Bülten 24-31 Ağustos: Sahne Makinelere Kaldı, KEYPLUG Solucanı Ağa Girdi

24 Ağustos ile 31 Ağustos UTC arasında SiberKale honeypot ağına 17 milyondan fazla olay geldi ve 89 binden fazla benzersiz IP bu olayları üretti. Aynı pencerede SSH potuna komut yazan her kaynak aynı otomasyon kalıbını koştu. Bir önceki bültende kırk dakika sahnede kalan insan operatörün yerini bu hafta tamamen makineler aldı.

Yönetici Özeti

13 Ağustos bülteni bir insan hikâyesiyle kapanmıştı: 19.978 SSH oturumundan yalnız biri insandı ve kimliğini bir klavye düzeni kazasıyla ele vermişti. Bu pencere o cümlenin karşıt kutbunu gösteriyor. Sekiz gün boyunca sahnede tek bir el yok. Yazılan her komut bir betikten, denenen her parola bir sözlükten, kurulan her oturum bir playbook’tan geldi.

Dönemin dört bulgusu:

1. MySQL platosu üçüncü haftada. 3306, 2,97 milyon olayla ikinci en çok hedeflenen port ve Suricata’nın en çok gördüğü imza yine aynı: MySQL tarama. Kampanya ne durdu ne yavaşladı.
2. KEYPLUG/Conficker sınıfı P2P ilk kez ağda. Suricata, kendini yayan bir solucanın eşten-eşe düğüm bulma trafiğini bu pencerede ilk kez işaretledi: 19.593 paket, iki bit değeri.
3. Sahne tamamen makinelere kaldı. SSH potuna komut yazan 1.179 benzersiz kaynağın hepsi aynı keşif playbook’unu koştu: .ssh kilitle, işlemciyi tart, madenci indir. İnsan ritmi yok.
4. Coğrafya donmuş. Türkiye payı yüzde 64’te sabit, ardından Almanya, ABD, Çekya, Rusya, Ukrayna. Tedarik zinciri değişmedi.

---

1. Hangi Kapılar Çalındı

Port dağılımı kampanyanın niyetini tek tabloda veriyor:

İlk altı port toplam trafiğin ezici çoğunluğunu üretiyor. MySQL 3306, web portlarıyla neredeyse başa baş ikinci sırada. Üç haftadır aynı: saldırgan tarafı bir web sunucusu bulmakla bir veritabanı bulmayı eşit değerde görüyor, çünkü ikisi de aynı soruya çıkıyor: bu makinede ne var, nasıl envanterlerim?

Suricata katmanı bunu doğruluyor. En çok üretilen imza dönem boyunca değişmedi:

MySQL taraması imzada da lider. Ama bu tabloda yeni bir satır var ve önemi rakamından büyük.

---

2. KEYPLUG/Conficker: Ağa İlk Düşen Solucan

Beş bülten boyunca gördüğümüz her şey bir taramaydı: dışarıdan gelen, kapı yoklayan, envanter çıkaran trafik. Bu pencerede ilk kez farklı bir şey düştü. Suricata’nın ET MALWARE KEYPLUG/Conficker-C P2P imzası, toplam 19.593 paketle, iki ayrı bit değeriyle tetiklendi.

Bu imzanın taramadan farkı şu: taramada bir makine sizi arar, burada bir makine kendi ağını arar. KEYPLUG/Conficker sınıfı, eşten-eşe düğüm bulma protokolü kullanan, kendini yayan bir kod ailesidir. Bu trafiğin honeypot’a düşmesi, ağda dolaşan enfekte bir düğümün P2P eşi ararken bizim sensörümüze de el uzattığı anlamına gelir.

Savunma açısından bunun anlamı taramadan ağırdır. Bir tarama sizi hedef seçtiğini gösterir; bir P2P solucan trafiği, o solucanın zaten birilerinin içinde olduğunu gösterir. Ağınızda bu imza görülüyorsa bir makine büyük olasılıkla çoktan enfekte. Kaynağı izole edin, giden P2P portlarını kesin, yama seviyesini denetleyin.

---

3. SSH Potu: 1.179 Kaynak, Tek Bir Playbook

Bu pencerenin en net bulgusu bir sayı değil, bir tekdüzelik. SSH potuna komut yazan 1.179 benzersiz kaynağın hepsi neredeyse aynı adımları, aynı sırayla koştu.

Önce parola denemeleri. En çok denenen kombinasyonlar bir insanın değil bir sözlüğün seçimi:

uploader parolasının ikinci sırada olması dikkat çekici: bu, belirli bir IoT/DVR ürün ailesinin fabrika varsayılanıdır ve sözlükte bu kadar üst sırada olması kampanyanın o cihaz sınıfını hedeflediğini gösterir.

İçeri girdikten sonra çalıştırılan komutlar ise tek bir amacın imzası:

cd ~; chattr -ia .ssh; lockr -ia .ssh      ← rakip erişimi kilitle
uname -a                                    ← çekirdek/mimari
cat /proc/cpuinfo | grep name | wc -l       ← kaç çekirdek
cat /proc/cpuinfo | grep model | grep name  ← işlemci modeli

Bu dizi bir kripto madencisi playbook’udur. .ssh dizinini kilitlemek başka botların aynı makineye girmesini engeller; cpuinfo sorguları makinenin madencilik değerini ölçer. Bir insan bir makineye girdiğinde önce “buradayım, ne yapabilirim” diye bakar; bir madenci botu girer girmez “kaç çekirdek, ne kadar hash” diye sorar. Bu pencerede gördüğümüz yalnızca ikincisi.

Bir önceki bültenin insan operatörü, otomasyonun 74 milyon olay ürettiği bir pencerede tek başına 40 dakika sahnede kalmıştı. Bu pencerede o tek kişi bile yok. Sahne tümüyle betiklere kaldı.

---

4. Coğrafya: Aynı Tedarik Zinciri

Kaynak ülke dağılımı önceki bültenlerle aynı şekli koruyor:

Her bültende tekrarladığımız uyarı geçerliliğini koruyor: bu tablo saldırıların Türkiye’den yönetildiği anlamına gelmez. Bunlar Türk bulut sağlayıcılarında saatlik kiralanmış tarama düğümleri. Türkiye’nin buradaki yeri hedef değil, ucuz ve hızlı tedarik edilebilen altyapıdır. Kampanya, tespit edildikçe IP değiştirmek yerine aynı barındırma ekosisteminden yeni düğüm kiralamayı tercih ediyor, çünkü bu ekosistem hem ucuz hem hızlı.

---

5. Feed Vitrini: En Tehlikeli Beş

IoC veritabanımız bu pencereyi kapatırken feed’in tepesinde beş kayıt duruyor. Beşi de tehdit skoru 62 (kritik), beşi de AbuseIPDB’de 100/100 güven puanı taşıyor ve hepsi çok vektörlü (multi-vector) etiketli:

Bu beş adresin ortak yanı yalnız yüksek skor değil. Hepsi vulnerable-host etiketli, yani saldırının kendisi de yama tutmamış, açık bir makineden geliyor. Kore’den Makao’ya uzanan bu küme, birinin envanterinden çalınmış makineler zinciri: enfekte edilmiş, madenciye çevrilmiş, sonra başka makineleri taramaya koşulmuş kutular.

---

Savunma Çıkarımları

1. KEYPLUG/Conficker P2P imzasını bugün ağınızda arayın. Görülüyorsa bir makine zaten enfekte demektir; bu bir tarama değil, içeriden yayılım sinyalidir.
2. uploader ve boş/varsayılan parolayı kapatın. SSH’ta parola kimlik doğrulamasını tamamen kaldırın; sözlük bu pencerede en çok bu kombinasyonları denedi.
3. İnternete açık MySQL’i kapatın. Selin hedefi üç haftadır 3306 ve amacı envanter. Docker ile yayınlanan port ufw’yi atlar; kapalı sandığınızı denemeden ölçün: MySQL portunu kapattığınızı sanıyorsunuz.
4. ASN düzeyinde skorlayın. Hacim IP sayısından değil, aynı barındırma ekosisteminden gelen yoğunluktan doğuyor; tek tek IP engellemek bu kampanyada yetmiyor.
5. Madenci playbook’unu bilin. chattr .ssh + cpuinfo dizisi görülen bir makine büyük olasılıkla ele geçirilmiş ve madenciye çevrilmiştir.

---

Sonuç

Beş bülten boyunca aynı cümleyi kurduk: aktörler altyapıyı hızla eskitiyor, davranışı hiç değiştirmiyor. Bir önceki bülten bu cümleye bir insan yüzü eklemişti. Bu pencere o yüzü de sildi.

Sekiz gün, on yedi milyon olay, seksen dokuz bin kaynak ve tek bir insan izi yok. Yazılan her komut bir betikten geldi, denenen her parola bir sözlükten, kurulan her oturum bir playbook’tan. Üstüne, ağa ilk kez kendini yayan bir solucan sınıfı düştü: artık yalnız bizi taramıyorlar, birbirlerini de arıyorlar.

Yapay zekânın saldırıyı ölçeklendirdiği bir çağda tehdidin yüzü değişiyor. Karşımızdaki artık klavye başında bir kişi değil, kendi kendine çoğalan, kaynak arayan, hedef seçen bir otomasyon katmanı. Bu yüzden savunma da elle tutulan istihbarata değil, o otomasyonu üreten ağın canlı haritasına dayanmalı. Biz o haritayı her gün, kendi sensörlerimizden çıkarıyoruz.

---

Metodoloji ve Erişim

Bu rapor 24-31 Ağustos UTC arası ham honeypot loglarının (P0f, Suricata, Cowrie, Fatt, Tanner, Mailoney, Dionaea, H0neytr4p) ve IoC veritabanı kayıtlarının OPSEC-filtreli analiziyle hazırlandı. Dahili IP’ler, yönetim trafiği, RFC1918/CGNAT ve bilinen operasyonel kaynaklar public yayından çıkarılmıştır; çıkarma filtresi bilinen-pozitif üzerinde sınanmıştır. 30 Ağustos kısmi toplama günüdür; 24 ve 31 Ağustos pencere sınırlarıdır.

Bu bültendeki göstergelerin tam listesi, saldırgan IP analizi ve makine-okunur feed, Tellal paket aboneliğiyle sunulur. Bugüne kadar CC0 ile yayımlanan arşiv CC0 kalır; güncel istihbarat ve tam erişim için erişim talebi bırakın. Bu istihbarat SiberKale projelerini ve müşteri savunmalarını besler.

Bu bültenlerin dayandığı honeypot ağının ne olduğunu merak ediyorsanız: Honeypot (Bal Küpü) Nedir?. Önceki pencere ve insan operatör hikâyesi: 13 Ağustos bülteni.

SiberKale Tellal · Threat Intelligence · tellal.net