Mirai Botnet Nedir? IoT Zombi Ağları ve DDoS Saldırıları

Mirai botnet, Linux tabanlı Nesnelerin İnterneti (IoT) cihazlarını ele geçirerek devasa bir zombi ağına dönüştüren ve bu ağ üzerinden hedef sistemlere yüksek hacimli dağıtık hizmet engelleme (DDoS saldırısı) düzenleyen bir zararlı yazılım mimarisidir. Karmaşık sıfır gün (zero-day) açıkları aramak yerine, fabrika çıkışlı varsayılan şifreleri değiştirilmemiş IP kameralar, ev yönlendiricileri (router) ve dijital video kayıt (DVR) cihazları gibi zayıf güvenlikli donanımları istismar eder. Ele geçirilen yüz binlerce cihaz, merkezi bir komuta kontrol sunucusuna bağlanarak tek bir hedefe terabitler seviyesinde volümetrik taşkın gönderebilen kolektif bir saldırı gücüne dönüşür.

Mirai botnet nasıl çalışır ve IoT cihazları nasıl ele geçirilir?

Mirai'nin yayılma döngüsü ve cihazları birer zombi bota dönüştürme süreci birbirini izleyen dört temel aşamadan oluşur:

1. Rastgele IPv4 adres taraması

Mirai zararlısını çalıştıran her zombi cihaz, arka planda internet üzerindeki rastgele IPv4 adres bloklarını sürekli olarak tarar. Tarama sırasında özellikle uzaktan yönetim amacıyla kullanılan Telnet (port 23 ve 2323) ile SSH (port 22) servislerinin açık olup olmadığı denetlenir. Tarama modülü, askeri ağlar ve büyük teknoloji şirketlerine ait ayrılmış IP bloklarını tarama listesinin dışında bırakarak tespit edilme riskini azaltır.

2. Fabrika çıkışlı kimlik bilgileriyle kaba kuvvet (brute-force) denemesi

Açık bir yönetim portu tespit edildiğinde, Mirai bünyesinde gömülü bulunan ve yaygın IoT üreticilerinin fabrika çıkışında tanımladığı kullanıcı adı ve şifre listesini dener. Bu listede yer alan basit kimlik kombinasyonları (admin/admin, root/12345, support/support gibi) saniyeler içinde denenir. Kullanıcıların modem ve kamera kurulumlarında şifre değiştirmemesi, cihazın doğrudan ele geçirilmesine yol açar.

3. Zararlının belleğe yerleşmesi ve rakip temizliği

Kimlik doğrulaması başarılı olduğunda, cihazın işlemci mimarisi (ARM, MIPS, x86 veya PowerPC) tespit edilir ve uygun ikili (binary) dosya cihaza indirilir. Mirai, cihazın flash depolama alanına yazmak yerine doğrudan geçici belleğe (RAM) yerleşir. Belleğe yerleştikten hemen sonra cihazda çalışan diğer rakip botnet süreçlerini ve açık Telnet servislerini kapatarak cihazın başka saldırganlar tarafından ele geçirilmesini engeller.

4. Komuta Kontrol (C&C) bağlantısı

Enfekte olan cihaz, saldırganın yönettiği Komuta Kontrol (C&C) sunucusuna şifreli bir oturum açarak hazır olduğunu bildirir. Cihaz kendi normal işlevlerini (video kaydı, yönlendirme vb.) sürdürürken, saldırgandan gelecek taşkın emrini beklemeye başlar. Bir saldırı talimatı verildiğinde, ağdaki tüm cihazlar hedef IP adresine eşzamanlı olarak veri göndermeye başlar.

Mirai saldırı vektörleri: Ağ ve uygulama katmanı taşkınları

Mirai botnet, hedef sistemin türüne ve savunma katmanına göre hem ağ ve taşıma katmanını (L3/L4) hem de uygulama katmanını (L7) hedef alan çoklu saldırı vektörlerine sahiptir:

Volümetrik L4 taşkınları

• GRE IP Taşkını (Generic Routing Encapsulation): İki ağ noktası arasında tünelleme için kullanılan GRE protokolü paketleri oluşturulur ve içine rastgele veri gömülerek hedefe iletilir. Bu yöntem yönlendiricilerin tünel çözme işlemcilerini aşırı yükler.
• DNS STOMP (UDP 53 Taşkını): Hedef sistemin yetkili DNS sunucularına veya DNS servislerine geçerli görünümlü ancak rastgele sorgular yollanır. UDP'nin bağlantısız yapısı kullanılarak yüksek paket sayılarıyla (PPS) ağ arayüzleri doldurulur.
• TCP SYN ve ACK Taşkınları: Hedef sunucunun açık portlarına sahte kaynak IP adresleriyle sürekli TCP SYN paketleri iletilir. Sunucunun yarı açık bağlantı tablosu tüketilerek meşru el sıkışmalar engellenir. Bu mekanizmanın ayrıntıları için SYN flood nedir ve nasıl engellenir başlıklı rehberimizi inceleyebilirsiniz.

Uygulama katmanı (L7) taşkınları

• HTTP GET, POST ve HEAD Taşkınları: Web sunucularını hedef alan bu vektörde botlar geçerli HTTP oturumları açar. Sunucunun veritabanı sorgularını tetikleyen ağır sayfalar veya POST formları art arda çağrılarak işlemci ve bellek kaynakları kilitlenir.

IoT cihazlarını zombi ağına dönüşmekten koruma yöntemleri

IoT cihazlarının botnet ordularına katılarak birer saldırı kaynağına dönüşmesini önlemek için yalnızca bireysel cihaz düzeyinde değil, ağ mimarisi düzeyinde de yapılandırmalar yapılmalıdır:

1. Varsayılan kimlik bilgilerinin kapatılması

Donanım devreye alınır alınmaz üretici tarafından tanımlanan varsayılan şifreler devre dışı bırakılmalı, en az 16 karakterli karmaşık parolalar belirlenmelidir. Cihaz arayüzünde mümkünse standart admin veya root kullanıcı adları kapatılmalıdır.

2. Dış yönetim portlarının (WAN) engellenmesi

IP kameraların, kayıt cihazlarının ve modem yönetim sayfalarının internete (WAN) açık olması doğrudan saldırı riskidir. Cihazların yönetim arayüzleri (Telnet port 23, SSH port 22, HTTP port 80/8080) dış dünyaya kapatılmalı, uzaktan erişim gerekiyorsa güvenli bir VPN tüneli üzerinden sağlanmalıdır.

3. Yerel VLAN segmentasyonu

IoT cihazları, sunucuların ve kurumsal iş istasyonlarının bulunduğu ana ağdan ayrı bir sanal yerel ağda (VLAN) tutulmalıdır. Bir IoT cihazı ele geçirilse dahi diğer ağ segmentlerine yatay geçiş (lateral movement) yapması güvenlik duvarı erişim kontrol kurallarıyla (ACL) sınırlandırılır.

4. Üretici Kullanım Tanımı (MUD) mimarisi ve giden trafik denetimi

IoT cihazlarının iletişim kuracağı adresler önceden öngörülebilir niteliktedir; örneğin bir güvenlik kamerası yalnızca kendi bulut kayıt sunucusuna ve yerel ağ kayıt cihazına (NVR) bağlanmalıdır. Ağ yönlendiricilerinde Üretici Kullanım Tanımı (MUD) mimarisine uygun erişim kuralları tanımlanarak, cihazın internet üzerindeki rastgele IP adreslerine Telnet/SSH paketleri göndermesi (giden trafik/egress) sınırlandırılmalıdır. Bu kısıtlama, cihaz zararlı yazılımla enfekte olsa bile interneti taramasını ve saldırı paketleri üretmesini engeller.

Dağıtık botnet saldırılarına karşı sınır ağı filtrelemesi ve Anycast mimarisi

Hedef alınan bir sunucu veya veri merkezi açısından Mirai kaynaklı taşkınları yerel ölçekte karşılamak teknik olarak imkansızdır. Yüz binlerce farklı uç noktadan gelen ve yüzlerce gigabite ulaşan volümetrik trafik, sunucunun fiziksel ağ bağlantısını (örneğin 1 Gbps veya 10 Gbps portunu) doğrudan doldurur. İşletim sistemi düzeyindeki yerel güvenlik duvarları (iptables, nftables gibi) paketleri filtrelemeye çalışsa dahi, ağ kablosu ve anahtar portu tıkandığı için meşru kullanıcı trafiği sunucuya ulaşamaz.

Bu büyüklükteki dağıtık saldırılara karşı koyabilmek iki kritik ağ mimarisini zorunlu kılar:

1. Sınır Ağında Paket Giriş Filtrelemesi (Ingress Filtering): Dağıtık botnet taşkınlarında saldırganlar genellikle kaynak IP adresini sahte gösterir (IP spoofing). İnternet servis sağlayıcıları ve sınır yönlendiricileri seviyesinde sahte kaynak adresli paketlerin ağa girişinin engellenmesi, yansıtma ve taşkın saldırılarının etkisini düşürür.
2. Anycast Trafik Dağıtımı: Anycast ağ mimarisinde tek bir IP adresi, dünyanın farklı coğrafyalarındaki çok sayıda veri merkezi ve PoP (Point of Presence) noktasından anons edilir. Mirai botnet'i saldırı başlattığında, dünyanın dört bir yanına dağılmış zombi cihazların trafiği tek bir merkeze gitmez; her cihazın trafiği coğrafi olarak en yakın PoP noktasına yönlendirilir. Böylece devasa taşkın hacmi küresel ağ noktalarına bölünerek sınırda eritilir ve merkez sunucuya yalnızca temizlenmiş veri iletilir.

TREAS TRSHIELD ile dağıtık botnet ve volümetrik DDoS koruması

TREAS, sağladığı tüm barındırma ve sunucu altyapılarında kendi geliştirdiği DDoS Koruması teknolojisi olan TRSHIELD sistemini kullanır. TRSHIELD, harici bir lisans gerektirmeden tüm sunucu hizmetlerinde standart ve ek ücret olmadan yer alır.

• Anycast Ağ ve 12 Tbps Kapasite: TRSHIELD anycast ağ mimarisi üzerinde çalışır ve 12 Tbps DDoS koruma kapasitesine sahiptir. Dağıtık botnet ordularından kaynaklanan yüksek hacimli L3 ve L4 taşkınlarını küresel sınır noktalarında karşılayarak sunuculara 1 ms altı ek gecikmeyle iletir.
• L3, L4 ve L7 Çok Katmanlı Süzme: Gelen ve giden trafiğin eşzamanlı analiziyle hem ağ ve taşıma katmanındaki paket taşkınlarını hem de uygulama katmanındaki HTTP/HTTPS isteklerini filtreler.
• Sürekli Geliştirilen Savunma Altyapısı: TRSHIELD bilinen bütün saldırı vektörlerine karşı koruma sağlar ve sürekli geliştirilir.
• Altyapı Seçenekleri: Yoğun işlem gücü gerektiren web projeleriniz ve uygulamalarınız için paylaşımlı vCore kaynaklı Performans VPS veya bağımsız işlem gücü sunan ayrılmış vCore kaynaklı Ekstrem VDS paketlerini tercih edebilirsiniz.

Siber güvenlik, ağ katmanı riskleri ve sunucu yapılandırmaları hakkında daha fazla bilgi edinmek için DDoS saldırısı nedir rehberimizi okuyabilirsiniz.