Yeni DDoS Tehditi: Win-DDoS
Günümüzde siber güvenlik alanında karşılaşılan en ciddi tehditlerden biri, Distributed Denial-of-Service (DDoS) saldırılarıdır. Son zamanlarda, SafeBreach araştırmacıları tarafından geliştirilen yeni bir saldırı tekniği, dünya genelindeki binlerce kamuya açık domain controller (DC) üzerinde kötü niyetli bir botnet oluşturma potansiyeline sahip. Bu teknik “Win-DDoS” olarak adlandırılmıştır ve bu yazıda, bu yeni yaklaşımın detaylarına ve etkilerine değineceğiz.
Win-DDoS Tekniği Nedir?
Win-DDoS, SafeBreach araştırmacıları Or Yair ve Shahak Morag tarafından DEF CON 33 güvenlik konferansında sunulan bir saldırı tekniğidir. Araştırmacılar, Windows’un LDAP istemci kodunu incelerken, önemli bir açığı keşfederek bu açığın, DC’leri hedef sunuculara yönlendirmesine olanak tanıyan bir yapı oluşturmuşlardır. Bu sayede, saldırganlar 60.000’den fazla kamuya açık DC’yi kötü amaçlı bir botnet oluşturmak için kullanabilirler.
Yair ve Morag, “Geliştirdiğimiz Win-DDoS tekniği sayesinde, saldırganların büyük miktarda kaynak ve yükleme hızına sahip bir botnet oluşturmaları mümkün” demiştir. Bu saldırının en dikkat çekici yönü, kod yürütme veya kimlik bilgileri gerektirmemesi ve iz bırakmadan gerçekleştirilmesidir.
Win-DDoS Saldırı Akışı
Win-DDoS saldırı süreci şu şekilde işlemektedir:
- Saldırgan, DC’lere bir RPC çağrısı gönderir. Bu çağrı, DC’lerin CLDAP istemcisi haline gelmesini tetikler.
- DC’ler, saldırganın CLDAP sunucusuna bir CLDAP isteği gönderir. Saldırgan, burada DC’lere LDAP sunucusuna geçiş yapmaları için bir referans yanıtı gönderir.
- DC’ler, saldırganın LDAP sunucusuna TCP üzerinden bir LDAP sorgusu gönderir.
- Saldırganın LDAP sunucusu, uzun bir LDAP referans URL’leri listesi içeren bir yanıt gönderir. Bu URL’ler, tek bir IP adresindeki bir bağlantı noktasına yönlendirilir.
- DC’ler, belirlenen bağlantı noktasında LDAP sorgusu gönderir. Bu durum, web sunucusunun TCP bağlantısını kapatmasına neden olur.
Araştırmacılar tarafından yapılan açıklamada, “Bir TCP bağlantısı kapatıldıktan sonra, DC’ler referans listesindeki sonraki URL’ye geçerek tekrar bağlantı kurmaya çalışır. Bu davranış, tüm URL’ler tükenene kadar devam eder” demiştir.
Tehditlerin Ciddiyeti ve Sonuçları
Win-DDoS’un öne çıkan özelliklerinden biri yüksek bant genişliği sağlamasıdır. Saldırganların özel bir altyapı satın almalarını gerektirmeyen bu yöntem, saldırıyı gizli hale getirerek siber güvenlik risklerini artırmaktadır. Bunun yanı sıra, araştırmalar, LDAP istemci kodunun referans süreçlerinde önemli zayıflıklar olduğunu ortaya koymaktadır.
Özellikle LSASS çökmesi, yeniden başlatmayı veya mavi ekran hatası (BSoD) almayı tetikleyen uzun referans listeleri göndererek sistemlere ciddi zararlar verebilmektedir. Sunucu istemci taleplerini işlemek için kullanılan kod üzerinde üç yeni Hizmet Reddi (DoS) zafiyeti bulunmuş olup, bunlar kimlik doğrulama gerektirmeksizin domain controller’ları çökertme potansiyeline sahiptir.
CVE listesi şu şekildedir:
- CVE-2025-26673: Windows LDAP’daki sınırlandırılmamış kaynak tüketimi (Düzeltilmiş Mayıs 2025)
- CVE-2025-32724: Windows LSASS üzerindeki kaynak tüketimi (Düzeltilmiş Haziran 2025)
- CVE-2025-49716: Windows Netlogon üzerindeki kaynak tüketimi (Düzeltilmiş Temmuz 2025)
- CVE-2025-49722: Yetkili kullanıcıların ağ üzerinden hizmet reddine neden olabilmesi (Düzeltilmiş Temmuz 2025)
Geleceğe Dair Kaygılar
Win-DDoS’un keşfi, Windows sistemlerinde var olan bazı kör noktaların istismar edilebileceğini göstermektedir. Araştırmacılar, “Keşfettiğimiz zafiyetler, siber saldırganların uzaktan sistemleri çökertmesine olanak tanırken, iç ağlara erişimi olan saldırganların da aynı sonuçları elde etmesine imkân sunmaktadır” demektedir. Bu durum, kurumsal dayanıklılık, risk modelleme ve savunma stratejileri üzerinde ciddi etkilere neden olmaktadır.
Bütün bu gelişmeler, siber güvenlik alanında daha fazla önlem alınması ve sistemlerin güvenliğinin artırılması gerektiğini açıkça göstermektedir. Hem özel hem de kamu sektörü, bu tür yeni tehditlere karşı hazırlıklı olmalı, gerekli güncellemeleri yapmalı ve sürekli olarak güvenlik açıklarını izlemelidir.
