Stuxnet ve Endüstriyel Malware Analizi

Stuxnet, yalnızca bir zararlı yazılım değil; siber savaşın fiilen başladığı nokta olarak kabul edilir. Geleneksel IT sistemlerini değil, doğrudan endüstriyel kontrol sistemlerini (ICS/SCADA) hedef almasıyla tarihte bir ilktir. Bu makalede Stuxnet’i merkez alarak endüstriyel malware kavramını, çalışma mantığını ve adli analiz yaklaşımını ele alıyoruz.

1. Stuxnet Nedir?

Stuxnet, 2010 yılında keşfedilen, son derece gelişmiş ve hedef odaklı bir zararlı yazılımdır. Temel amacı:

- Siemens PLC’leri hedef almak
- Fiziksel endüstriyel süreçleri sabote etmek
- Aynı anda operatörü yanıltmak

2. Endüstriyel Malware Nedir?

Endüstriyel malware; klasik zararlılardan farklı olarak:

- IT sistemlerinden çok OT (Operational Technology) katmanını hedef alır
- PLC, RTU, HMI gibi bileşenlerle doğrudan etkileşir
- Fiziksel süreçleri manipüle eder

Hedef alınan sistemler:

- Elektrik santralleri
- Su arıtma tesisleri
- Petrol & gaz altyapıları
- Üretim hatları

3. Stuxnet’in Çalışma Mimarisi

Stuxnet çok katmanlı bir yapıya sahiptir:

- Bulaşma (Initial Infection)
- Yayılma (Propagation)
- Hedef Tespiti (Fingerprinting)
- PLC Manipülasyonu
- Gizleme ve Sabotaj

1USB → Windows Zero-Day → Siemens Step7
2→ PLC Payload → Physical Damage

4. Bulaşma ve Yayılma Teknikleri

Stuxnet’in kullandığı yöntemler:

- USB bellekler (air-gapped ağlar için)
- LNK (kısayol) zafiyeti
- Yetkili dijital sertifikalarla imzalanmış sürücüler
- SMB ve ağ paylaşımları

5. PLC Seviyesinde Saldırı (Asıl Tehlike)

Stuxnet’in en kritik yönü:

- PLC’ye zararlı ladder logic yüklemesi
- Motor hızlarını belirli aralıklarla değiştirerek
- Fiziksel ekipmanı yıpratması

1IF motor_speed == normal THEN
2increase_speed();
3decrease_speed();
4ENDIF

6. Endüstriyel Malware’de Gizleme (Stealth)

Stuxnet:

- PLC’den okunan verileri manipüle eder
- HMI ekranına sahte “normal” veriler gönderir
- Operatörün durumu fark etmesini engeller

7. Adli Bilişim Açısından Endüstriyel Malware Analizi

İncelenen başlıca deliller:

- PLC firmware ve logic dump’ları
- HMI logları
- SCADA alarm geçmişi
- USB ve taşınabilir medya kayıtları
- Ağ trafiği (Modbus, Profibus, S7)

1# PLC logic karşılaştırma (baseline vs current)
2diff plc_clean.bin plc_suspect.bin

8. Stuxnet Sonrası Ortaya Çıkan Endüstriyel Malware’ler

Stuxnet, bir dönüm noktası oldu. Ardından:

- Havex
- Industroyer
- Triton / Trisis
- BlackEnergy (ICS modülleri)

gibi OT-odaklı zararlılar ortaya çıktı.

9. Savunma ve Tespit İpuçları

- PLC logic baseline’ları sakla
- USB kullanımını fiziksel olarak sınırla
- OT ağı ile IT ağını kesin ayır
- Anomali tabanlı izleme uygula
- Firmware ve logic değişimlerini imzala

Stuxnet, siber saldırıların yalnızca dijital değil fiziksel dünyayı da etkileyebileceğini kanıtlamıştır. Endüstriyel malware’ler; karmaşık, hedefli ve yüksek maliyetlidir. Bu nedenle savunma yaklaşımı da klasik IT güvenliğinin ötesine geçmeli; adli bilişim, süreç mühendisliği ve OT güvenliği birlikte ele alınmalıdır. Stuxnet sonrası dönem, siber güvenlikte yeni bir çağın başlangıcıdır.

#AdliBilişim #kaynak