Gmail’de kalıcı erişim iddiası: Remus Stealer hakkında ne biliniyor?

Kapak fotoğrafı: Håkan Dahlström, Google 1600 Amphitheatre / Wikimedia Commons / CC BY 2.0 — Lisans — Google’ın Mountain View kampüsü; 14 Kasım 2009 tarihli arşiv fotoğrafı.

Remus Stealer adlı bilgi hırsızlığı yazılımının yeni e-posta özelliği, ele geçirilmiş Gmail hesaplarına erişim sağladığı iddiasıyla gündeme geldi. 9 Kasım’da yayımlanan araştırmada incelenen hizmet, saldırgan panelinden gelen kutusu görüntüleme ve başka operatörlerle posta kutusu erişimi paylaşma özelliği pazarlıyor.

Aylık 1.000 dolarlık Enterprise paketine bağlanan bu özellik için, şifre değişikliği ve oturum iptalinden sonra da erişimin sürdüğü öne sürülüyor. Ancak bu güçlü iddianın bağımsız olarak doğrulandığı gösterilmiş değil. Özelliğin ücretli bir saldırı hizmeti olarak tanıtılması, teknik başarısının kanıtı sayılmıyor.

Ekran görüntüsü ile kalıcı erişim kanıtı farklı

Araştırmada geliştiriciyle ve hizmeti kullandığını belirten bir kişiyle yapılan yazışmaların yanında, mesaj listeleri ve doğrulama e-postaları içeren ekran görüntüleri bulunuyor. Bunlar posta kutusu arayüzünü gösteriyor; hesabın bütün erişim yolları kapatıldıktan sonra yeni ulaşan mesajların okunabildiğini gösteren kontrollü bir deney sunmuyor.

Geliştiricinin açıklaması, önceden zararlı yazılım bulaşmış ve tarayıcıda hesabın açık olduğu bir cihazdan erişim elde edilmesine dayanıyor. Dolayısıyla haberde anlatılan durum, yalnızca bir e-posta adresini bilen herkesin gelen kutusunu açabildiği bir özellik olarak değerlendirilmemeli. Araştırma da kanıtlanmış bir Gmail sıfır gün açığı tespit etmiş değil.

Startupost değerlendirmesi: Zararlı süreç kapandıktan sonra erişimin sürmesi ile etkili hesap kurtarma işlemlerinden sonra erişimin sürmesi ayrı iddialar. İkincisini doğrulamak için kurtarma sonrasında gelen yeni mesajların da izlenebilmesi gerekir; mevcut bulgular bu sonucu ortaya koymuyor.

Google’ın şifre değişikliği kuralları ne diyor?

Google’ın e-posta erişimi için kullandığı OAuth yetkilendirmelerinde, şifre değişikliği normal koşullarda hem erişim hem yenileme tokenlarını geçersiz kılıyor. Belgelenmiş istisnalar da var: Apps Script uygulamaları kapsam dışında kalabiliyor; açık OAuth tabanlı IMAP bağlantıları ise erişim tokenının süresiyle sınırlı olarak devam edebiliyor. Bu süre genellikle bir saat. Bu istisnalar, Remus’un hangi yöntemi kullandığını kanıtlamıyor.

Genel hesap kurallarında da şifre değişikliği sonrasında bazı kimlik doğrulama cihazları, izin verilmiş üçüncü taraf uygulamaları veya bağlı ev cihazları için oturum istisnaları belirtiliyor. Bu nedenle yalnızca “şifre değiştirildi” bilgisi, hangi erişimlerin gerçekten sonlandırıldığını açıklamaya yetmiyor.

Gündelik bir çalışma ortamı; 2014 tarihli temsili arşiv fotoğrafı. Fotoğraf: Aleksi Tappura / Wikimedia Commons / CC0 1.0.

Şüpheli erişimde hesabın tamamını incelemek gerekiyor

Google’ın resmi kurtarma adımları, son güvenlik olaylarıyla tanınmayan cihazları incelemeyi ve izinsiz uygulama erişimlerini kaldırmayı kapsıyor. Gmail’de yönlendirme, filtre ve posta yetkilendirmeleri de kontrol edilmeli. Zararlı yazılım şüphesinde cihaz temizliği ve güvenilir başka bir cihazdan hesap güvenliğini sağlamak birlikte ele alınmalı; aynı parolayı kullanan diğer hesaplar da korunmalı.

Cihazlar ekranında tek bir cihaz adı altında birden fazla oturum bulunabiliyor. Tanınmayan erişimi kapatırken ilgili adla görünen bütün şüpheli oturumların incelenmesi gerekiyor. Listede görülen son etkinlik saati arka plandaki eşitlemeyi de yansıtabildiğinden, tek başına yeni bir saldırının kesin işareti sayılmıyor.