Güvenlik Açığı | Windows 10/11 | Sıfırlama özelliğinin virüsleri temizleme becerisi var mı?

"Sıfırlama ile format aynı şey mi?", "Sıfırlama yaparak virüslerden kurtulabilir miyim?", "Sıfırlama özelliği ne kadar etkili?" sorularına cevap olması için yapılan bir güvenlik testidir.

Test amacı: Windows içerisinde dahili olarak sunulan sıfırlama fonksiyonunun formata bir alternatif olup olamayacağını değerlendirmek, en katı şekilde virüslere karşı etkililiğini görmek ve özelliğin açıklarını tespit etmek.

Test tanımı:
Taze kurulmuş işletim sistemine sıfırlama işlemi yaparken bir virüsün yapabileceği eylemleri taklit ederek sistemde sıfırlamadan sonra bulaşıklığı korumak veya en azından iz bırakmak.

1. Sistem çalışıyorken bir kullanıcı olarak sistem dosyalarında değişiklik yapmak ve sıfırlama özelliğini çalıştırmak. Sıfırlama sonrası orjinal ve yeni dosyanın shasum değerini kontrol etmek.
2. Sistem, sıfırlama özelliği kullanıldıktan sonra yeniden başlatılıyorken bir virüs olarak sistem dosyalarında değişiklik yapmak. Sıfırlama sonrası orjinal ve yeni dosyanın shasum değerini kontrol etmek.
3. Sıfırlamadan sonra da sistemde kalmaya devam edecek notlar bırakmak.

Yukarıdaki işlemleri virüsler ile değil, virüslerin yapacağı eylemleri elle yaparak test edeceğim.

1) Ortam hazırlığı​

1. Microsoft'un sitesinden Windows'u indirin.
2. Shasum doğrulaması yapın.
3. Sanal bilgisayara kurulum yapın.
4. Sanal bilgisayara kurulum yapıldığında sistemi kapatın.
5. Diğer testlerde kullanmak için disk dosyasının 3 kopyasını oluşturun.
6. Bir virüsün, ağ bağlantısını kısmen veya tamamen kesebileceğini öngörerek sanal makinenin ağ bağlantısını kesin.
7. Sanal makine diskini ana makineye bağlamak için libguestfs-tools paketini kurun.
8. Rastgele bir sistem dosyasını gözünüze kestirin.
   • Yapılacak değişiklik yürütülebiliri bozacağı için kritik bir dosya seçmemeye dikkat edin. Sistem sıfırlamasına erişebilmeniz gerekiyor.
   • Örnekleri mevcuttur ki bir virüs, kendini bir başka yürütülebilire bulaştırabilir.
   • Bu testte System32 dizinindeki LAPRXY.DLL dosyasını pırtıklayacağım.
   • Dosyanın orijinal shasum değeri: FCEA47C0ACD7BC9EEC4B93F47F2D8130BAB5380B18C0121B0C4916340AFC73AF
   • 

Ortamımı hazırladım. Son işlem olan kopya oluşturma işlemini de yapıyorum.

Testlere başlayalım.​

Test 1: Sıfırlama işlemi başlatılmadan öne değiştirilen sistem dosyası​

Kullanıcı tarafından veya bir virüs tarafından değiştirilmiş bir sistem dosyası olayından sonra sistemi fabrika ayarlarına döndürürsek dosya ilk haline geri mi gelir? Yoksa hata mı verir? En kötüsünün düşünecek olursak da kurcalanmış bir şekilde yeni sisteme mi geçer? Deneyelim.

1. Dosyayı, misafir işletim sistemi üzerinden değiştirin.
   1. 
   2. Dosyanın özelliklerinden sahipliğini üzerinize alın. Güvenlik sekmesinde bulunur.
   3. Dosya üzerinde ufak bir değişiklik yapın ve kaydedin.
   4. 
   5. Her ne kadar ufak bir değişiklik desem de, kodlaması değiştiğinden büyük ihtimalle çalışmayacaktır.
2. Yeni dosyanın sağlamasını alalım.
   1. 
   2. Dosya değiştirildi.
3. Bu sanal makineyi sıfırlayalım.
   1. 
   2. Sıfırlarken her şeyi kaldır seçeneğini seçin.
   3. Sıfırlamanın tamamlanması için bekleyin.
   4. 
   5. Sıfırlama tamamlandığında dosyaya sağlama testi yapın.

Bu testten başarısız ayrıldı. Beklediğim sonuç en azından "Bu sistem onarılamıyor" gibi bir hata vermesiydi, ama değiştirilmiş dosya yeni sistemde aynen korundu.

Sıfırlama işlemi, sistem dosyalarının kurcalanmasına karşı korunmasızdır.​

Test 2: Dosyaları, geri döndürme işlemi başlamadan önce değiştirmek​

Dosyaları değiştirme adımı kolaylıkla geçti. Ekstra zaafiyet aramak için 2. testi yapmaya gerek yok, çünkü zaten onda da başarısız olacak. 3. teste geçiyoruz. Sistem sorunsuz çalıştığından yine aynı imaj üzerinden ilerleyelim.

Test 3: Sistemde ekstra dosya bırakmak​

Bir not veya yürütülebilir olabilir, herhangi bir ekstra dosyayı sıfırlamadan sonra saklama testi. Bu testte açıkçası pek umudum yok, çünkü dosya yolundan dolayı bir şekilde silinecektir zaten. Yine de, sistemin dosya yollarını sakladığı dosya bulunup kurcalanarak bu önlem geçersiz kılınabilirdir.
Fazla düşünmeden düz testimizi yapalım.

1. System32 klasörüne "readme.txt" dosyası oluşturun.
2. 
3. Sistemi, ayarlardaki sıfırlama özelliği ile sıfırlayın.
4. 
5. Dosya kaldırılmış.

Yeni dosya eklenmesi kolay bir şekilde mümkün değil demek ki.


Sıfırlama özelliği yalnızca sistemi hafifletmek için kullanılabilir. Zararlı yazılımlardan kurtulmak için etkili değildir.