doğrudan bir şeyleri satın almasını ya da üye olmasını sağlayacak servisler peydah oldu.

2010 yılına geldiğimizde saldırıların düzenlendiği alanlar oldukça değişti. Gartner’ın raporuna göre akıllı telefon satışları 2009 yılına göre yüzde 70 oranında arttı ve Apple’ın iPhone’larda kullandığı iOS ile Google’ın Android’i piyasayı domine etmeye başladı. Suçlular bu yeni platformlardaki potansiyeli fark etmekte geç kalmadı ve sahiden de bu iki platform Ağustos 2011’de piyasanın yüzde 50’sine hakim oldu.
Android için üretilen ilk Truva atı 2010 yılının Ağustos ayında keşfedildi ve Trend Micro bu yazılıma ANDROIDOS_DROIDSMS.A adını verdi. Rusya’dan dağılan dolandırıcı SMS para çalmaya yönelikti. Günümüz akıllı telefonlara bakıldığında kurumsal suçlar için çok daha fazla fırsat olduğu görülüyor. Aynı ay içinde DROIDSMS.A isminde başka bir Truva atı keşfedildi. Bu Truva atı da Tap Snake isimli oyunun arkasına gizlenmişti ve bulaştığı cihazın konumunu http üzerinden bildiriyordu.

Geçtiğimiz yılın yine Ağustos ayında iOS tabanlı cihazlar için üretilmiş ilk kötücül yazılım ortaya çıktı. Ikee solucanı yazılım olarak kırılmış –jailbreak edilmiş- iPhone’lara sızıyordu. Sızılan cihazlar sapıtıyor ve zemin değişerek 80’lerin güzel sesli şarkıcısı Rick Astley’in fotoğrafının yanında bir mesaj sunuyordu: “Ikee hiçbir zaman senden vazgeçmeyecek.” Bu basit gibi görülen solucan daha sonra geliştirilerek Hollanda’daki ING Bank müşterilerinin banka bilgilerini çalmak için kullanıldı. Şu zamana kadar resmi App Store ya da kırılmamış bir iPhone üzerinde herhangi bir kötücül yazılıma rastlanmadı ama web tabanlı jailbreak servisi jailbreakme.com iPhone tarayıcısı üzerinden saldırılabileceğini gösterdi.
İlk olarak Android kötücül yazılımları tamamen denetimsiz uygulama yayma ekosistemleri olan üçüncü parti uygulama mağazalarında yayıldı. Android uygulamalarında Apple’ın aksine sadece tek bir uygulama mağazası modelini benimsenmedi ve Android uygulaması yayımlanmadan önce herhangi bir kod incelemesinde bulunulmadığı için tüm sorumluluk kullanıcıya bırakıldı. Saldırıların yoğunlaşmasının ardından Google bu zararlı yazılımları uzaktan kaldırabilen bir sistem kurdu. Yine de Mart 2011’de en geniş Truva atı uygulama koleksiyonu ortaya çıktı, hem de bu kez resmi Android mağazasında. 50 uygulamanın içine virüs yüklenmiş sürümleri cihazlara sızmak için mağazadaki yerini aldı.

DroidDream olarak bilinen bu kötücül yazılım sadece cihazdaki IMEI ve IMSI bilgileri çalmakla kalmıyor gizli yazılımlar yükleyerek cihazdaki daha kişisel bilgileri suçlulara taşıyordu. Bu ikinci kötücül yazılım daha fazla kötücül kodun telefona indirilmesini sağlıyordu. Google bu uygulamayı uzaktan etkisiz hale getirdi ancak geride çok önemli sorular kadı; eğer ilk enfeksiyon daha sonra da kötücül yazılım indirdiyse, o uygulamanın ortadan kaldırılması yeterince etkili oldu mu? Google’ın kötücül yazılım harekete geçtikten sonra güvenlik aracını yayımlamasına rağmen suçlular daha hızlı davranarak bunu da bir fırsata dönüştürdü. Güvenlik aracı gibi görünen uygulama suçlular için bilgi çalan ve istediklerini yapabildikleri bir kötücül yazılıma dönüştürüldü. O zamandan günümüze birçok kötücül Android uygulaması rutin şekilde cihazlardaki SMS’leri iletiyor, GPS konum bilgilerini veriyor, para isteyen SMS’ler atıyor, arkadaştan gelen bir SMS gibi görünüyor ve son olarak da Google+ uygulamasında gerçekleşen telefon konuşmalarını suçlulara bildiriyor.
2011 yılında mobil kötücül yazılımların geldiği noktalara bakıldığında suçluların hâlâ çok fonksiyonlu ve kompleks şekilde saldırılarda bulunduğu görülüyor. Elbette mobil kötücül yazılımların Windows tabanlı kötücül yazılımları yakalaması için bir sürenin geçmesi gerekiyor ancak suçluların mobil platformlara ilgi gösterdiği ve hızlar arttığı bir gerçek. Bizler aynı suçlu gruplarından birçok platforma uyumlu saldırılar düzenlediğini görüyoruz. Karmaşık yapıdaki tehditlere örnek verecek olursak Zeus kötücül yazılımının artık mobil elementleri olduğunun ve SMS bankacılığına da el attığını söyleyebiliriz. Suçlular kullanıcı davranışlarına göre kendilerini şekillendiriyor ve para kazanacak fırsatları mobil platformlara taşımaya çalışıyor ki şimdiden buradalar.

Anonymous yeni bir video ile organize olarak Facebook’a saldıracaklarını açıkladı. En azından Britanya’da gerçekleşecek saldırı için 5 Kasım tarihi telaffuz edildi. Videoda gönüllülere saldırıya katılması için çağrıda bulunurken, planlanan aktiviteyle ilgili herhangi bir detay verilmedi. Hazırlanan video yaklaşık bir ay önce yayınlandı ve geçtiğimiz haftaya kadar hiç gündeme gelmedi. Twitter profillerinde ses yoktu ve saldırının düzenlenmesi planlanan platformda –Facebook’ta- bir sayfa bile oluşturuldu.

Videoya göre Facebook birçok sebep nedeniyle “öldürülmeyi” hak ediyor:

1. Kişisel bilgileri topluyorlar ve silmiyorlar – “siz hesabınızı ‘silseniz’ bile tüm kişisel bilgileriniz Facebook’ta kalıyor ve profil istenen zaman yeniden açılabiliyor. Gizlilik ayarlarınızı değiştirerek Facebook hesabınızı daha ‘özel’ yaptığınız tamamen bir halay ürünüdür. Facebook sizinle ilgili ailenizden daha çok şey biliyor.”

2. Sizin bilgilerinize ulaşım haklarını resmi makamlara ya da özel kuruluşlara satıyor – “Facebook bilgiyi hükümet makamlarına satıyor ve güvenlik şirketlerine el altından bilgiye erişim izni veriyor. Böylece dünya çapında insanlar gözetlenebiliyor. Mısır ve Suriye’de olduğu gibi bazı güvenlik şirketleri hükümet yetkilileri için çalışıyor.”

Sebeplerini açıklarken bir mesajla imzalarını atıyorlar, “Bizler milli ya da dini önyargılar olmadan varız. Bizler gözetlenmeme, yavaşça üzerimize gelinmeme ve kâr için kullanılmama hakkına sahibiz. Bizler köle gibi yaşamama hakkına sahibiz.”

Şimdi suçlamaları inceleyelim. İlk olarak veri saklanmasıyla ilgili; Facebook’un kendi gizlilik sözleşmesinde açıkça şu ifade yer alıyor: “Siz bir hesabı sildiğinizde, bu Facebook’tan kalıcı olarak silinmiştir.”

Hesapların geri getirilebilmesiyle ilgili de şu ifadeler yer alıyor: “Kaldırılmış ve silinmiş bilgiler 90 gün kadar yedeklenir ancak diğerleri bu bilgilere ulaşamaz.” Elbette eğer siz bilgilerinizi Facebook üzerinde paylaşmayı tercih ederseniz ve bu bilgi daha sonra arkadaşlarınız ya da bağlantılarınız tarafından paylaşılırsa, siz kesinlikle kontrolü kaybettiğinizi düşünürsünüz. Bu zaten internette bir şey paylaşırken neden dikkatli olmanız gerektiğinin en büyük gerekçesidir. Bakıldığında Anonymous’un ilk maddedeki sıkıntısı geçersiz gibi görünüyor.

İkinci olarak, Facebook bilgileri üçünü partilere mi satıyor? Yine gizlilik sözleşmesinde Facebook’un bu konudaki eğilimi için özetle şu ifadeler yer alıyor: “Biz bilgileri kanuna uygun olarak celp, mahkeme kararı ya da diğer talepler doğrultusunda (suçla ilgili ve sivil konular dahil)eğer biz talebin hukuka uygunluğuna inanırsak paylaşabiliriz. Amerika Birleşik Devletleri dışından gelen taleplerin de o bölgedeki yerel hukuk kurallarına uygunluğuna, kullanıcıların mahkemelere başvuruları sonucunda ve genel olarak kabul edilmiş uluslararası standartlara uygunluğuna göre saygı gösterilir. Biz ayrıca önemli bir yasadışı olayın önüne geçilmesi, bedensel zarar verilmeye teşebbüs edilmesi ya da bizim ve sizin insanların tacizlerinden korunması amacıyla bilgileri paylaşabiliriz. Bu durumlarda bilgiler diğer şirketlere, avukatlara, mahkemelere ya da diğer hükümet kuruluşlarına verilebilir.”

Yani Facebook, insan hakları ve dünya çapında bazı hükümetlerin yanlışları konusunda hiçbir tartışmaya girmeden, ABD ve yabancı mahkemelerin kanun içinde istekleri doğrultusunda kesinlikle tüm bilgileri paylaşıyor. Bundan almamız gereken ders nedir? Eğer bir Facebook kullanıcısıysanız ve sizin hükümetiniz ya da polis gücünüzün sizin sosyal ağ faaliyetlerinize bakabileceğini unutmadan, hem profilinizdeki hem de site içindeki açıkladığınız her bilgi konusunda dikkatli davranın.

En önemli ve en büyük konu şu ki; Facebook gönüllü girilen bir platform. Siz Facebook’a girersiniz çünkü istersiniz. Bilginizi iradeniz dahilinde ve riskinizi üstlenerek sağlarsınız. Eğer Facebook sizinle ilgili ailenizden çok şey biliyorsa, bu sadece siz ona söylediğiniz içindir. Bunun aksine, sosyal ağ sağlayıcı nasıl ve kime bilgi paylaşacağınızı belirleyebileceğiniz kontrolü sağlarken, benim kesin kanumşu ki; herhangi bir hesaptaki doğrudan gelen ayarlar hala çok açık ve paylaşım kontrol mekanizması oldukça karışık.

Eğer siz bilginizin sadece arkadaşlarınızla paylaşılmasını sağlayacak seçenekleri işaretleseniz bile, güvendiğiniz insanların bu bilgiyi daha sonra nasıl paylaşabileceği konusunda bir şey yapamazsınız. Kalabalık bir alışveriş merkezinde durup, defalarca telefon numaranızı bağırmaktan hoşlanmıyorsanız, bunu internette de yapmamalısınız, hiçbir yerde.

Her şeye rağmen, Anonymous’un yaptığı açıklamada bir kısım benim canımı çok sıkıyor, “Bir gün arkanıza dönüp baktığınızda ve şu an yaptıklarımızı fark edince, internetin kural koyucularına teşekkür edeceksiniz, size zarar vermiyor, kurtarıyoruz.” Nazilerin en önemli isimlerinden Joseph Goebbels de bir defasında benzer bir şey söylemiş, “Halkın düşünce şeklini denetlemek kesinlikle hükümetin [internetin kural koyucuları mı?] hakkıdır.”

Microsoft, 16 Temmuz’da “Security Advisory 2286198”i pazara sürerek, tüm Microsoft Windows kullanıcılarını gerçek anlamda saldırı ve virüs riskiyle karşı karşıya bırakan, Windows Shell’deki henüz yamalanmamış sistem açığını doğrulamış oldu.

Microsoft’a göre, “Sistem açığının nedeni, Windows’un kısayolları yanlış ayrıştırmasıdır. Öyle ki özel olarak oluşturulmuş bir kısayolun ikonu gösterildiğinde tehdit içerikli kod çalıştırılabilmektedir”. Peki bunu sade bir dille nasıl anlatırız?

Herhangi bir Microsoft Windows kullanıcısı söz konusu sistem açığını ortaya çıkarmak üzere tasarlanmış kısayol içeren bir klasör açarsa, bilgisayarına virüs bulaşacaktır. Dosya açmaya gerek yok, sadece taramak yeterli.
Microsoft “Bu sistem açığının daha çok taşınabilir sürücüler kanalıyla suistimal edilebileceğini” söylese de, kullanıcılar, güvenilirliğini garanti edemedikleri tüm kısayol dosyalarına karşı tetikte olmalılar. Aynı sistem açığı, virüslü dosya paylaşımlarıyla ya da zip dosyası gibi tehdit içerikli sıkıştırılmış arşiv kadar basit bir şey kanalıyla suistimal edilebiliyor.

İşin endişe verici yanı şu ki, bu sistem açığını ilk suistimal eden tehdit içerikli yazılım, son derece net bir hedefe sahipti; Siemens WinCC SCADA sistemlerinin peşine düşmüştü. SCADA sistemleri, elektrik ve su gibi kamu hizmetlerinin denetiminde ve büyük ölçekli üretimde rutin olarak kullanılıyor. Siemens, 14 Temmuz itibariyle müşterilerini bu konu hakkında uyarmaya başladı.

Bu tehdit içerikli yazılımın kaynak kodu, şu anda açık dağıtımda (ve Metasploit çerçevesine dahil edilmiş bulunuyor) ve bu tekniğin bu noktadan yayılarak suçlular tarafından yaygın bir biçimde benimsendiğini görmeyi bekleyebiliriz.

Şimdilik saldırılara karşı en iyi savunma, Microsoft Security Advisory’nin içinde: kısayolların ikonlarının gösterilmesini ve WebClient servisini etkisiz kılmak.

Trend Micro’nun söz konusu tehdit içerikli yazılımı nasıl ortaya çıkardığına dair detaylar, TrendLabs bloğunda yer alıyor. Lütfen dikkatli olun; bu, çok yeni bir gelişme ve daha başka tehdit içerikli yazılımlar aynı sistem açığından yararlanmak isteyeceklerdir.