Sosyal Mühendislik - BAU Cyber Talks 02/05/2018 tarihli sunumum

1. Social
Engineering

3. Raif Berkay DİNÇEL
Cyber Security Researcher
Bug Hunter
BlinkOS Distribution Developer (In free times)
İletişim Bilgilerim
 Tüm Sosyal Medyalarda @rdincel1
 www.raifberkaydincel.com (Kişisel Blog)
 info@raifberkaydincel.com (e-posta adresim)
Linkedln: https://www.linkedin.com/in/raif-berkay-dinçel-87a51295

4. Konu Başlıkları
 Sosyal Mühendislik Nedir?
 Tanım
 Kısa Tarih
 Trend Olan Konu
 Sosyal Mühendislik Evrimi
 Sosyal Mühendisliğin farklı forumları
 Sosyal Mühendislik ne zaman yapılır?
 OSINT Geliştirme(Açık Kaynak İstihbaratı)
 Yapılan iş için teslim yöntemi seçme
 Komut oluşturma ve kontrol merkezi oluşturma
 FUD payload oluşturma(FullyUnDetectable)
 Demo
 Sosyal Mühendislik saldırılarına karşı nasıl korunulur?

5. Sosyal Mühendislik
Nedir?

6. Tanım
 Sosyal Mühendislik insanları kandırmayı içeren bir çeşit
saldırı vektörüdür.
 Genel olarak çok az teknolojik veya güvenlik bilgisi
gerektirir. En güçlü güvenlik, akıllı bir sosyal mühendis
tarafından aşılabilir.
 Birçok şekil, form ve renkte gelir.
 Her birimiz hayatımız boyunca bir noktada onun kurbanı
olmuştur. Hem son kullanıcıları hem de işletmeleri etkiler.

7. Sosyal Mühendisliğin
Kısaca Tarihçesi
Tanımlanmamış
Başlangıç anı
Sosyal Mühendisliğin tarih boyunca
sayısız örneği

8. Brief History of S.E - Examples
d
e - 4000-6000 BC
Horse - 1188 BC
rker – Early1900s
nzi – 1920s
tig (“The man who sold the Eiffel Tower”) – 1925
gnale (Catch Me If You Can) – 1960s
ick (Take Down) – Around 1980-1995
tona (treasurer of Alcona County, Michigan) – 2007
off - 2008
D Breach –2011
Hacked – 2013
 Adam & Ev
 The Trojan
 George Pa
 Charles Po
 Victor Lus
 FrankAba
 Kevin Mitn
 Thomas Ka
 Bernie Ma
 RSASecurI
 AP Twitter
 Target (HVAC contractor) - 2013

9. #SocialEngineering saldırılarının kullanım
sıralaması...

10. Sosyal Mühendisliğin Evrimi
 S.M. sadece fiziksel mantıkla sınırlı kalmamaktadır.
 Teknoloji, sahtekarlığı daha zor bir hale getirdi, ancak
uyarlanabilir suistimalciler için her türlü fırsat yeniden yaratıldı.
 Saldırganlar oluşturmuş olduğu teknikleriyle daha zeki bir hal aldı.

11.  E-posta yoluyla bir EXE dosyası almak geçmişte kaldı.
 Hiç bir Office belgesinin (Word, PowerPoint, Excel vb.)
sizi etkileyebileceğinden şüpheleniyor musunuz??
 HT HTA’yı duydun mu? 1999'dan beri Windows tarafından
desteklenmektedir.
 Çalıştırılan programlar (exe) gibi, ancak şu anda AV
tarafından algılanamaz ve PowerShell'i çalıştırabilir
 Unicode büyüsü!
Sosyal Mühendisliğin Evrimi

12. S.M Farklı Methodları
Can Sıkma
Kimlik Avı
Betik Yapma
Kuyruk Geçişi
Quid Pro Quo
Omuz Sörfü
Dumpster Dalışı

13. Can Sıkma
 Hedeflenen kişinin merakını veya aç gözlülüğüne
güvenerek, hedef almak için “yem” den ayrılmayı ifade
eder..
 Truva Atı, en büyük mitolojik yem örneklerinden
biridir.
 Modern bir gün örneği USB'leri “Zamlı Maaş Özeti Q1
2018” atar.
 Ücretsiz oyun veya müzik indirilmesi formlarda kişisel
bilgi vermeye zorlamak

15. Can Sıkma
 Sekretere bir buket gül şeklinde USB
gönderin.
 Bir romantik sevgiliden veya
hayranı varmış gibi davranın.
 İçinde ne olduğunun bilinmediği
kaçınılmaz olacağından USB’yi
takacaktır.

16. Can Sıkma
 Araştırmaya göre, insanların yaklaşık olarak %76'sı
bilmedikleri şeyleri cihazlarına bağlıyor
Örnek: Ofis bilgisayarına USB…

17. Can Sıkma
 Sadece bilgisayarınıza takarak bilgisayarınıza fazla voltaj
vererek donanımınızı yakabilecek USB'ler var... (USB Killer)

18. Phishing
 Sahte e-postaları, web sitelerini, reklamları için tasarlanmış
reklamları içerir. Kullanıcıları kandırmakla gerçek sistemleri taklit
etmek amacıyla kullanılan yöntemdir.
 Günümüzde görülen en yaygın Sosyal Mühendislik formlarından
biri.
 Sahte Anti-Virüs enfeksiyonu uyarısı (Scareware), Paypal
phishing siteleri, ücretsiz müzik, vb. teklifler…

19. Phishing

20. Oltalama

21. Oltalama

22. Oltalama

23. Oltalama
 Buradaki göreceğiniz örnekte Roger adlı
kişiye gelen sahte bir mesajı görmektesiniz.
 Mesajın gelmiş olduğu 7000 nolu numara
sahte olabilir.
 Website http://rogers-clients.com/login/

24. Oltalama

25. Ön Mesaj
 Kurbanı normalde olası olmayan eylemler
gerçekleştirmek için icat etmek için icat edilen senaryo
olarak adlandırılır. (Phishing'in insan karşılığı)
Trust Güvenilir figürün kimliğine bürünme: Sahte BT
desteğine bakım yapılması, yanlış bir araştırmacı şirketin
denetimi, iş arkadaşları, polis, vergi makamları vb.

27. Ön Mesaj

28. Yakın Takip
 Birisi kapıyı arkanda açık tutmanı istiyor.
Çünkü şirket çalışanı RFID kartını unuttu.
 Bazı kötü amaçlı yazılımlar yüklerken basit bir işlem
yapmak için telefonu veya dizüstü bilgisayarını ödünç
almakla eşdeğerdir.

30. Quid Pro Quo
 “Bir şey için bir şey” anlamına gelir.
 Kötü niyetli bir şahıs, BT hizmeti olduğunu iddia eden çeşitli
BT şirketlerini arar..
 Sonunda saldırgan, sunulan hizmeti gerçekten gerektiren
bir şirketle karşılaşacak ve hedefi için saldırısına devam
edecektir..

32. Omuz Sörfü
 Kişisel erişim bilgilerini almak için birinin omzuna
bakma.
 Birisinin ATM / Telefonunun PIN, bilgisayar parolaları..
 Kameralarla belli bir mesafeden yapılabilir.

35. Çöplüğe Dalış 
 Bir kişinin / şirketin çöplüğünden verileri uygun bir şekilde
imha etmediyse şirket veya kişinin gizli bilgilerini edinin..
 Bankaya ait banka hesaplarını, kredi kartı numaralarını,
sözleşmeleri, şirket politikalarını vb. bulabilir.

37. Sosyal
Mühendislik
Nasıl Oldu?

38. Açık Kaynak İstihbaratı
 Kamuya açık kaynaklardan toplanır.
 Bunun için birçok platform mevcut: Google, Facebook,
LinkedIn, Twitter vb…
 Yardımcı olabilecek yazılımlar veya hazır sistemler:
Maltego, theHarvester, OSINT Framework vb…

40. Taşıma için Teslim Yöntemi
 Çeşitli formlar: Kişide, telefon, e-posta, web sitesi, USB
depolama.
 Örnek.: Kendi sistemleri için çalıştığınızı düşünün ve
bilgisayarında yüklü kötü amaçlı yazılım tespit ettiğinizi iddia
edin.
 Hedef hakkında bildiklerimizi düşünün.
 En az şüphe uyandıracak hangi yöntem gözüküyor??
 Güçlü ve zayıf yönlerini tanımlayın. Uygulayın..

41. Bir Alan Seçin
 Karakter ihmali, tekrarlama, takas, değiştirme, ekleme
 Eksik nokta
 Tekilleştirme veya çoğullaştırma
 Bit flipping ( Metin içindeki bir baytı bozarak düz metin
içindeki bir baytı değiştirmek.)
 Homoglyphs
 Doğru olmayan TLD almak
 URLCrazy tool

43. Komut ve Kontrol Merkezi
 Sunucu ana makine: Bir AWS örneği yükleyin
 Amazon = uygun fiyatlı + güvenilir IP adresi
 Farklı açık kaynaklı ve ticari araçlar mevcut:
Metasploit Framework
PowerShell Empire Framework
Çok fazla çeşitli RAT

44. MSF C&C
 Ücretsiz (topluluk baskısı) ve güvenilir..
 Sürekli olarak geliştirilen ve güncellenerek, katkıda
bulunan bir topluluğa sahiptir..
 Çoklu platform desteği.
 Kaynak Scriptleri (otomatikleştirmek için temiz özellik)..
 Rapid7 tarafından geliştirildi ve sürdürülmeye devam
ediyor.

45. FUD ile Yük Taşıma
 Public Halka açık birçok kriptor, paketleyici ve
kod obfusatörleri..
 Crypters & RAT'ler çevrimiçi topluluklarda,
ör.:indetectables.net
 Kripto elde etmek için küçük zorluklar yapılması, daha
uzun süre FUD kalmaları için çalışmalar yapılması.
 Birkaç saldırı vektörü hala iyi algılanmamaktadır (makrolar,
HTA dosyaları(js ve vbs), PowerShell)

49. FUD ile Yük Taşıma

50. Sosyal
Mühendislik
Buna karşı nasıl savunma yapabiliriz?

51. Ben bir hedef olabilir miyim?
 Kesinlikle!

52. Ransomware diye bir terim duydunuz mu?

53. Güvenli Kalmak İçin İpuçları!
İlk önce şu soruyu kendimize sormalıyız, neden bu teknikler
bu kadar etkili?
Sizce dikkatsizlik veya farkındalık eksikliği olabilir mi?
Belki ikisinden de birazcık olabilir…

54. Güvenli Kalmak İçin İpuçları!
Kevin Mitnick’in “Aldatma Sanatı” adlı kitabından sizlere bir alıntı
vermek istiyorum:
 İnsanlar doğal olarak yardımcı olmak isterler ve bu nedenle kolayca
kopyalanırlar.
 Her şey, insanların, düşündükleri zaman zararsız olduğunu
düşündükleri bilgilere erişme hakkındadır..
Bunun bir çatışmayı önlemek için bir güven seviyesi olduğunu varsayıyorlar.
 Telefonda güzel sesler duymak ve yardımcı olmak istiyoruz..

55. Güvenli Kalmak İçin İpuçları!
 Eğitim ve Bilinçlendirme
 Hatırlatma (Afişler, Posterler...)
 Ofiste Güvenlik Hijyeni politikası uygulanması
(Temiz Masa Politikası)
 Test, test ve daha fazla test!!
 En İyi Güvenlik Uygulamalarını Takip Edin
 Anti Virüsler?

56. Güvenli Kalmak İçin İpuçları!
 Bağlantının URL olarak gösterdiğine güvenmeyin;
Sahte! Dosya uzantıları ile aynı olabilir.
Örnek olarak;
<a href="https://www.google.com/"
onmousedown="this.href='https://www.raifberkaydincel.com'">https://www.google.com/</a>

57. Aynı Parolalarınızı 2. Defa Kullanmayın!!!
 Bir saldırgan sizin kimlik bilgilerinizi (parolanızı) alırsa,
çoklu sistemlere erişmek için kullanabilir.

58. Süreklilik
 Unutmayın! Zaman ve
süreklilik için sabretmeniz
gerekir.
 Ama ne olursa olsun bu sinir
bozucu saldırganlarla
savaşmaya devam edin ve
sonunda oraya varacaksınız!

59. Sorularınız?
İletişim Bilgileri
 t.me/rdincel1 (Telegram)
 Tüm Sosyal Medyalarda @rdincel1
 www.raifberkaydincel.com (Kişisel Blog)
 info@raifberkaydincel.com (e-posta adresim)
Linkedln: https://www.linkedin.com/in/raif-berkay-dinçel-87a51295
Çekinmeden
Sorabilirsiniz! 