SANAL MAKİNA ( Virtual PC ) TEKNOLOJİSİ NEREYE DOĞRU GİDİYOR?
128 veya 112 ile öğlen saatlerinde göztepe kampüsünden otobüse binenler musallat amcayı bilirler.
musallat amca hiç çıkarmadığı güneş gözlükleri ve takım elbisesiyle, otobüsteki gençleri anlattığı sıkıcı hikayelerle esir alan İstanbul beyefendisi modunda bir kişidir. Kurbanlarını genelde kız öğrencilerden seçer, çünkü kızlar musallat amcanın anlattıklarından sıkılsalar dahi nedense bir görev bilinci içinde onu dinler ve sorularını cevaplarlar. "ne güzel esiyo dimi", "o elindeki kitaba bakabilirmiyim" gibi anlamsız savlarla kurbanlarına yanaşır ve bir yolculuk boyu bırakmaz.
Musallat amcanın bu girişlerine saldırı adını verdim kendi kendime. Bu olayı bir malware in (malicious software) sisteme entegre oluşuna benzetiyordum. Karşısındakinin savunma sistemini onun anlayamayacağı bir noktadan çökertiyor ve istediği cevabı alacağı soruları soruyordu. Ancak her hedefte başarılı olamıyordu. Bazı hedefler savunma stratejilerini iyi belirlemişlerdi. Bunlar muhtemelen musallat amcayla daha önce karşılaşmış kişilerdi.
Geçenlerde aldığım bir eposta da Microsoftun yeni bir virüs geliştirdiği yazıyordu. Konuyu araştırınca ciddi bişey olduğu fikrine kapıldım. Konusu edilen virüs, Sanal Makina Tabanlı Kök Aracı diye çevirebileceğimiz VMBR ( virtual machine based rootkit ) tipinde bir yazılım. SubVirt adındaki bu projenin amacı, geliştirildiği yer olan University of Michigon ve Microsoft Redmond Labs tarafından yayınlanan
white paper da kısaca şöyle özetleniyor.
" Sistem üzerinde çok daha etkin bir kontrol sağlayan bir virüs geliştirdik. VMBR diye tabir ettiğimiz bu yeni virüs, yeni bir sanal makine (virtual machine) yüklüyor, varolan işletim sistemine entegre ediyor ve kendi işletim sistemini sanal makinaya kuruyor. Hedef iştetim sisteminin bilgisi dışında, kendi işletim sistemiyle donanımı kontrol ediyor. Bunu geliştirmemizdeki amaç, saldırı tekniklerinin gelecekte hangi boyutlara geleceğini önceden kestirip, önlem alacak olan kurumları uyarmak. Neler yapabileceğimizi gösterebilmek adına, bu işletim sistemi üzerinde koşan 4 tane örnek zararlı yazılım geliştirdik. Hedef işletim sistemiyle herhangibir haberleşme olmaksızın, DoS saldırısı yapabilir, relay mail (mail casusluğu), pishing website (şifre casusluğu) gibi birçok işlemi gerçekleştirebiliriz. Tuştakımı, fare veya ağ aktivesini takibetmek için ise aygıt sürücülerinde ufak değişikler yaparak hedef ile haberleşmeyi en aza indirgeyebiliriz."
Burada VM kavramından bahsetmek istiyorum. Şekilde görüldüğü gibi, hedef işletim sistemiyle aynı seviyede erişim hakkına sahip. Bu sayede ondan bağımsız bir şekilde kendi üstündeki işletim sisteminin donanım ile habereşmesini sağlıyor. Saldırgan bir programla savunan program arasında taktik açıdan pek bir fark yoktur. ikiside aynı yöntemleri izler. Aralarındaki fark amaçlarıdır. Hangisi donanımla daha alt bir seviyeden heberleşme imkanı yakalarsa diğerini ekarte eder.
VMBR nin tehlikeli oluşu ve zor yakalanır olması, donanımla doğrudan etkileşim içinde olmasından kaynaklanıyor. Yukarda linkini verdiğim white paper da Microsoft Redmond dan konuya getirilen belli bir çözüm yok. Üretici firmalara, donanımsal antivirüs çözümlerine yönelik bir yolgösterme ile yetinilmiş.
Tabi bu noktada akla yine kimilerinin
"komplo teorisi!" olarak adlandırdığı, ancak bakarsak gün gibi açıkta olan bazı şüpheler geliyor. Geçmiş senelerde, "MS antivirüs işine giriyormuş" haberini duyduğumuzda birçok kişi, antivirüsü üretmenin virüs üretmekle beraber yürütülen bir iş olduğunu, buna bağlı olarak da MS gibi bir devin bu işe girmesinin bizlere güvenlik açığı olarak geri döneceğini söylemişti. Zaten tahmin edilmekte olan, yazılım firmalarıyla antivirüs firmalarının gizli flörtleri, bu haberle ayyuka çıkıyordu.
Buna benzer bir olay Sony nin CD kopya koruması amacıyla ürettiği rootkit tipi casus yazılımın farkedilmesiyle açığa çıkmıştı. Yazılım firmalarının masum amaçlarla bile olsa, işletim sisteminden gizli çalışan programlar dağıtmaları kullanıcılar açısından tehdit oluşturuyor. Şimdilik VMBR tipi bir yazılımı sisteme kurmak da en az onu yakalayabilmek kadar zor. MS un geliştirdiği SubVirt diskte 250 mb yer kaplıyor. Güvenilmeyen kullanıcıların yazılım kurma hakları, boot edilebilir CD ler ve yazılım firmalarının gizli olarak dağıttığı yazılımlar (Sony örneğindeki gibi) şimdilik bu tip virüslerin ana yayılma kaynakları.
