VirusTotal'a Dosya Yüklemek: Gizlilik Riski Gerçekten Var

VirusTotal, 90'tan fazla antivirüs motoruyla bir dosyayı saniyeler içinde tarama yapan harika bir araç. Ama yüklediklerin hemen sonra tüm dünyanın görebileceği bir veritabanına giriyor. Bu basit gerçek sektörde sık atlanıyor.

VirusTotal'a yüklediğin dosya, şifreleme anahtarı, API belgesi, kaynak kod parçası, müşteri verisi içerse bile, platform bunu herkese açık tutuyor. Dosya hash'i (benzersiz kimliği) anında aranabilir hale geliyor. Bir saldırgan, yüklediğin dosyayı görerek hedef hakkında bilgi toplamaya başlayabilir: şirket hangi yazılımı kullanıyor, ne tür sistem mimarisine sahip, güvenlik seviyesi nedir.

İyi niyetli bir araştırmacı da aynı şekilde. Eğer sen bir şirkete ait hassas yazılımı test ediyorsan ve VirusTotal'a yüklediysen, rakipler de bunu görebilir. Yükleme tarihine kadar, dosya boyutuna kadar, hatta dosya içindeki string'lere kadar erişebilirler. Bir kez yüklendikten sonra silme seçeneği yoktur; VirusTotal'ın arşivinde kalır.

Gerçek bir örnek: Bir şirketin dahili araç yüklendi, içinde API anahtarı vardı (bunu kontrol etmeden). Yükleme 48 saat sonra fark edildi, ama API anahtarı zaten değiştirilmek zorunda kaldı. Zarar döndürülemez.

Birçok kişi "VirusTotal özel bir dosya" seçeneğini kullanırsa gizli kalır sanıyor. Yanlış. Özel yükleme (API ile) bile hash'i kamu veritabanına giriyor. Fark sadece dosya içeriğinin insan tarafından indirilemeyeceğidir; ama metadata, analiz sonuçları, yükleme tarihi herkese açık. Bir saldırgan hash'i bilirse, dosyayı başka kaynaklardan bulup yine de inceleyebilir.

Diğer yanılgı: "Hiç kimse hash'i bulamaz ki." Bulabilir. Yükleme tarihini, dosya boyutunu, içindeki string'leri biliyor isen, ya da dosya yeterince nadir ise, hash tersine mühendislik yapılabilir. Üstelik bazı araştırmacılar VirusTotal'ın tüm veritabanını periyodik olarak indiriyor.

Eğer dosya hassas ise, VirusTotal'ı kullanma. Bunun yerine:

Özel bir sandboxı kendi sunucunda çalıştır. Cuckoo Sandbox, CAPE ya da Any.run gibi araçları kendi ortamında kurabilirsin. Yükleme tamamen senin kontrolünde kalır.

Sınırlı erişimli bir tarama servisi kullan. Bazı kurumsal güvenlik çözümleri (ör. Falcon Sandbox) hassas ortamlar için özel hesap sunuyor. Dosya dışarıya çıkmaz.

VirusTotal'ı sadece genel dosyalar için kullan. Bulduğun bir malware örneği, internetten indirdiğin şüpheli bir.exe, açık kaynak yazılımı kontrol etmek için evet. Ama kendi kodun, şirket verisi, müşteri bilgisi için hayır.

Hash'i yükle, dosyayı değil. Eğer sadece tarama sonucunu görmek istiyorsan, dosyanın SHA-256 hash'ini VirusTotal'a sor. Eğer hash önceden taranmışsa, sonuç gelir. Dosya yüklenmez.

VirusTotal'ın gizlilik riski fark edilmeyecek kadar küçük değildir. Özellikle kurumsal ortamlarda, hassas proje ve fikri mülkiyet söz konusu olduğunda, bir dosya yüklemeden önce "Bu herkese açık olabilir mi?" sorusunu sor. Cevap evet ise, başka yol ara. Araştırmacılar ve güvenlik uzmanları bu ayrımı yapmazlarsa, zarar sadece kendilerine değil, çalıştıkları kuruluşlara da ulaşır.