GetIntoPC Güvenli mi? Gerçek Güvenlik, Kötü Amaçlı Yazılım ve Yasal Risk Profili

Güvenlik mühendisleri neden "GetIntoPC güvenli mi" diye soruyor?

Güvenlik, kırmızı ekip, kötü amaçlı yazılım analizi, istismar araştırması veya yapay zeka odaklı otomatik test alanlarında çalışıyorsanız, bu soruyu Slack'te duymuşsunuzdur:

"Hızlı bir şekilde X aracına ihtiyacım var. GetIntoPC güvenli mi değil mi?"

GetIntoPC (ve GetIntoPC.com / GetIntoPC[.]xyz / rehost mirrors gibi klonlar) kendisini tek duraklı bir "özgür yazılım" arşivi olarak konumlandırıyor. Kullanıcılar Windows, tersine mühendislik araçları, video editörleri, lisanslı kurumsal uygulamalar ve hatta tam işletim sistemi ISO'ları için yükleyiciler indiriyor. Amaç hız, kolaylık ve ödeme duvarı olmaması.

İşte rahatsız edici gerçek:

• Site, satıcının lisans kanalı dışında kırılmış / önceden etkinleştirilmiş / yeniden paketlenmiş ticari yazılım sunmaktadır. Bu, ABD/AB yasaları kapsamında şirketler için bariz fikri mülkiyet ve uyum yükümlülükleri olan yazılım korsanlığıdır. (Bhetal)
• Birden fazla topluluk ve satıcı güvenlik tartışması GetIntoPC'yi paketlenmiş kötü amaçlı yazılımlar, kimlik bilgilerini çalan yükler, arka kapılı keygenler ve truva atı yükleyiciler için yüksek riskli olarak tanımlamaktadır. Bazı raporlar GetIntoPC indirmelerini açıkça hesapların ele geçirilmesi, kimlik bilgilerinin çalınması ve makinelerin tamamen yeniden oluşturulmasıyla ilişkilendirmektedir. (Reddit)
• Anti-malware ve DFIR toplulukları bu ekosistemleri, tarihsel olarak truva atları, bilgi hırsızları ve yükleyici çerçeveler için bir yuva olan warez dağıtımından ayırt edilemez olarak görmektedir. (Kaspersky Destek Forumu)

Yani "GetIntoPC güvenli mi?" diye sorduğunuzda, aslında bir sitenin marka itibarını sormuyorsunuz. "Anonim bir dağıtıcıdan denetlenmemiş, imzasız, potansiyel olarak değiştirilmiş ikili dosyaları çalışma ortamıma (dizüstü bilgisayar, laboratuvar, müşteri ağı veya bulut sanal makinesi) aktarmak ve bu karar için yasal sorumluluk almak istiyor muyum?" diye soruyorsunuz.

Çoğu kuruluş için doğru cevap: kesinlikle hayır.

Tehdit modeli dökümü: ortamınıza gerçekte ne çektiğiniz

"Ücretsiz, önceden etkinleştirilen" indirmelerin arkasındaki gerçek saldırı yüzeyini inceleyelim. Bunu dört kategoriye ayıracağız: kötü amaçlı yazılım riski, tedarik zinciri güveni, yasal maruziyet ve operasyonel patlama yarıçapı.

Yerleşik kötü amaçlı yazılım ve kimlik bilgisi hırsızlığı

Hem son kullanıcılar hem de AV toplulukları GetIntoPC indirmelerinin tarayıcı oturumlarını, Google hesap girişlerini veya lisans belirteçlerini sızdıran truva atları, kimlik bilgisi hırsızları ve arka plan komut dosyalarıyla birlikte gönderildiğini iddia etmektedir. Bazı durumlarda, kurbanlar bu ekosistemden kırılmış yapıları yükledikten kısa bir süre sonra hesaplara erişimlerini kaybettiklerini ve kontrolü geri kazanmak için Windows'u tamamen yeniden yüklemek zorunda kaldıklarını bildirmektedir. (Reddit)

Bu durum DFIR ekiplerinin halihazırda bildikleriyle uyumludur: kırılmış yükleyiciler mükemmele yakın bir dağıtım aracıdır çünkü kurban yönetici ayrıcalıklarını isteyerek verir ve ikili dosyayı "kötü amaçlı yazılım" olarak değil "verimlilik yazılımı" olarak beyaz listeye alır. (Süper Kullanıcı)

Değiştirilmiş yükleyiciler ("önceden etkinleştirilmiş", "kurulum gerekmez")

Bir site indirmenin "önceden etkinleştirildiğini", "önceden kırıldığını" veya "taşınabilir yüklemesiz" olduğunu söylediğinde, bu genellikle şu anlama gelir:

• Lisans kontrolleri tamamlandı.
• Telemetri ve güncelleme çağrıları engellenir veya yeniden yönlendirilir.
• Ek ikili dosyalar enjekte edilir (yükleyiciler, otomatik çalıştırma zamanlayıcıları, kalıcılık kancaları).

Bilinmeyen bir üçüncü tarafa, orijinal satıcıya güvendiğinizden daha fazla güveniyorsunuz. Bu klasik tedarik zinciri tehlikesi riskidir: teşviklerini doğrulayamadığınız bir aktörün imzasız kodunu çalıştırıyorsunuz. AV satıcıları ve güvenlik forumları, warez dağıtan indirme portallarının "riski size ait olmak üzere kullanın" mantığıyla çalıştığını, çünkü kötü niyetli müdahalelerin yaygın olduğunu ve gözetim zincirinin şeffaf olmadığını açıkça belirtmektedir. (Kaspersky Destek Forumu)

Yasal ve uyumluluk riski

Kırılmış ticari yazılım lisanssız yazılımdır. ABD ve AB yargı bölgelerinde, bir iş ortamında bilerek korsan yazılım kullanmak sizi hukuki cezalara, sözleşme ihlaline, potansiyel düzenleyici baş ağrılarına (özellikle halka açık veya denetlenen kuruluşlar için) ve sigorta ihtilaflarına maruz bırakır. (Bhetal)

Uyumluluk merceğinden:

• Düzenlemelere tabi bir ortamdaysanız (finans, sağlık, savunma, PII işleyen SaaS), yasa dışı yazılım yüklemek denetim veya e-keşif sırasında keşfedilebilir hale gelebilir.
• Dahili SOC / GRC ekipleri, yasal ve potansiyel olarak düzenleyici kurumlara (ABD'de FTC, Birleşik Krallık'ta FCA, AB'de GDPR), lisansı belirsiz, incelenmemiş yürütülebilir dosyaların neden üretime uygun sistemlere yüklendiğini açıklamak zorunda kalacaktır. (keyonline24)
• Siber sigortacılar, tehlikeye atma vektörü "onaylı tedarik kanalları dışında yetkisiz korsan yazılım" olduğunda teminatı reddedebilir ve reddetmektedir. (Crosstek)

Yani "bizi lisans ücretinden kurtardı" insanların düşündüğü gibi esnek değil.

Operasyonel patlama yarıçapı

Güvenlik mühendisleri genellikle hızlı analiz kutuları hazırlar, piyasa dışı araçlar alır ve bunları "sadece denemek için" yarı bağlı dahili makinelerde çalıştırır. Kimlik bilgilerini çalan kötü amaçlı yazılımlar bu şekilde tek kullanımlık bir sanal makineden Slack, Jira, CI/CD, bulut anahtarları, VPN yetkileri, dahili GitHub belirteçleri vb.

Bu gerçekleştiğinde, bir "laboratuvar vakası" içinde değilsinizdir. Bir olay-olay içindesiniz.

Hızlı tablo: GetIntoPC vs yasal kaynaklar

Bu karşılaştırma, kötü amaçlı yazılım araştırma topluluklarından, DFIR yazılarından ve "getintopc güvenli mi" konusunu tartışan bilgi güvenliği forum gönderilerinden ve ayrıca kırılmış yazılımla ilgili korsanlık / yasal rehberlikten yinelenen temaları yansıtmaktadır. (Bhetal)

Dokunmak zorunda kalırsanız nasıl doğrulayabilirsiniz (ya da en azından kontrol altına alabilirsiniz)

Açık konuşalım: güvenlik ekipleri bazen var Kötü amaçlı yazılım davranışını analiz etmek, POC'lerden yararlanmayı doğrulamak veya bir müşteri tehlikesini çoğaltmak için gölgeli ikili dosyaları açmak. Bu gerçek bir iş. Ancak en azından bu riski Okta, Slack, AWS creds ve üretim kubeconfig'ine sahip iş istasyonunuza taşımayabilirsiniz.

Tek kullanımlık, izole altyapı kullanın

GetIntoPC yapıtlarını ana geliştirme dizüstü bilgisayarınızda veya SSO belirteçleri olan dahili bir "mühendislik" VM'sinde test etmeyin. Hava boşluklu bir analiz sanal makinesi veya üretim kimlik bilgileri olmayan, ağ çıkışı bölümlere ayrılmış ve tam paket yakalama özelliğine sahip bir sanal alan ortamı oluşturun. (Bu, DFIR topluluklarında ve CISA ve NIST'in şüpheli kötü amaçlı yazılım örneklerini ele almak için IR oyun kitaplarında onaylanan standart dijital adli tıp / kötü amaçlı yazılım triyaj uygulamasıdır. Bkz: https://www.cisa.gov/topics/cyber-threats-and-advisories ve https://csrc.nist.gov/projects/malware-behavior-catalog)

Her şeyi karma hale getirin, değişmezliği doğrulayın

Herhangi bir şeyi çalıştırmadan önce kriptografik karmalar oluşturun ve bunları saklayın. Bu, daha sonra Legal veya IR sorarsa tam olarak hangi ikiliyi çalıştırdığınızı kanıtlamanızı sağlar.

Windows üzerinde # PowerShell
Get-FileHash .\installer.exe -Algorithm SHA256 | Format-List

# Örnek çıktı:
# Algoritma : SHA256
# Hash : 4C3F5E9D7B2B1AA9F6A4C9D8E37C0F1D8CF5D1B9A1E0B7D4C8F1A2B3C4D5E6F7
# Yol : C:\Users\analyst\Downloads\installer.exe

Bu karmayı vaka notlarınızda saklayın. Dosya "aynı" sayfadan yapılan indirmelerde değişiyorsa, bu, dönen yükler / aşamalı dropper'lar için kırmızı bayraktır.

Çoklu motor hizmetleri ve yerel takımlarla tarama

Dosyayı VirusTotal gibi çok motorlu bir tarayıcıda çalıştırın (https://www.virustotal.com/) hassas olmayan bir makinedenve yerel olarak statik/dinamik analiz çalıştırın (ClamAV, statik triyaj, davranışsal sandboxing). Topluluğun "getintopc güvenli mi" sorusuna verdiği yanıtlarda GetIntoPC'nin yama/keygen EXE'lerinin VirusTotal'de truva atı ve keylogger bayraklarıyla göründüğünden bahsedilmektedir. (Reddit)

Linux'ta:

# ClamAV ile hızlı ilk geçiş
clamscan --infected --recursive ./suspicious_download/

# Ağ saati
tcpdump -i eth0 -nn host not 127.0.0.1
# Yürütmeden sonra giden işaretçileri arayın

Kimlik bilgilerinin dışarı sızdığını görürseniz (tarayıcı belirteçleri, çerezler, kayıtlı oturumlar), "üretkenlik yazılımını" analiz etmiyorsunuz demektir. Bir bilgi hırsızı çalıştırıyorsunuzdur.

Kırılmış ikili dosyaları asla kurumsal dizüstü bilgisayarlara taşımayın

"Çalışıyor" deyip sonra da "yasal versiyonu pahalı" diye bu aracı günlük sürücünüze kopyalamayın. Bu şekilde, bir olay raporunda içeriden bir ihlal anlatısı ve ayrıca kasıtlı ihmalle ilgili bir sigorta kavgası elde edersiniz. (Crosstek)

"Ama biz sadece bir araştırma laboratuvarı / kırmızı ekip / yapay zeka güvenlik atölyesiyiz. Hızlı bir şekilde rastgele araçlara ihtiyacımız var."

Bu, savunucuların öne sürdüğü yarı meşru tek argümandır:

• Kötü amaçlı yazılımın tersine mühendisliğini yapıyorsun.
• Bir müşteri uzlaşmasını yeniden üretiyorsunuz.
• Bir istismar zincirinin gerçek olup olmadığını doğruluyorsunuz.
• Harici araçları otomatik olarak zincirleyen yapay zeka odaklı bir aracı oluşturuyorsunuz ve aracının eski "gri bölge" araçlarıyla nasıl davrandığını görmek istiyorsunuz.

Bu noktada konuşma "GetIntoPC güvenli mi?" sorusundan "düşman ikili dosyaları güvenli, tekrarlı ve kanıtlı bir şekilde nasıl test edebiliriz?" sorusuna kayar.

Bu temelde yapılandırılmış saldırı testidir. Ve bugün, bu işin büyük bir kısmı otomatik hale geliyor.

Otomatik, açıklanabilir saldırı testi (Penligent bağlamı)

Penligent (https://penligent.ai/) kendisini tekrarlanabilir bir insan kırmızı ekibi gibi davranan otomatik bir sızma testi ve doğrulama platformu olarak konumlandırıyor. Platformun amacı size şüpheli ikili dosyalar vermek değil. Kontrollü bir ortamda kontrollü güvenlik eylemleri (tarama, istismar girişimleri, doğrulama, raporlama) yürütmek - ardından ne olduğuna, nasıl olduğuna ve nasıl düzeltileceğine dair denetime hazır kanıtlar üretmektir.

Bu, GetIntoPC görüşmesinde iki nedenden dolayı önemlidir:

1. Kontrollü ortam vs. kör indirme.
   "Google'ın bulduğu herhangi bir çatlak yapıyı al ve Windows kutumda çalıştır" yerine, model "enstrümante edilmiş, izole edilmiş bir ortamın kontrolü çalıştırmasına, davranışı yakalamasına ve bir rapor oluşturmasına izin ver" şeklindedir. Bu, ikili dosyanın düşmanca olması durumunda patlama yarıçapını azaltır.
2. Hukuk ve Uyumluluk alanında gösterebileceğiniz kanıtlar.
   CISO'nuz ya da daha kötüsü sigortacınız "Bu EXE neden ağımızda çalışıyordu?" diye sorduğunda, buna şöyle cevap vermek istersiniz:
   • İşte hash,
   • İşte sandbox transkripti,
   • İşte kimlik bilgilerine sızmaya çalıştığının kanıtı,
   • İşte kontrol altına alma durumu.
     "Lisans can sıkıcı olduğu için bir stajyer Photoshop'u bir yerden indirdi" değil. (AiPlex Korsanla Mücadele)

Kontrollü rakip testleri ile pervasızca warez yutmak arasındaki fark budur.

Hukuk, uyum ve denetim gerçekliği (özellikle ABD, Birleşik Krallık, AB kuruluşları için)

Telif hakkı ve lisanslama

Kırılmış ticari yazılımları indirmek ve kullanmak telif hakkı ihlalidir. ABD, Birleşik Krallık, AB ve Kanada'da bu durum yalnızca indiren kişiyi değil, kurumsal varlıklarda kullanılması halinde şirketi de ifşa edebilir. (Bhetal)
FTC (ABD) ve FCA (Birleşik Krallık) gibi düzenleyiciler "BT'nin buna hızlı bir şekilde ihtiyaç duymasını" önemsemiyor. Kaynağı bilinmeyen lisanssız bir yürütülebilir dosyanın müşteri verilerini işleyen veya finansal akışları yöneten bir ortamda çalışmasına izin verilmesini önemserler. Bu anında bir denetim konusudur.

Siber sigorta

Sigortacılar, "yetkisiz korsan yazılımlar yoluyla eklenen kötü amaçlı kodları" giderek daha fazla kaçınılabilir ihmal olarak sınıflandırmaktadır. Tercümesi: eğer fidye yazılımı kırılmış bir yükleyici aracılığıyla gelirse, taşıyıcı temel yazılım tedarik kontrollerini ihlal ettiğiniz için geri ödemeyi reddedebilir. (Crosstek)

Olay müdahale sınıflandırması

GetIntoPC'den ele geçirilen bir ikili, üretim veya finansal sistemlerin kilidini açan kimlik bilgilerini dışarı sızdırırsa, yalnızca bir İK uyarısına bakmazsınız. İhlal bildirimleri, düzenleyicilere olay raporları veya SOX/SOC2 tarzı açıklamalar yapmanız gerekebilir.

"GetIntoPC güvenli mi" sorusuna TL;DR yanıtları

Günlük Windows kutunuzda kişisel merak kullanımı için

Hayır. Bu yüksek riskli bir kötü amaçlı yazılım vektörüdür ve birçok kullanıcı crackli paketleri yükledikten sonra kimlik bilgilerinin çalındığını, truva atlarının ve hesaplarının tamamen ele geçirildiğini bildirmiştir. (Reddit)

Kurumsal / üretim / düzenlenmiş ortamlar için

Kesinlikle olmaz. Düzenlemeye tabi verileri işleyebilecek sistemlere lisanssız, değiştirilmiş ikili dosyalar aktarıyorsunuz. Bu, yasal ve uyumluluk açısından kendi kendinize sahip olduğunuz bir şeydir, ayrıca sigortacınıza yanarsanız ödeme yapmamak için mükemmel bir bahane verir. (Bhetal)

Eğitimli güvenlik personeli tarafından kontrollü kötü amaçlı yazılım/sandbox analizi için

Hala tehlikeli - ama en azından tamamen izole edilmiş bir altyapıda yaparsanız, karmaları yakalarsanız, davranışı günlüğe kaydeder ve sıfırıncı dakikadan itibaren düşman kod gibi davranırsanız savunulabilir. Bu, DFIR uygulamasına ve kırmızı ekip araçlarına daha yakındır ve daha sonra tam adli tıp eserlerini göstermeye hazır olmalısınız. Zamanında kum havuzu analizi, "bunu üretime taşıdık" değil. (AiPlex Korsanla Mücadele)

Kapanış pozisyonu

"GetIntoPC güvenli mi" yanlış bir soru.
Doğru soru şu: "Ağa bağlı bir makinede anonim bir warez kaynağından lisanssız, değiştirilmiş, potansiyel olarak kimlik bilgilerini çalan bir ikili dosyayı neden çalıştırdığımı Hukuk / Uyum / Sigorta / IR'ye gerekçelendirmeye hazır mıyım?"

Cevabınız hayır ise GetIntoPC sizin için "güvenli" değildir.

Cevabınız evet ise, bir kötü amaçlı yazılım laboratuvarı işletiyorsunuz demektir - öyle davranın. Karmaları yakalayın. Yürütmeyi kontrol altına alın. Davranışları kaydedin. Patlama yarıçapını Slack, Okta, Jira, prod kubeconfig veya finans sistemlerine sızdırmayın. Ve mümkün olduğunda, "internetten rastgele kırılmış ikili dosyalar" yerine bahaneler yerine savunulabilir kanıtlar üretebilen kontrollü, kanıta dayalı saldırgan test platformları kullanın.