Tarayıcı eklentisi: ShadyPanda kontrol listesi

ShadyPanda, 2024 yılının ortasından itibaren Chrome ve Edge üzerinde kamuya açık raporlara göre 4,3 milyondan fazla kuruluma ulaşan eklentilerin sessizce zararlı sürümlerle güncellenmesiyle yürüyen bir tarayıcı eklentisi kampanyasıdır. Onu sıra dışı kılan teknik bir yenilik değil, zamanlamaydı: saldırganlar önce yıllarca gerçek bir ürün gibi çalışan eklentiler yayımladı, kullanıcı tabanı ve mağaza puanı topladı, sonra bu güveni tek bir güncellemeyle nakde çevirdi.

Aşağıda dağıtım modelini, izinlerin nerede kötüye kullanıldığını, kullanıcı ve yönetici için kontrol listesini ve Türkiye'deki hukuki çerçeveyi ele alıyoruz. Amaç savunma: izleri tanımak, zararlı eklentiyi fark etmeyi ve kaldırmayı kolaylaştırır.

Kampanyayı farklı kılan neydi

Çoğu zararlı eklenti kampanyası kısa ömürlüdür: sahte bir geliştirici hesabı, birkaç haftada toplanan kurulum, ardından mağazadan kaldırılma. ShadyPanda tersini yaptı. Eklentiler aylarca, hatta yıllarca vaat ettikleri işi gerçekten yaptı; kimisi önbellek temizledi, kimisi yeni sekme sayfasını kişiselleştirdi, kimisi belge dönüştürdü. Olumlu yorumlar birikti, kullanıcı sayısı arttı, eklentiler arama sonuçlarında güvenilir göründü.

2024 ortasında devreye giren sürümler aynı arayüzü korudu; değişen şey arka plandaki kod oldu. Görünür bir bozulma olmadığı için fark edilmesi zorlaştı. Bazı örneklerde dağıtım, sahte indirme siteleri ve arama reklamlarıyla mağaza dışına da taşındı.

Eklenti izinleri nerede kötüye kullanılıyor

Bir eklenti, kurulum sırasında onayladığınız izinlerle çalışır. Tek tek dar görünen bu izinler birleştiğinde ciddi bir yetki kümesi oluşur:

Tüm sitelerdeki verileri okuma ve değiştirme: bankacılık, e-posta ve kurumsal uygulamalar dahil her sayfanın içeriğine erişim.
Çerez erişimi: oturum belirteçlerinin okunması; parola bilinmeden açık hesaplara giriş anlamına gelir.
Arka plan servis çalışanı: sekme kapalıyken bile çalışan, veriyi dışarıya gönderen kod.
Ağ isteklerini kesme: sayfa yüklenirken isteklerin değiştirilmesi veya yönlendirilmesi.
Pano ve form içeriği: kopyalanan metinlerin, kart numaralarının ve parolaların izlenmesi.

Dikkat çeken nokta, bu izinlerin çoğunun beyan edilen işlev için makul görünmesiydi: yeni sekme sayfasını değiştiren bir aracın tarama geçmişine erişmesi ilk bakışta tuhaf karşılanmaz. Tehlike tam burada; okunmadan onaylanan her izin bir veri toplama kanalına dönüşebilir.

Raporlarda adı geçen eklenti grupları

Araştırmacıların yayımladığı listelerde öne çıkanlar dört başlıkta toplanıyor: önbellek temizleyici araçlar, yeni sekme ve duvar kağıdı eklentileri, belge dönüştürme araçları ve ücretsiz katmanı olan VPN eklentileri. Ortak özellikleri, milyonlarca kuruluma ulaşmaları ve mağaza doğrulama işareti taşımalarıdır.

Buradan çıkan ders şudur: doğrulama bir güvenlik garantisi değil, geliştiricinin kimlik bilgilerinin bir kez kontrol edildiğini gösterir. Bu yüzden "kim yayımlıyor" sorusu kadar "hangi izinleri istiyor, işleviyle uyuşuyor mu" sorusu da sorulmalı.

Enfeksiyonun belirtileri

Kullanıcı tarafında en sık görülen işaretler şunlardır:

Arama sonuçlarının tanımadığınız bir motor üzerinden açılması, reklam bağlantılarına yönlenme.
Yeni sekme sayfası, açılış sayfası veya varsayılan arama sağlayıcısının kendiliğinden değişmesi.
Beklenmedik açılır pencereler ve sayfaya sonradan eklenen reklam blokları.
Oturumların sebepsiz kapanması, başka cihazdan giriş bildirimleri.
Tarayıcı kapalıyken yüksek işlemci kullanımı.
Eklenti listesinde hatırlamadığınız, adı tanıdık markalara benzeyen girişler.

Kurumsal tarafta ağ izleri eklenir: tarayıcı süreçlerinden yeni alan adlarına giden trafik, uç nokta aracında görülen beklenmedik kurulumlar ve profilde izinsiz değişen tercihler. Bu üç sinyal birlikte okunduğunda, eklentinin filo genelinde yayılıp yayılmadığı anlaşılır.

Temizlik: adım adım

Eklenti listesini açın. Chrome için chrome://extensions, Edge için edge://extensions adresine gidin ve tanımadığınız her eklentiyi kaldırın.
İzinleri okuyun. Kalmak istediklerinizin ayrıntı bölümüne bakın; bir hesaplama aracının tüm sitelere erişmesi gereksizdir.
Tarayıcıyı sıfırlayın. Sıfırlama derin ayarları geri alır ama kayıtlı parolaları siler; önce bunları bir parola yöneticisine aktarın.
Tarama verilerini silin. Çerezler, önbellek ve site verileri silinince çalınmış oturum çerezleri geçersizleşir.
Parolaları değiştirin. Sıra önemli: önce temizlik, sonra değişim. E-posta ile başlayın; bankacılık, sosyal medya ve iş araçlarıyla devam edin, açık oturumları kapatın.
İki adımlı doğrulamayı açın. Uygulama tabanlı kod veya donanım anahtarı, çalınmış bir çerezle kalıcı erişimi zorlaştırır.
Uç noktayı tarayın. Tarayıcı dışına dosya bırakılmış olabileceği için tam sistem taraması yapın; kurumsal cihazlarda bu adımı merkezi araç yürütür.

Kurumsal cihazlarda eklenti yönetimi

Yönetici için mesele kullanıcıları tek tek ikna etmek değil, izin verilen kümenin dışına çıkmayı teknik olarak engellemektir. Chrome ve Edge kurumsal ilkeleri onaylı eklenti listesi tanımlamayı, geliştirici modunu kapatmayı ve mağaza dışı kurulumu engellemeyi sağlar; bu ilkeler Intune veya benzeri bir araçla filoya dağıtıldığında kullanıcı tek tıkla zararlı eklenti ekleyemez.

İkinci katman görünürlüktür: yeni kurulumları uç nokta güvenlik aracıyla izlemek ve onaylı listede olmayan her kaydı olay olarak açmak gerekir. Üçüncü katman üç ayda bir yapılan envanter denetimidir; ayrılan çalışanların tarayıcı profillerinin kapatılması da bu listeye dahildir.

Hukuki çerçeve: KVKK, TCK ve BTK

Olayın üç boyutu var. Birincisi ceza hukuku: 5237 sayılı Türk Ceza Kanunu'nun 243. maddesi bilişim sistemine girmeyi, 244. maddesi sistemdeki verileri bozmayı, yok etmeyi, değiştirmeyi, erişilmez kılmayı veya başka bir yere göndermeyi düzenler; kişisel verilerin hukuka aykırı ele geçirilmesi ayrıca 136. madde kapsamındadır. Zararlı bir eklentinin veri toplaması, mağdura suç duyurusu hakkı verir.

İkincisi veri koruma: 6698 sayılı KVKK'nın 12. maddesi veri sorumlusuna teknik ve idari tedbir yükümlülüğü getirir. Kurumsal bir cihazda çalışan tarayıcısı üzerinden kişisel veri sızdıysa bu bir veri ihlalidir ve bildirim yükümlülüğü doğabilir. Bu yüzden müdahale, kanıtın bozulmadan toplanmasıyla başlar; tarayıcı profili, eklenti kimlikleri ve ağ günlükleri saklanır.

Üçüncüsü idari: zararlı dağıtım adresleri 5651 sayılı Kanun kapsamında Bilgi Teknolojileri ve İletişim Kurumu'nun (BTK) erişim engeli ve kaldırma süreçlerine konu olabilir; USOM'a bildirim, aynı altyapının başka kurumlarda görülmesini hızlandırır. Mağaza tarafında Chrome Web Store ve Edge Eklentileri politikaları tek amaç, asgari izin ve şeffaf gizlilik politikası ister; ihlalde eklenti kaldırılır, ancak kaldırılana kadar kurulu cihazlarda çalışmaya devam edebilir.

Sıkça sorulan sorular

Tarayıcımda ShadyPanda olup olmadığını nasıl anlarım?

Eklenti listesini gözden geçirin, arama yönlendirmesini ve açılış sayfasını kontrol edin, tam sistem taraması yapın. Kampanyada adı geçen bir eklentiyi kullandıysanız oturumları kapatıp parolaları değiştirin.

Eklentiyi kaldırmak sorunu tamamen çözer mi?

Çoğu kullanıcı için tarayıcı sıfırlama, veri temizliği ve parola değişimi yeterlidir. Tarayıcı dışına dosya bırakıldıysa uç nokta taraması olmadan temiz demek doğru olmaz.

Firefox ve Safari de etkilendi mi?

Raporlar ağırlıklı olarak Chrome ve Edge'i işaret ediyor. Firefox ve Safari farklı eklenti mimarileri kullanır; bu, aynı yöntemin oralarda işlemeyeceği anlamına gelmez.

Sonradan zararlı hale gelen bir eklenti olabilir mi?

Evet, kampanyanın tamamı bu fikre dayanıyor. Güncelleme sonrası yeni izin talebinde bildirimi okumadan geçmeyin ve envanteri düzenli kontrol edin.

Şirket cihazlarında hangi politika uygulanmalı?

Onaylı eklenti listesi, mağaza dışı kurulumun ve geliştirici modunun kapatılması, yeni kurulumların günlük izlenmesi temel adımlardır.

Sonuç

ShadyPanda'nın başarısı sıfır gün açığından değil, biriken güvenden geldi: kullanıcılar tanıdık arayüze ve mağaza doğrulamasına güvendi, oysa risk kurulumda verilen izinlerde vardı. Savunma sınırlı ve tekrarlanabilir: eklenti sayısını azaltın, yayımcıyı ve izinleri okuyun, izin değişikliklerini ciddiye alın ve olağan dışı davranışı kanıtlanana kadar olay sayın.

Bir bulaşma şüphesi varsa cihazı kullanmaya devam etmeden ekibimizle iletişime geçin; olay müdahalesi ve KVKK bildirim süreçlerini birlikte yürütelim.

ShadyPanda eklenti saldırısı: tarayıcınızda neyi kontrol etmeli