ZoriaNews

Ne oldu?

Güvenlik araştırmacıları, Windows işletim sisteminin Plug and Play (PnP) özelliğini kötüye kullanan yeni bir saldırı tekniği olan "Plug and Pwn"ı açıkladı. Bu saldırıda, kötü niyetli bir USB cihazı (örneğin sahte bir ağ adaptörü veya ses cihazı) sisteme takıldığında, Windows'un otomatik sürücü arama ve kurma mekanizması istismar ediliyor. Saldırgan, özel olarak hazırlanmış bir sürücüyü Windows Update veya üretici sunucuları yerine kendi sunucusundan indirterek, bu sürücünün çekirdek seviyesinde çalışmasını sağlıyor. Bu sayede, normalde kullanıcı yetkileriyle sınırlı olan işlemler, SYSTEM ayrıcalıklarıyla gerçekleştirilebiliyor. Araştırmacılar, bu yöntemin özellikle fiziksel erişim gerektirdiğini ancak yine de ciddi bir tehdit oluşturduğunu belirtiyor.

Neden önemli?

Bu saldırı, Windows'un en temel özelliklerinden biri olan Plug and Play'ın güvenlik açıklarını gözler önüne seriyor. SYSTEM ayrıcalıkları, işletim sisteminin en yüksek yetki seviyesidir ve ele geçirildiğinde saldırgan; dosya değiştirme, kötü amaçlı yazılım yükleme, güvenlik duvarını devre dışı bırakma ve hatta diğer sistemlere yanal hareket etme gibi eylemleri gerçekleştirebilir. Özellikle kurumsal ortamlarda, fiziksel güvenliğin zayıf olduğu durumlarda (örneğin toplantı odaları, resepsiyon alanları) bu tür bir saldırı, tüm ağın ele geçirilmesine yol açabilir. Ayrıca, saldırının tespit edilmesi zor çünkü normal bir USB cihaz takılması gibi görünüyor ve güvenlik yazılımları çoğu zaman bu tür davranışları engellemiyor.

Kim veya ne etkileniyor?

Tüm Windows sürümleri (Windows 10, 11 ve sunucu sürümleri dahil) bu saldırıdan potansiyel olarak etkileniyor. Özellikle fiziksel erişime açık olan cihazlar (masaüstü bilgisayarlar, dizüstü bilgisayarlar, ATM'ler, tıbbi cihazlar) risk altında. Kurumsal ağlarda, çalışanların USB portlarını kullanması gereken ortamlar daha savunmasız. Ayrıca, güvenlik duvarı ve antivirüs yazılımlarının bu saldırıyı tespit etmesi zor olduğundan, hedef sistemlerde uzun süre fark edilmeden kalma olasılığı yüksek.

Ne yapılmalı?

Microsoft'un konuyla ilgili resmi bir yaması henüz bulunmuyor (kesin değil), ancak araştırmacılar geçici önlemler öneriyor:
- USB portlarını fiziksel olarak kısıtlamak veya yalnızca güvenilir cihazların kullanılmasına izin vermek.
- Windows'un sürücü arama ayarlarını değiştirerek, otomatik sürücü indirmeyi engellemek (Group Policy ile).
- Kurumsal ortamlarda, USB cihazların takılmasını engelleyen yazılımlar kullanmak.
- Ayrıca, güvenlik ekiplerinin bu tür saldırıları tespit etmek için olay günlüklerini (Event Logs) düzenli olarak incelemesi öneriliyor. Microsoft'un gelecekte bir güvenlik güncellemesi yayınlayıp yayınlamayacağı henüz net değil.