ConnectWise ScreenConnect & RMM Ajanlarına Yönelik Solucan Saldırıları: Windows Servis İzolasyonu ve EDR Denetim Kılavuzu
iOS/iPadOS compliance policy: Corp_iOS_18_Enterprise_Compliance
| Ayar Adı (Policy Setting) | Durum / Kural | Hedef Güvenlik Seviyesi |
|---|---|---|
| Jailbroken devices (Kök Erişimi) | Block | Cihaz uyumsuz işaretlenir ve şirket ağına erişimi engellenir. |
| Minimum OS Version | 18.0 (veya üzeri) | Eski güvenlik açıklarına sahip sürümler otomatik reddedilir. |
| Passcode Required Type | Alphanumeric (Min 8) | Biyometrik kilit veya 8 haneli karmaşık parola zorunluluğu. |
| Declarative Device Mgmt (DDM) | Enabled (Otonom) | İlke değişikliklerine cihaz yerel düzeyde milisaniyeler içinde yanıt verir. |
| Wi-Fi 7 SCEP EAP-TLS Profile | Enforced (Sertifikalı) | Parolasız 802.1X kurumsal ağ bağlantısı otomatik dağıtılır. |
NewsAgent Yönetici & Teknik Özeti
Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar
RMM Ajan Güvenliği ve Süreç İzolasyonu
Siber saldırganlar kurumsal ağlara sızdıktan sonra tespit edilmemek amacıyla şirketlerin meşru Uzaktan Yönetim ve İzleme (RMM) araçlarını (ScreenConnect, AnyDesk, TeamViewer) kendi kontrol sunucularına bağlayarak birer kalıcı arka kapı (Living-off-the-Land) olarak kullanmaktadır. Son günlerde solucan (worm) özellikleri kazandırılan değiştirilmiş ScreenConnect binary'lerinin kurumsal domain sunucularında yayıldığı raporlanmıştır.
Windows Servis ve Süreç Denetim Tablosu
| Bileşen | Riskli Davranış | Kurumsal EDR / Güvenlik Kuralı |
| :--- | :--- | :--- |
| Üst Süreç (Parent) | ScreenConnect.ClientService.exe | Yalnızca meşru ConnectWise LLC dijital imzası taşımalıdır. |
| Alt Süreç (Child) | cmd.exe /c whoami veya powershell -enc | EDR / ASR kuralları ile RMM'in kabuk (shell) başlatması engellenmelidir. |
| Ağ İletişimi | Rastgele IP adreslerine 443 / 8041 portu | Şirketin merkez RMM sunucu IP havuzu dışındaki bağlantılar engellenmelidir. |
| Servis Hesabı | NT AUTHORITYSYSTEM | En az yetki ilkesi (Least Privilege) ile özel servis hesabına çekilmelidir. |
PowerShell ile RMM Anomali ve Tehdit Avcılığı (Threat Hunting) Betiği
Aşağıdaki betik yerel veya etki alanı makinelerindeki RMM servislerini tarar, alt süreç ilişkilerini ve şüpheli dış bağlantıları listeler:
| 1 | # 1. Sistemde Calisan RMM Sureclerini Tespit Edin |
| 2 | $RMMProcesses = Get-Process -IncludeUserName | Where-Object { |
| 3 | $_.ProcessName -match "ScreenConnect|AnyDesk|TeamViewer|AteraAgent|NinjaRMMAgent" |
| 4 | } |
| 5 | |
| 6 | Write-Host "=== RMM SUREC VE TEHDIT AV DENETIMI ===" -ForegroundColor Cyan |
| 7 | |
| 8 | if (-not $RMMProcesses) { |
| 9 | Write-Host "[OK] Calisan supheli RMM istemcisi bulunamadi." -ForegroundColor Green |
| 10 | } else { |
| 11 | foreach ($proc in $RMMProcesses) { |
| 12 | Write-Warning "[DIKKAT] Aktif RMM Sureci: $($proc.ProcessName) (PID: $($proc.Id)) - Kullanici: $($proc.UserName)" |
| 13 | |
| 14 | # 2. Dijital Imza Bütünlüğünü Dogrulayin |
| 15 | $sig = Get-AuthenticodeSignature -FilePath $proc.Path |
| 16 | if ($sig.Status -ne "Valid") { |
| 17 | Write-Host " [KRITIK HATA] Imzasiz veya Sahte RMM Binary: $($proc.Path)" -ForegroundColor Red |
| 18 | } else { |
| 19 | Write-Host " [GECERLI IMZA] Yayinci: $($sig.SignerCertificate.Subject)" -ForegroundColor DarkGreen |
| 20 | } |
| 21 | |
| 22 | # 3. Bu Surecin Baslattigi Alt Surecleri (Child Process) Denetleyin |
| 23 | $children = Get-CimInstance Win32_Process | Where-Object { $_.ParentProcessId -eq $proc.Id } |
| 24 | foreach ($child in $children) { |
| 25 | Write-Host " -> [SUPHELI ALT SUREC]: $($child.Name) | Komut: $($child.CommandLine)" -ForegroundColor Yellow |
| 26 | } |
| 27 | |
| 28 | # 4. Surece Ait Aktif TCP Baglantilarini Kontrol Edin |
| 29 | $conns = Get-NetTCPConnection -OwningProcess $proc.Id -ErrorAction SilentlyContinue |
| 30 | foreach ($conn in $conns) { |
| 31 | Write-Host " -> [AG BAGLANTISI]: $($conn.RemoteAddress):$($conn.RemotePort) (Durum: $($conn.State))" -ForegroundColor Cyan |
| 32 | } |
| 33 | } |
| 34 | } |
Microsoft Defender for Endpoint (MDE) ASR Kuralı
Kurumsal Intune ortamlarında 'Attack Surface Reduction (ASR)' ilkesi aktif edilerek:
- Block process creations originating from PSExec and WMI commands
- Block execution of potentially obfuscated scripts
kuralları devreye alınmalı, yetkisiz RMM yazılımlarının etki alanında yayılması proaktif olarak engellenmelidir.
İlgili Diğer Güncel IT & Teknoloji Haberleri
Tümünü Gör
Altyapı YönetimiApple iOS 18 & macOS Sequoia Kurumsal Dağıtım Kılavuzu: Intune Declarative Device Management (DDM), 802.1X EAP-TLS ve SCEP Sertifika Yapılandırması
Siber GüvenlikFortinet FortiOS 7.6.2 & 7.4.6 Güvenlik Güncellemesi: SSL-VPN yerine FIDO2 Passkey ile ZTNA ve FortiOS CLI Karantina Rehberi
Altyapı Yönetimi