Mirai Botnet: Milyonlarca "Akıllı" Cihazın Bir Orduya Dönüşmesi

2016 yılında ortaya çıkan Mirai botnet'i, "güvensiz IoT (Nesnelerin İnterneti) cihazları" tehlikesinin, teorik bir endişeden GERÇEK, DEVASA bir siber silaha dönüştüğü an olarak kabul edilir.

Öncesi: Savunmasız Bir Cihaz Ordusu

Mirai'nin hedefi bilgisayarlar değil, güvenlik kameraları, dijital video kaydediciler (DVR) ve ev router'ları gibi IoT cihazlarıydı. Bu cihazların BÜYÜK bir kısmı, üretici tarafından fabrikada ayarlanmış, KOLAYCA TAHMİN EDİLEBİLİR varsayılan kullanıcı adı/şifre kombinasyonlarıyla (örneğin "admin/admin") satılıyordu — Web Güvenliği kütüphanemizdeki "Güvenlik Yanlış Yapılandırması" makalesinde bahsettiğimiz "varsayılan kimlik bilgilerinin değiştirilmemesi" sorununun, MİLYONLARCA cihazda AYNI ANDA gerçekleştiği bir durum.

Bu cihazların çoğu, kullanıcıları tarafından ASLA güncellenmiyor, ASLA yeniden yapılandırılmıyordu — bir kamera veya router aldıktan sonra, insanlar genelde onu bir kez kurar ve BİR DAHA HİÇ DÜŞÜNMEZLER, bu da onları YILLARCA savunmasız bırakan ideal bir hedef hâline getiriyordu.

Saldırı Esnasında: Basit Ama Ölçekte Yıkıcı

Mirai'nin TEKNİĞİ aslında ŞAŞIRTICI DERECEDE BASİTTİ: internet üzerinde SÜREKLİ tarama yaparak, açık portları olan IoT cihazlarını buluyor, sonra sadece BİLİNEN, YAYGIN varsayılan kullanıcı adı/şifre kombinasyonlarının bir listesini (yaklaşık 60 kombinasyon) DENİYORDU. Hiçbir karmaşık zafiyet istismarı, hiçbir sofistike teknik gerekmiyordu — sadece basit bir "dene, dene, dene" mantığı, milyonlarca cihazın SAVUNMASIZ olması sayesinde son derece etkiliydi.

Ele geçirilen HER cihaz, Malware Analizi kütüphanemizdeki "C2 İletişim Analizi" makalesinde bahsettiğimiz bir botnet üyesi hâline geliyordu — saldırganın merkezi komutuyla, aynı anda BİRLİKTE hareket edebilen bir "zombi ordusu"nun bir parçası. Ekim 2016'da bu ordu, Dyn adlı ÖNEMLİ bir DNS sağlayıcısına karşı MASSİF bir DDoS (Distributed Denial of Service) saldırısı başlattı — bu saldırı, Twitter, Netflix, Reddit, PayPal gibi BÜYÜK, tanınmış web sitelerinin, DNS çözümlemesi bozulduğu için SAATLERCE erişilemez hâle gelmesine yol açtı. Milyonlarca güvensiz kamera ve router, dünyanın en büyük internet sitelerinden bazılarını ÇÖKERTMEK için kullanılmıştı.

Sonrasında: Ne Değişti?

• IoT güvenlik farkındalığı: Mirai, "küçük, önemsiz görünen bir kamera veya router'ın GÜVENSİZLİĞİNİN" GERÇEKTEN devasa, küresel sonuçları olabileceğini kanıtladı — Kariyer serimizdeki "Sektörün Geleceği" makalesinde bahsettiğimiz IoT güvenliği alanının, bir "niş" konudan CİDDİ bir öncelik alanına dönüşmesinde önemli bir kilometre taşı oldu.
• Kaynak kodunun sızması: Mirai'nin kaynak kodu, saldırıdan kısa süre sonra internete SIZDIRILDI (yaratıcıları tarafından, kendi izlerini gizlemek amacıyla kasıtlı olarak yapıldığı düşünülüyor) — bu, sonrasında SAYISIZ VARYANTIN ortaya çıkmasına yol açtı, çünkü artık HERKES bu kodu alıp KENDİ botnet'ini oluşturabilirdi.
• Düzenleyici tartışmalar: Bu olay, bazı ülkelerde IoT cihaz üreticilerinin, VARSAYILAN, ZAYIF şifrelerle cihaz satmasını YASAKLAYAN veya kısıtlayan düzenlemelerin tartışılmasına zemin hazırladı.

Bu Vakadan Çıkarılacak Ders

Mirai, "en KARMAŞIK saldırının en YIKICI saldırı olmak zorunda olmadığını" gösterdi — bazen en BASİT güvenlik hatası (varsayılan şifreyi değiştirmemek), yeterince GENİŞ ÖLÇEKTE tekrarlandığında, dünyanın en büyük internet altyapılarını bile sarsabilir. Bu, Temel Network serimizde ve Web Güvenliği kütüphanemizde defalarca vurguladığımız "temel güvenlik hijyeni"nin (varsayılan ayarları değiştirmek gibi) neden ASLA küçümsenmemesi gerektiğinin en çarpıcı, ölçekte bir kanıtıdır.

Bu makale, Mirai botnet saldırısının genel, kamuya açık bilgilere dayanan bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.