Siber güvenlik uzmanları, kötü niyetli yazılımların geleneksel yolların dışında da yayılabildiğini gösteren yeni bir tehdidi ortaya çıkardı. Araştırmalara göre, internetin temel bileşenlerinden biri olan Alan Adı Sistemi (DNS), artık zararlı yazılımlar için gizli bir taşıyıcıya dönüşmüş durumda. Üstelik saldırganlar bu yöntemi, yapay zekâ desteğiyle daha da etkili hâle getiriyor.
Alan Adı Sistemi Artık Bir Güvenlik Açığına Dönüşüyor
Geleneksel olarak DNS, internet kullanıcılarının alan adlarını IP adreslerine çevirmek için kullanılıyor. Ancak son dönemde yapılan keşifler, bu sistemin kötüye kullanılabileceğini gözler önüne serdi. DomainTools isimli siber güvenlik şirketi, DNS kayıtları içinde gizlenmiş zararlı yazılım parçacıkları tespit etti.
Araştırmacılar, özellikle TXT kayıtları üzerinde yoğunlaştı. Genellikle alan adı doğrulama gibi işlemler için kullanılan bu kayıtlar, herhangi bir metni barındırabildiği için saldırganlar açısından oldukça cazip bir saklama alanı hâline geldi. DomainTools ekibi, birçok alt alan adına dağılmış şekilde hexadecimal formatta kodlanmış .exe dosyalarının izine ulaştı.
Saldırganların, zararlı bir yazılımı küçük parçalara bölerek yüzlerce farklı alt alan adına sakladığı belirlendi. Her bir alt alan adında farklı bir TXT kaydı yer alırken, tüm bu parçalar bir araya getirildiğinde bilinen bir zararlı yazılımın tamamı ortaya çıktı. Söz konusu yazılımın, sistem üzerinde müdahalede bulunan ve kullanıcı kontrolünü kısıtlayan “Joke Screenmate” isimli bir kötü yazılım olduğu tespit edildi.
Araştırma, parçalanmış bu zararlı yazılımın, yapay zekâ tarafından oluşturulan bir betik aracılığıyla tekrar birleştirildiğini gösterdi. Böylece saldırganlar, güvenlik sistemlerinden saklanarak zararlı dosyayı yeniden oluşturmayı başardı.
PowerShell Komutlarıyla Yeni Saldırıların Kapısı Açılıyor
DomainTools ekibi yalnızca zararlı .exe dosyalarıyla sınırlı kalmadı. Aynı yöntemle DNS kayıtları içine gizlenmiş PowerShell betiklerine de ulaşıldı. Bu betiklerin, Covenant adlı meşru ancak sıkça kötü amaçlı kullanılan bir güvenlik aracına ait komuta ve kontrol sunucularıyla iletişim kurduğu tespit edildi. Böyle bir bağlantı, sistemin daha geniş çaplı bir saldırı zincirine dâhil olabileceğini gösteriyor. Bu durum, sadece tekil bir zararlı yazılım örneğiyle sınırlı kalmayıp daha gelişmiş siber saldırıların habercisi olarak değerlendiriliyor.
DNS üzerinden veri taşıma yönteminin bu kadar etkili olmasının sebeplerinden biri, yeni nesil şifreleme teknolojileri. DNS over HTTPS (DoH) ve DNS over TLS (DoT) gibi protokoller, DNS trafiğini şifreleyerek güvenli hâle getirmeyi amaçlıyor. Ancak bu şifreleme, aynı zamanda kötü niyetli aktivitelerin de tespit edilmesini zorlaştırıyor.
DomainTools mühendisi Ian Campbell, konuya ilişkin yaptığı açıklamada, birçok şirketin DNS sorgularını kendisi çözümlemediği sürece içerik hakkında hiçbir fikrinin olmadığını belirtti. Bu da siber saldırganların, güvenlik duvarlarından kolayca sıyrılarak zararlı yazılımları sisteme sızdırmasına olanak tanıyor.
DNS tabanlı bu yeni saldırı türü, geleneksel güvenlik çözümlerinin yetersiz kaldığını bir kez daha ortaya koyuyor. Şirketlerin, sadece antivirüs ve güvenlik duvarı gibi klasik yöntemlerle değil, ağ düzeyinde daha derin analiz yapabilen sistemlerle donatılması gerekiyor. Özellikle DNS trafiğinin içerik bazlı analizini yapabilen çözümlerin kullanılması, bu tür gizli saldırıların önlenmesinde kritik rol oynayabilir.
