Botnetler ve arka kapılar: Ücretsiz VPN truva atı

Bir siber suçla suçlandığınızı hayal edin. İnternet hakkında pek bir şey bilmiyorsun, suç konusunda ise daha da az. Ve birdenbire, dijital adli tıp ve siber güvenlikle ilgili devasa bir yük üstüne çöküyor. Polis, cihazlarınıza el koyar ve dijital hayatınızın her köşesini didik didik arar. Yetkililer nihayet size, bilgisayarınızın ve onun benzersiz IP adresinin beş haneli rakamlarla ifade edilen bir dolandırıcılık olayından sorumlu olduğunu bildiriyor. Ya da belki de senin daha da anlaşılmaz bir şey yaptığını söylüyorlar. Her halükarda, ne olduğunu bile anlamadığın bir suçtan adını temize çıkarmak için hukuki bir cehennemde yolunu bulmaya çalışmak zorunda kalırsın. Bu kabus, pek çok internet kullanıcısı için fazlasıyla gerçek olabilir.

Sadece birkaç hafta önce, ABD’nin öncülüğünde yürütülen bir uluslararası operasyon Adalet Bakanlığı (DoJ), 911 S5 adlı geniş çaplı küresel bir botnet ağını çökertti. On yıl boyunca, Adalet Bakanlığı’nın “muhtemelen dünyanın şimdiye kadarki en büyük bot ağı” olarak nitelendirdiği ağ, yaklaşık 200 ülkede 19 milyon benzersiz IP adresine sızmıştı. Daha sonra, ele geçirilmiş cihazlara erişim, siber saldırılar düzenlemek, hırsızlık ve dolandırıcılık yapmak ve masum kullanıcıların IP adresleri arkasına saklanarak yasadışı faaliyetleri gizlemek amacıyla suçlulara satıldı.

Bu olayın en önemli noktalarından biri, botnet’in altı adet ücretsiz Sanal Özel Ağ (VPN) yazılımına yerleştirilmiş arka kapıları kullanmış olmasıdır; bu yazılımlar, işlevsel VPN’ler olmalarının yanı sıra aynı zamanda kötü amaçlı yazılım niteliğindeydi. Bot ağının sorumlusu olduğu iddia edilen kişinin tutuklanmasının ardından, Federal Soruşturma Bürosu (FBI), kullanıcılara VPN uygulamalarını kaldırmaları ve sistemlerini, suçluların istismar etmesine kapı açan kötü amaçlı yazılım dosyaları açısından taramaları konusunda uyarıda bulunan bir kamu hizmeti duyurusu (PSA) yayınladı.

Bu, “ücretsiz” VPN hizmetlerini kullanmanın risklerini derinlemesine incelediğimiz Nym serisinin ilk bölümü. Bu dizi boyunca ele alacağımız gibi, birçok ücretsiz VPN, kullanıcıların mahremiyeti ve güvenliği için gerçek bir tehdit oluşturabilir ve bu hizmetler neredeyse her zaman hedefli reklamcılık gibi mahremiyet ihlali niteliğindeki uygulamalar içerir. Bu, kullanıcıların bir VPN'e başvurmalarının temel nedeninin tam tersidir: çevrimiçi ortamda gerçek gizlilik, güvenlik ve anonimlik. 911 S5 botnet’i bir uyarı olmalı, ancak sorun çok daha derinlerde yatıyor.

ProxyGate 2024: Milyarlarca dolarlık bir Truva atı

Botnet, merkezi bir varlık tarafından uzaktan kontrol edilebilen, ele geçirilmiş cihazlardan oluşan bir ağdır. Bir kez ele geçirildikten sonra, bu cihazlar operatörlerinin haberi olmadan DDoS saldırıları, spam dağıtımı, dolandırıcılık veya çocuk pornografisi gibi istismar amaçlı içeriklerin yayılması gibi kötü niyetli faaliyetlerde kullanılabilir.

Dünya çapında 150 sunucudan oluşan 911 S5 ev tipi proxy ağı sayesinde bot yöneticisi, sanal bir pazar yeri aracılığıyla on milyonlarca IP adresine erişim hakkı sattı. Alıcılar daha sonra bu IP adreslerini, başta ABD’yi dolandırmak olmak üzere çok çeşitli yasadışı faaliyetlerde bulunmak için kullandılar. sahte başvuru talepleri yoluyla hükümetin milyarlarca dolarlık pandemi yardım programından yararlanmak.

Bu ölçekte bir operasyon nasıl mümkün olabildi ki? 10 Mayıs 2024 tarihli Adalet Bakanlığı’nın mahkeme kararına göre, şüpheli, esas olarak kendi “çevrimiçi ücretsiz VPN yazılımını” sunarak ve “meşru bir VPN programı olduğunu düşünerek kasıtlı olarak bu yazılımı indiren kullanıcıların gözünden kötü amaçlı özelliklerini gizleyerek” kullanıcıların cihazlarına arka kapı erişimi kurmuştur. Bu kötü amaçlı yazılım, torrent yazılımları ve “kurulum başına ödeme hizmetleri” yoluyla da yayıldı; bu hizmetlerde, kötü amaçlı yazılımın dahil edildiği bir programın bir kullanıcı cihazına başarıyla kurulması her seferinde dijital dağıtımcılara ödeme yapılır.

911 S5 pazar yerinin, 2022 yılında soruşturmacılar tarafından kapatıldığı, ardından 2023 yılında “Cloudrouter” adıyla yeniden ortaya çıktığı iddia ediliyor. Ancak, bu kötü amaçlı yazılım, FBI’ın isabetli bir şekilde “Operation Tunnel Rat” olarak adlandırılan operasyonu nihayet VPN alan adlarını devre dışı bırakıp VPN programlarının isimlerini kamuoyuna açıklayana kadar, kullanıcıların sistemlerinde herhangi bir müdahale olmaksızın çalışmaya devam etti.

24 Mayıs 2024 tarihinde tutuklandığı sırada, bot ağının işleticisi olduğu iddia edilen kişi, hükümetin tahminlerine göre, IP erişimi satarak tek başına 99 milyon dolarlık kâr elde etmişti. ABD’den 5,9 milyar dolar gibi şaşırtıcı bir miktar dolandırıldı. hükümetin salgın ve işsizlik yardım programları. Dünya çapında milyonlarca farkında olmayan insanın yaşadığı kayıplar, acılar ve kafa karışıklığı hâlâ sesini duyurabilmiş değil.

Ücretsiz VPN’in arka kapısı

911 S5 botnet’indeki kötü amaçlı yazılım bulaşmalarına arka kapı sağladıkları iddia edilen altı VPN ve proxy hizmeti şunlardır:

• MaskVPN
• DewVPN
• PaladinVPN
• ProxyGate
• ShieldVPN
• ShineVPN

Onlar hakkında tam olarak ne biliyoruz? Beklendiği gibi, şaşırtıcı derecede az. İddianamede, bu VPN hizmetlerinin özellikle botnet oluşturmak amacıyla tasarlandığı açıkça belirtilmektedir. Bu kötü amaçlı yazılım, kullanıcıların sistemlerinde “MaskVPN.exe” gibi zararsız gibi görünen .exe çalışma dosyaları şeklinde arka planda etkin kalıyordu; kullanıcılar da muhtemelen bu dosyaların kendilerini koruduğunu sanıyordu. Hatta, milyonlarca kullanıcı tarafından indirilen bu VPN’ler hakkında bulunamayan bilgi eksikliği, ücretsiz VPN sektörünün ne kadar denetimsiz ve gözden geçirilmemiş olduğunun en açık göstergesidir.

Gerçek alan adlarını kullanan yukarıdaki VPN hizmetleri, PaladinVPN.com, DewVPN.com ve ShineVPN.com dahil olmak üzere FBI tarafından ele geçirilmiştir. MaskVPN için kullanılan sahte alan adı, maskvpns.com olarak hâlâ aktif durumda ve siz şanslı kullanıcılara “gizliliğinizi korumak için güvenli ve sızıntıya karşı korumalı” bir hizmet sunacağını vaat ediyor.

Bu yazının yayınlandığı tarihte, yukarıda adı geçen hizmetlerin adlarını taşıyan pek çok uygulama, Google Play, Apple ve ShieldVPN, ShineVPN ve MaskVPN gibi diğer uygulama mağazalarından indirilmeye devam etmektedir; Shine VPN gibi bazı uygulamaların Google Play'de 500 binin üzerinde indirilme sayısı bulunmaktadır. Ancak Nym, bu uygulamaların gerçekten mahkeme kararında belirtilenlerle mi yoksa aynı adı taşıyan başka sağlayıcılarla mı örtüştüğünü henüz doğrulamamıştır. Güvenlik raporlama şirketleri ve forumlar tarafından kötü niyetli faaliyetler nedeniyle uzun süredir işaretlenmiş olan ProxyGate proxy sunucusu, ProxyGate VPN adıyla hâlâ indirilebilir durumda görünüyor; ancak bu uygulamanın 911 S5 botnetiyle bağlantılı olup olmadığı belirsizdir.

Bu belirli VPN hizmetlerinin işleyişi, hangi platformlar tarafından dağıtıldıkları ve yıllar boyunca tam olarak kaç kullanıcının bunları indirdiği konusunda daha fazla ayrıntı için beklememiz gerekecek. Ancak bu arada kendimize sormamız gereken hayati önem taşıyan sorular var:

• Bu VPN’lerin kötü amaçlı yazılım işlevleri nasıl oldu da bunca yıl boyunca fark edilmeden kaldı?
• Piyasada bulunan diğer ücretsiz VPN yazılımları şu anda başka hangi gizli işlevleri yerine getiriyor?
• Gerçek bir gizlilik aracına yatırım yapabileceğimiz halde, her ay birkaç dolar tasarruf etmek için kaç tane gizlilik ihlali ve güvenlik riskini göze almaya hazırız?

Ücretsiz VPN’lerin riskleri

Tahminlere göre, dünya genelinde insanların beşte birinden fazlasının VPN kullandığı ve bunların yarısının ücretli sürüm yerine ücretsiz sürümü kullandığı belirtilmektedir. Bu durum, dünya çapında 600 milyon VPN kullanıcısının gizliliği açısından ne anlama geliyor?

Prensip olarak, “ücretsiz” bir hizmetin kendisinde bir sorun yoktur. Aslında, gizliliği koruyan VPN hizmetlerini ücretsiz olarak ve bir kamu hizmeti olarak sunan güvenilir VPN hizmet sağlayıcıları da mevcuttur. Ancak, indirilebilen yüzlerce ücretsiz VPN için geçerli olan başlıca iş modelleri, hiçbir şekilde fedakârlık ruhuyla bağdaşmamaktadır: Kullanıcı aboneliklerinden gelir elde edilemiyorsa, bu hizmetler kesinlikle başka yollarla para kazanmaktadır.

Nym’in devam eden dizisinde göreceğimiz üzere, bu gizli gelir bir dizi taktikten kaynaklanmaktadır: hedefli ve sayfalara yerleştirilmiş reklamlar, kullanıcı verilerinin aracı kurumlara satılması ve hatta üçüncü tarafların, kullanıcıların faaliyetlerini izlemek amacıyla tarayıcılarına çerez yerleştirmesine izin verilmesi. Kısacası, ücretsiz VPN’ler gizliliği öne sürer, ancak gözetimden kâr ederler. Ve bu gözetimin hedefi, suç işlenmesi değil, kişisel yaşamlarımızın en ince ayrıntılarıdır.

Ancak, 911 S3 botnetinin arkasında yer alan ücretsiz VPN’ler, çok daha ciddi bir güvenlik riski ortaya koyuyor: cihazlarımızın ve kimliklerimizin suç dünyası tarafından ele geçirilmesi. Elbette, bu zararlı VPN hizmetleri, kullanıcıların indirebileceği yüzlerce “ücretsiz” VPN hizmetinden sadece birkaçıydı ve muhtemelen piyasadaki en kötü aktörlerden bazılarıdır. Ancak bu olayda ortaya çıkan ve kullanıcılar ile kurumlar için milyarlarca dolarlık mali kayıplara yol açan risk potansiyeli ciddiye alınmalıdır.

Hiçbir şey bedava değildir

Hemen hemen her VPN, gerçek IP adreslerimizi gizlediği için kullanıcı gizliliğini koruyan bir araç olarak kendini pazarlamaktadır. Birçok kullanıcı, bunun kendi ihtiyaçları için yeterli olduğunu düşünebilir. Ancak, çevrimiçi kişisel faaliyetlerine ilişkin meta verilerin ne ölçüde toplandığı ve toplu olarak alınıp satıldığı konusunda da farkında olmayabilirler. Tüm tarama geçmişlerimiz yapay zeka destekli algoritmalarla yeniden oluşturulabiliyorken, IP adresini gizlemenin ne yararı var?

Bu veri toplama ve istismar uygulamalarıyla mücadele etmek kolay değildir ve özellikle gizliliğinizi korumak için tasarlanmış gelişmiş bir VPN teknolojisinin, kullanıcıdan bir miktar çaba gerektirmesi mantıklıdır. Sonuçta, biri evinize ücretsiz bir güvenlik kamerası sistemi kurmayı teklif etse, teknisyenleri hiç tereddüt etmeden içeri alır mıydınız?

Herhangi bir yazılım ücretsiz olarak sunulduğunda, muhtemelen gizli maliyetler vardır. Bu maliyetler, VPN hizmetinin daha yavaş çalışması veya daha sınırlı olması gibi basit bir durumdan ibaret olabilir. Ancak genellikle bu bedeller o kadar da kabul edilebilir değildir; örneğin, tüm çevrimiçi alışkanlıklarınızın algoritmik bir analiziyle kişiselleştirilen ve tarama deneyiminize yerleştirilen reklamlar gibi. Daha da kötüsü, işte bu meta veri kayıtlarının, IP ve e-posta adresleri, trafik günlükleri ve bireysel davranış kalıplarına aç olan devasa bir yeraltı pazarına düzenli olarak satılıyor olmasıdır. Ve şimdi, ücretsiz bir VPN’in bilgisayarınızı çoktan çocuk pornografisi yayıcıları ya da dolandırıcılar için bir “zombi proxy”ye dönüştürmüş olma ihtimali oldukça yüksek.

Gerçek anlamda çevrimiçi gizlilik temel bir hak olmalı, ancak gerçekte bu, süregelen bir mücadeledir. Dünya çapında herkes için bu mücadeleyi kazanmak, öncelikle 911 S5 gibi gerçek tehditlere karşı uyanık olmak ve kendimizi savunmak için doğru araçları seçmek anlamına gelir. Ücretsiz VPN’ler bu tür araçlar değildir.

---

Nym, Ücretsiz VPN’lere Karşı Çıkıyor

Bu, ücretsiz VPN pazarını derinlemesine inceleyen Nym serisinin ilk makalesidir. Bu dizi, ücretsiz VPN’lerin veri toplama uygulamalarını; kasıtlı olarak belirsiz tutulan rıza sözleşmelerini; verilerimizi nasıl, neden ve kime sattıklarını; ve müdahaleci reklam uygulamalarını ele alacak.