Microsoft'un yerleşik antivirüsü zorlu bir dönemden geçiyor. ShieldCrash adı verilen yeni keşfedilen bir exploit, şirketin en son Windows Defender yamasını atlıyor ve bunu tamamen güncel makinelerde yapıyor. Milyonlarca Windows kullanıcısının varsayılan olarak güvendiği bir güvenlik aracı için bu küçük bir sorun değil. Bu aynı zamanda yakın hafızada ilk kez de olmuyor, ki bu Microsoft Defender sıfır gününü dikkate değer kılan da bu.
Yapışmayan Yamaların Bir Örüntüsü
Bu son bypass birdenbire ortaya çıkmadı. Windows Defender'ı hedef alan bir dizi açıklamayı takip ediyor; bunlar arasında RoguePlanet takma adlı yüksek önem dereceli bir kusur da var; bu kusur önceki haberlerde ShieldBreak olarak da anılıyordu ve kendisi de önceki bir düzeltmeyi atlatmayı başarmıştı. Aynı dönemde, ayrı olarak izlenen ve yine ShieldBreak olarak adlandırılan bir başka kusur, güvenlik ekiplerini federal sistemleri güvence altına almak için resmi bir yama olmadan ve CISA'dan 14 günlük bir süreyle baş başa bıraktı.
Microsoft sonunda o sorun için bir düzeltme yayımladı. ShieldCrash ise sonrasında olan şey: tam da o yamayı aşan bir kavram kanıtı, kapanmış olması gereken bir dosyayı yeniden açık bir dosyaya dönüştürüyor. Örüntü artık tek başına tanımlanabilecek kadar tanıdık: bir kusur bulunuyor, Microsoft yamalıyor ve nispeten kısa bir süre içinde yeni bir teknik düzeltmeyi etkisiz hale getiriyor.
ShieldCrash Aslında Ne Yapıyor
Temel sorun, derin teknik ayrıntılar olmadan bile açıklaması kolay. Windows Defender'ın zararlı etkinliği zarar vermeden önce tespit etmesi ve engellemesi gerekiyor. ShieldCrash gibi bir bypass, en son güvenlik güncellemesini zaten yüklemiş sistemlerde bile çalıştığında, bu, çoğu Windows kullanıcısının bağlı olduğu koruyucu katmanın, sistem ne kadar güncel görünürse görünsün, tanıtıldığı gibi çalıştığının varsayılamayacağı anlamına gelir. ShieldCrash exploit'ine ilişkin önceki haberde bildirildiği üzere, kusur özellikle önceki açığı kapatmak için tasarlanan düzeltmeyi zaten yüklemiş makineleri hedef alıyor; bu da onu rutin bir güvenlik açığı açıklamasından ayıran şey.
Gündelik kullanıcılar için teknik mekanikler, pratik sonuçtan daha az önemli: tamamen yamalanmış bir Windows sistemi otomatik olarak tamamen korunmuş bir sistem değildir. Windows Update her şeyi güncel olarak bildirdiğinde bu ayrımı gözden kaçırmak kolaydır.
Bozuk Bir Antivirüsün Gizlilik Etkileri
Hikâyenin dar bir teknik hatadan çıkıp gündelik gizliliğe dokunan bir noktaya taşındığı yer burası. Antivirüs ve uç nokta koruma araçları yalnızca eski usul virüsleri engellemekle ilgili değildir. Defender sistem üzerinde ayrıcalıklı bir konumda oturur; dosyaları tarar, süreçleri izler ve kimlik bilgilerini çalan, tuş vuruşlarını kaydeden veya kişisel dosyaları sızdıran kötü amaçlı yazılımlara karşı son savunma hattı olarak işlev görür. Bu savunma atlatılabildiğinde risk soyut değildir. Bilgi çalan yazılımlar, casus yazılımlar ve uzaktan erişim araçları, uç nokta koruması sessizce başarısız olduğunda tam da serpilip gelişen kötü amaçlı yazılım türleridir; çünkü kullanıcının bir şeylerin yanlış olduğuna dair görünür bir işareti yoktur.
Tekrarlanan bypass'lar farklı türde bir güveni de aşındırır: güncellemeleri yüklemenin güvende olmak anlamına geldiği varsayımını. Bu varsayım, çevrimiçi bankacılıktan hassas belgelerin yerel olarak saklanmasına kadar gündelik güvenlik davranışının çoğunun temelini oluşturur. Yamalar haftalar içinde etrafından dolaşıldığında, bu varsayımın en azından Windows'ta hassas kişisel veya finansal veri işleyen herkes için yeniden gözden geçirilmesi gerekir.
Bu Sizin İçin Ne Anlama Geliyor
Tek savunma hattınız olarak Windows Defender'a güveniyorsanız, bu panik yapmak için değil, yeniden değerlendirmek için makul bir an. Bunun gibi sıfır gün açıklamaları tipik olarak istismar için yerel erişim veya belirli koşullar gerektirir ve Microsoft'un yanıt verme konusunda bir sicili var; düzeltmeler her zaman tutmamış olsa bile. Daha büyük çıkarım şu: işletim sisteminize ne kadar iyi entegre edilmiş olursa olsun, hiçbir tek güvenlik aracı yanılmaz olarak görülmemelidir.
Şimdi atılmaya değer pratik adımlar arasında, düzeltmeleri yayımlandığı anda almanız için otomatik güncellemeleri açık tutmak, bu sorun çözülene kadar doğrulanmamış kaynaklardan indirme yapmaktan kaçınmak ve itibarlı bir ikincil güvenlik aracı gibi ek koruma katmanları ya da hassas hesaplar için daha temkinli gezinme alışkanlıkları değerlendirmek yer alıyor. Özellikle kurumsal BT ekipleri Microsoft'un uyarılarını yakından izlemeli ve takip yamalarını hızla uygulamaya hazır olmalı; çünkü bu örüntü daha fazla güncellemenin gelebileceğini gösteriyor.
Bu Windows Defender bypass'larının tekrarlayan doğası, güvenliğin tek nokta değil katmanlı olduğunun bir hatırlatıcısıdır. ShieldCrash gibi açıklamalar hakkında bilgi sahibi olmak, güncellemeleri zamanında uygulamak ve herhangi bir tek araca eksiksiz bir güvenlik ağı olarak güvenmemek, şu an için Microsoft'un tamamen kapatmadığı bir sorunun önünde kalmanın en pratik yollarıdır.
