Tor ağı, kullanıcıların anonim olarak internet üzerinde gezinmesini sağlayan öncü bir sistemdir. Son zamanlarda, Tor, eski tor1 şifreleme algoritmasını yeni bir şifreleme yöntemi olan Counter Galois Onion (CGO) ile değiştirdi. Bu değişim, Tor’un güvenliğini artırmayı ve modern trafik yakalama saldırılarına karşı direncini güçlendirmeyi amaçlıyor.

Tor Ağı ve Tor1 Algoritması

Tor ağı, veri paketlerinin üç farklı relay üzerinden hedeflerine ulaşmasını sağlayan, dünya genelinde binlerce relayden oluşan bir sistemdir. İçerdiği giriş, orta ve çıkış relayleri her bir bağlantıda ek şifreleme katmanları ekler. İlk olarak Tor1 algoritması sayesinde çalışmaya başlayan bu sistem, zamanla gelişen kriptografi standartlarına ayak uyduramamıştı.

Tor1 algoritmasının en büyük zayıflığı, AES-CTR şifreleme yöntemini kullanması ve hop-hop doğrulaması yapmamasıdır. Bu durum, veri üzerinde belirli değişiklikler yapabilen kötü niyetli kişilerin, relays’ler arasında yaşanan trafiği değiştirmesine olanak tanıyordu. Ayrıca, Tor1’in şifreleme tasarımında, aynı AES anahtarlarının devre boyunca tekrar kullanılması, eğer anahtar çalınırsa geçmişteki trafiğin çözülmesine yol açıyordu.

Counter Galois Onion (CGO) Nedir?

CGO, yukarıda bahsettiğimiz sorunları çözmek üzere tasarlanmış modern bir şifreleme yöntemidir. Rugged Pseudorandom Permutation (RPRP) yapısına dayanmaktadır ve günümüz kriptografi araştırmacıları tarafından geliştirilmiştir. Tor projesi, CGO’nun belirli güvenlik gereksinimlerini karşıladığını ve güncel saldırı yöntemlerine karşı korunma sağladığını belirtmektedir.

CGO’nun Avantajları

CGO, Tor1’e kıyasla pek çok alanda önemli iyileştirmeler sunmaktadır:

• Etiketleme koruması: CGO geniş blok şifreleme ve etiket zincirleme kullanarak, herhangi bir değişiklik durumunda hücrenin ve sonraki hücrelerin kurtarılamaz hale gelmesini sağlar.
• İleri gizlilik: CGO, her hücre sonrasında anahtarları güncelleyerek, geçmiş trafiğin deşifre edilmesini engeller.
• Daha güçlü kimlik doğrulama: CGO’da 16 baytlık bir doğrulayıcı kullanılır, böylece saldırganların hücre sahtekarlığı yapma olasılığı büyük ölçüde azalır.
• Döngü bütünlüğü: Her hücre, önceki hücrelere bağlı olduğundan herhangi bir değişiklik, tüm döngüye zarar verecek şekilde tasarlanmıştır.

Uygulama Süreci ve Gelecek

Tor projesinin geliştiricileri, CGO’yu C Tor uygulama ve Rust tabanlı Arti istemcisine eklemeye başlamıştır. Şu anda bu özellik deneysel aşamadadır ve ek geliştirmelerle birlikte tam olarak işlevsel hale gelecektir. Tor tarayıcı kullanıcılarının bu yeni sistemden faydalanması için herhangi bir işlem yapmasına gerek kalmayacaktır; değişiklik otomatik olarak gerçekleşecektir. Ancak, CGO’nun ne zaman varsayılan seçenek olarak kullanılmaya başlanacağı konusunda henüz bir zaman çizelgesi verilmemiştir.

Sonuç olarak, Counter Galois Onion (CGO) ile birlikte Tor ağı daha güvenilir ve modern bir gizlilik çözümü sunuyor. Kullanıcılar, bu yeni algoritma sayesinde daha iyi bir güvenlik seviyesi elde ederken, aynı zamanda internet üzerindeki özgürlüklerini de koruyabilecekler.

Güncel Siber Güvenlik Haberleri – 2

Son zamanlarda, Docker API’lerini hedef alan tehdit aktörlerinin, zararlı araçlarını daha tehlikeli bir işlevsellikle güncellediği ortaya çıktı. Bu durum, daha karmaşık bir botnet yapısının temelini oluşturabilir. İlk olarak Haziran ayında, siber güvenlik şirketi Trend Micro tarafından bildirilen bu faaliyetler, saldırganların şifreleme madencisi (cryptominer) dağıtmak için kullandığı kötü niyetli kod ve scriptlerin analizine dayanıyor. Akamai araştırmacıları ise, artık bir madenci dağıtmak yerine daha karmaşık bir yük (payload) kullanıldığını keşfetti. Bu yük, ele geçirilen Docker API’lerine erişimi bloklama yeteneğine sahip.

Enfeksiyon Zinciri

Saldırganlar, saldırıya açık bir host üzerinde yerleşik olan Docker API’lerinin (port 2375) keşfini yaparak başlar. Bu süreçte, modifiye edilmiş bir Alpine Linux imajı kullanarak bir konteyner oluşturma isteği gönderirler. Bu imaj, base64 kodlanmış bir shell komutunu içermektedir.

Konteyner, kodlanmış shell komutunu çözdükten sonra curl ve tor yükler, arka planda bir Tor daemon başlatır ve checkip.amazonaws.com hizmetine erişerek bağlantının onayını bekler. Tor aktif hale geldiğinde, konteyner bir ikinci aşama shell scripti olan docker-init.sh‘yi, bir Tor gizli hizmetinden curl kullanarak indirir ve çalıştırır.

docker-init.sh scripti, kalıcı SSH erişimi sağlamak amacıyla saldırgan tarafından kontrol edilen bir public key’i /root/.ssh/authorized_keys dosyasına ekler. Ayrıca, ana makinede her dakika çalışacak bir cron görevi yazmakta ve mevcut olan her türlü firewall aracıyla (iptables, nftables, ufw vb.) port 2375’e dışarıdan erişimi engellemektedir.

Bunun yanı sıra, tarama, yayılma ve kaçınma süreçleri için gerekli olan araçlar olan masscan, zstd, libpcap ve torsocks yüklenir. Malware, Tor üzerinden Zstandard ile sıkıştırılmış bir Go binary (system-linux-ARCH.zst) indirir, açar ve /tmp/system dizinine kurarak çalıştırır. Bu Go binary, gömülü bir ikinci aşama binary’sini çıkarır ve çalıştırır, aynı zamanda host’un utmp dosyasını analiz ederek oturum açmış kullanıcıları tanımlar.

Botnet Oluşturma Davranışı

Go binary’si, diğer açık Docker API’lerini tarar ve aynı konteyner oluşturma yöntemi ile enfekte etmeye çalışır. Erişim sağladıktan sonra rakip konteynerleri kaldırır. Bu kendine özgü çoğalma mekanizması, genellikle yeni düğümleri bağımsız bir şekilde enfekte etme yeteneğine sahip botnet agent’lerinin temel bir özelliğidir.

Akamai, Telnet (port 23) kullanarak varsayılan yönlendirici kimlik bilgilerini istismar etme ve Chrome‘un uzaktan hata ayıklama arayüzü (port 9222) ile etkileşimde bulunma için inaktif mantıkların varlığına dikkat çekmektedir. Bu durum, kimlik bilgisi hırsızlığı, tarayıcı oturumu kaçırma, uzaktan dosya indirme ve dağıtılmış hizmet reddi (DDoS) saldırıları için gelecekteki genişleme fırsatlarını gösteriyor.

Akamai’nin araştırmacıları, bu varyantın “karmaşık bir botnet‘in ilk sürümü” olduğu inancını taşımaktadır. Bulunan temel mekanizmalar, botnet’in olgunlaşmış bir versiyonunun henüz bulunmadığını ileri sürmektedir.

Bu süreç, fırsatçı Docker istismarlarının geniş bir tehdit haline dönüşümünü gözler önüne seriyor. Tespit edilen bu yeni nesil tehditler, çoklu hareket kabiliyeti, kalıcılık ve şimdilik uyku halinde olan kimlik hırsızlığı ile tarayıcı kaçırma seçenekleri ile güvenlik tehditlerini artırmaktadır.

Bu tür gelişmeler, hem siber güvenlik alanında hem de Docker ve genel yazılım güvenliği açısından dikkate alınması gereken önemli bir konu haline gelmiştir. Yüksek düzeyde güvenlik önlemleri almak ve Docker API‘lerini korumak için hem geliştiricilerin hem de sistem yöneticilerinin gerekli önlemleri alması büyük önem taşımaktadır.

Güncel Siber Güvenlik Haberleri – 2

Son dönemde, siber güvenlik araştırmacıları, TOR ağı aracılığıyla kripto para madenciliği yapmak için kullanılan bir kampanya varyantı keşfettiler. Bu saldırılar, açık durumda bulunan Docker API’lerini hedef alıyor. Akamai’nin geçen ay yaptığı araştırmalara göre, bu kampanya, diğer aktörlerin Docker API’sine internet üzerinden erişimini engellemeyi amaçlıyor.

Docker API Saldırıları: Yeni Varyantın Gelişimi

Trend Micro tarafından 2025 yılının Haziran ayında yapılan bir rapora dayanan bu bulgular, kötü niyetli bir kampanyanın hali hazırda mevcut olan Docker örneklerini hedef alarak gizlice bir XMRig kripto para madencisi yerleştirdiğini öne sürüyor. Güvenlik araştırmacısı Yonatan Gilvarg, yeni varyantın orijinal kampanyayla benzer araçları kullandığını ancak daha farklı bir son hedefe sahip olabileceğini belirtiyor; bu hedefin karmaşık bir botnet kurmak olabileceği düşünülüyor.

Saldırı Zinciri ve Teknik Detaylar

Saldırı zinciri, yanlış yapılandırılmış Docker API’lerine sızarak Alpine Docker görüntüsüne dayalı yeni bir konteyner oluşturmakla başlıyor. Bu süreç, tehdit aktörlerinin Base64 ile kodlanmış bir yükü çalıştırarak .onion uzantılı bir alan adı üzerinden bir kabuk betiği indirmesini içeriyor. Bu kabuk betiği, yalnızca SSH yapılandırmalarını değiştirmenin yanı sıra, masscan, libpcap, libpcap-dev, zstd ve torsocks gibi çeşitli araçlar kurarak keşif yapıyor, bir komuta ve kontrol (C2) sunucusuyla iletişime geçiyor ve başka bir .onion alanından sıkıştırılmış bir ikili dosya indiriyor.

Gilvarg, “İndirilen ilk dosya, içeriğini bırakmak için yazılmış bir Go dropper’ıdır, böylece internete iletişim kurmaz” diyor. “Başka bir ikili dosya bırakmanın yanı sıra, utmp dosyasını çözerek makineye şu anda kimlerin giriş yaptığını buluyor.”

İkili Dosyanın Özellikleri ve Tehlikeleri

Bu dropper, internet üzerinde açık durumda bulunan port 2375 üzerindeki Docker API hizmetlerini taramak için Masscan’i çalıştırıyor ve enfeksiyonu bu makineler üzerinde yaymak amacıyla aynı kapsayıcı oluşturma işlemini tekrarlıyor. Ayrıca, ikili dosya, iki port için de kontroller içeriyor: 23 (Telnet) ve 9222 (Chromium tarayıcıları için uzaktan hata ayıklama portu). Ancak bu portlar aracılığıyla yayılma işlevselliği, henüz tam anlamıyla geliştirilmiş değil.

Telnet saldırı yöntemi, bilinen varsayılan yönlendirici ve cihaz kimlik bilgilerini kullanarak brute-force giriş denemeleri yapmayı ve başarılı oturum açma girişimlerini bir webhook site endpoint’ine göndererek hedef IP adresi ve kurban kimlik bilgileri hakkında detaylar iletmeyi içeriyor.

Malware ve Botnet Tehdidi

Port 9222 durumunda, kötü amaçlı yazılım, tarayıcıyla etkileşimde bulunmak için chromedp adı verilen bir Go kütüphanesini kullanıyor. Bu kütüphane daha önce Kuzey Koreli tehdit aktörleri tarafından C2 sunucularıyla iletişim kurmak için ve çerezler gibi özel verileri sızdırmak için kullanılmıştı. Kötü amaçlı yazılım, açık uzaktan port ile mevcut bir oturuma bağlanarak, aynı .onion alanına gönderim yapmakta ve bu esnada kaynak IP adresi ile erişim sağladığı yeri ile ilgili bilgi göndermektedir.

Bu detaylar “httpbot/add” adı verilen bir uç noktaya iletilerek, açık uzaktan hata ayıklama portlarına sahip cihazların botnet’lere dahil olabileceği ihtimalini artırıyor. Gilvarg, “Kötü amaçlı yazılım yalnızca port 2375’i tarıyor, bu nedenle 23 ve 9222’ye ilişkin mantık şu anda erişilemez durumda. Ancak, uygulama mevcut olduğu için gelecekteki yeteneklere işaret ediyor.” diyerek durumu özetliyor.

Önleme Yöntemleri ve Güvenlik Önerileri

Saldırganlar, kötüye kullanılan API’ler üzerinde ciddi bir kontrol sahibi olabilirler. Ağların segmentasyonu, hizmetlerin internet üzerindeki görünürlüğünün kısıtlanması ve varsayılan kimlik bilgilerini güvence altına almak gibi önlemlerin önemi asla abartılamaz. Bu tür tedbirlerin benimsenmesi, organizasyonların yukarıda bahsedilen tehditlere karşı duyarlılığını önemli ölçüde azaltabilir.

Bu bağlamda, siber güvenlik alanında alınacak önlemler ve yapılacak iyileştirmeler, kuruluşların hem kendi sistemlerini hem de kullanıcılarını koruma altına alabilmesi açısından kritik bir öneme sahiptir. Cybersecurity’de alınacak önlemlerle, güvenlik duvarlarının güçlendirilmesi ve personelin eğitimi gibi stratejiler, siber saldırılara karşı daha sağlam bir savunma sağlar.

Güncel Siber Güvenlik Haberleri – 1

Son yıllarda, Docker gibi konteyner teknolojilerinin kullanımı hızla artmıştır. Ancak, bu artış beraberinde siber güvenlik tehditlerini de getirmiştir. Özellikle, yanlış yapılandırılmış Docker API’leri ve konteyner kurulumları, siber saldırganların hedefi haline gelmiştir. Bu noktada, konteyner teknolojilerinin güvenliğini sağlamak için yapılması gerekenler büyük önem taşımaktadır.

Cryptojacking: Yeni Bir Tehdit

Cryptojacking, siber suçluların başkalarının bilgisayar kaynaklarını izinsiz kullanarak kripto para madenciliği yapmasını ifade eden bir terimdir. Bu tür saldırılar, genellikle yanlış yapılandırılmış sistemler üzerinden gerçekleştirilir. Saldırganlar, Tor anonimlik ağı aracılığıyla bu faaliyetlerini gizleyerek, madencilik yazılımlarını kurarlar. Bu teknik, onları tespit edilmekten korumak amacıyla kullanılmaktadır.

Bir araştırma, saldırganların genellikle IP adresi üzerinden konteyner listesi talep ettikten sonra eğer sistemde bir konteyner yoksa, yeni bir Docker konteyneri oluşturduğunu ortaya koymaktadır. Bu yeni konteyner, ana makinenin kök dizinini volum olarak bağlayarak, sistem üzerinde tehlikeli değişiklikler yapılmasına olanak tanır. Böyle bir durum, konteynerden ana sisteme sızma riski taşımaktadır.

Saldırı Yöntemleri ve Araçlar

Saldırganlar, sürekli olarak Docker konteynerlerinin içinden çeşitli yetkisiz işlemler gerçekleştirmektedir. İlk olarak, Base64 ile kodlanmış bir kabuk betiği çalıştırarak Tor kurulumunu tamamlarlar. Bu noktada dikkat çeken bir diğer konu ise, saldırının gerçekleştirilmesi sırasında .onion alanından uzaktan bir betik indirip çalıştırma işleminin yapılmasıdır. Böylece, saldırganların komut ve kontrol (C&C) altyapısını gizleme kabiliyeti artmaktadır.

Ek olarak, saldırganlar SSH yapılandırmasını değiştirmekte ve uzaktan erişim sağlamak amacıyla, sistemin authorized_keys dosyasına kendi SSH anahtarlarını eklemektedir. Bu tür eylemler, kurban sistem üzerinde tam yetkilere sahip olmalarına olanak tanır.

Kritik Araçlar ve Etkileri

Cryptojacking saldırıları sırasında sıklıkla kullanılan bazı araçlar arasında masscan, libpcap, zstd ve torsocks bulunmaktadır. Bu araçlar, saldırganlara bilgi toplama ve kontrol sağlama noktasında yardımcı olmaktadır. Özellikle, bu tür bir saldırının sonucunda XMRig kripto para madencilik yazılımı, sistemde kurularak gizlice madencilik yapılmasına imkan tanır.

Trend Micro’nun araştırmaları, bu tür saldırıların özellikle teknoloji şirketleri, finans hizmetleri ve sağlık kuruluşlarına yönelik olduğunu göstermektedir. Bu durum, bulut hizmetlerinin yanlış yapılandırılmış olmasının siber güvenlik açısından ne kadar önemli bir risk oluşturduğunu ortaya koymaktadır.

Tehditlerin Artışı ve Önlemler

Saldırganlar, bulut altyapılarındaki zayıflıkları değerlendirerek çeşitli saldırılar gerçekleştirmekte ve bu durum, genel güvenlik algısını olumsuz etkilemektedir. Bu bağlamda, bulut güvenliği firmaları sık sık yapılan incelemelerde, mcp.json, .env ve diğer yapılandırma dosyalarında geçerli gizli anahtarlar bulmaktadır. Bu durum, siber suçlular için altın yumurta niteliğinde bir kaynak oluşturmaktadır.

Araştırmacıların belirttiğine göre, bu tür bilgilerin, bir geliştiricinin kuruluşu ile ilişkilendirildiğinde saldırganlar için önemli keşif bilgileri sağlayabilir. Dolayısıyla, bu dosyaların güvenliği sağlanmadığı takdirde büyük kayıplar yaşanabilir.

Sonuç ve Yapılması Gerekenler

Gelişen siber tehditler, her geçen gün daha ciddi bir hal almaktadır. Docker gibi bulut teknolojilerinde yapılan eksiklikler, saldırganların işine yaramaktadır. Bu bağlamda, tüm kullanıcıların ve şirketlerin, bulut güvenlik önlemlerini artırmaları, düzenli olarak sistemlerini denetlemeleri ve gerekli güvenlik güncellemelerini yapmaları gerekmektedir.

Sonuç olarak, teknolojinin gelişimi ile birlikte tetiklenen bu yeni tehditler, dikkatli bir gözlem ve sağlam bir güvenlik stratejisi gerektirmektedir. Bu tür önlemler, organizasyonların siber güvenlik açıklarını kapatmalarına yardımcı olabilir. Unutulmamalıdır ki, siber güvenlik sadece bir teknik sorun değil, aynı zamanda bir stratejidir.

Güncel Siber Güvenlik Haberleri – 1