[Çözüldü] Sürekli Smart ARP, UDP Flood ve Smart DNS saldırısı alıyoruz.

Şöyle kısa bir araştırma yaptığımda bu atakların neredeyse çoğunun panda tarafından görüldüğünü anladım. Acaba panda içerisinde bir proxy mekanizması bunu tetikliyor olabilir mi? Ayrıca bu tip saldırılarda anlatılan çözüm önerilerine baktığımda;

İşletim sistemlerinin up to date olması,

Kullanılan 3. parti yazılımlara bakılması,

DNS için proxy kullanılıp kullanılmamasına bakılması.

Bir de şunu sormak istiyorum. Panda nasıl uzaktaki saldırganın mac adresini biliyor. O pc ile remote connection oluşturan bir cihazın mac adresini nasıl biliyor? Uygulama katmanından ancak haberleşirler veya bir ajan çalışmalıki mac leri size versin. Bence pandadan kaynaklı bir durum bu. Basit bir test yaparak anlayabilirsiniz hocam. 

Cihaza wireshark kurun. 

1 gün trafiği dinleyin, paketleri save edin.

Panda antivirüsü kaldırıp tekrar aynı işlemi yapın.

Panda nın attığı uyarı ile pandasız gelen trafikte filtreleme yapın.

Bunun neticesinde sonuç ortaya çıkacaktır.

Gönderen: Kadir YAPAR

Şöyle kısa bir araştırma yaptığımda bu atakların neredeyse çoğunun panda tarafından görüldüğünü anladım. Acaba panda içerisinde bir proxy mekanizması bunu tetikliyor olabilir mi? Ayrıca bu tip saldırılarda anlatılan çözüm önerilerine baktığımda;

İşletim sistemlerinin up to date olması,

Kullanılan 3. parti yazılımlara bakılması,

DNS için proxy kullanılıp kullanılmamasına bakılması.

Bir de şunu sormak istiyorum. Panda nasıl uzaktaki saldırganın mac adresini biliyor. O pc ile remote connection oluşturan bir cihazın mac adresini nasıl biliyor? Uygulama katmanından ancak haberleşirler veya bir ajan çalışmalıki mac leri size versin. Bence pandadan kaynaklı bir durum bu. Basit bir test yaparak anlayabilirsiniz hocam. 

 

Cihaza wireshark kurun. 

1 gün trafiği dinleyin, paketleri save edin.

Panda antivirüsü kaldırıp tekrar aynı işlemi yapın.

Panda nın attığı uyarı ile pandasız gelen trafikte filtreleme yapın.

Bunun neticesinde sonuç ortaya çıkacaktır.

Pandayı satın aldıgımız yerde teknik ekiplerine sordugumda şu cevabı aldım;

"Ağda ağ yazıcısı ve nas var ise normal çünkü ip adresi iç ip dış ip değil, Smart arp ağ üzerinde yazıcıdan tarama yaparken bilgisayarları listeleme esnasında ağ taraması yaptığında oluşuyor, Udp portu ile ilgili iletişim kurup kurmamasına göre değişir yazıcının" dedi.

Önemli degil gibisine getirdi. Pandaları kaldırıp test etmeyide gözüm almıyor açıkcası. Bu ay süresi boluyor pandanın. Belki farklı bir ürüne geçerek sürdürmek doğru olacak. Ama genede öncesinde bu attackları çözmek lazım gibi geliyor. İlk etapta trafiği dinlemek doğru olacak sanırım. 

Gönderen: Kadir YAPAR

Şöyle kısa bir araştırma yaptığımda bu atakların neredeyse çoğunun panda tarafından görüldüğünü anladım. Acaba panda içerisinde bir proxy mekanizması bunu tetikliyor olabilir mi? Ayrıca bu tip saldırılarda anlatılan çözüm önerilerine baktığımda;

İşletim sistemlerinin up to date olması,

Kullanılan 3. parti yazılımlara bakılması,

DNS için proxy kullanılıp kullanılmamasına bakılması.

Bir de şunu sormak istiyorum. Panda nasıl uzaktaki saldırganın mac adresini biliyor. O pc ile remote connection oluşturan bir cihazın mac adresini nasıl biliyor? Uygulama katmanından ancak haberleşirler veya bir ajan çalışmalıki mac leri size versin. Bence pandadan kaynaklı bir durum bu. Basit bir test yaparak anlayabilirsiniz hocam. 

 

Cihaza wireshark kurun. 

1 gün trafiği dinleyin, paketleri save edin.

Panda antivirüsü kaldırıp tekrar aynı işlemi yapın.

Panda nın attığı uyarı ile pandasız gelen trafikte filtreleme yapın.

Bunun neticesinde sonuç ortaya çıkacaktır.

bugün smart dns hatası alan bir pc de sadece sabahtan sadece bilgisayarı açtırdım. Başka her hangi bir işlem yapmamasını istedim. Bu şekilde 5 dk geçmeden direk "Smart DNS" blok bilgisi geldi. Bloklanan adres 195.175.39.49 ipsi ve "ping -a" ile isim çözümledigimde; dns49.turktelekom.com.tr olarak pinge cevap verdi. Dışarıdan gelen bir saldırı mı demek bu?

Ayrıca, bugün pandayı kaldırıp, elimde lisanslı bulunan bir kaspersky endpoint programı kurarak taratmayı düşünüyorum. Sizin dediginiz gibi network trafigini takip ediyim dedim çok karşışık geldi açıkcası.

Panda 'dan bir arkadaş aradı ve verdiği bilgiye göre saldırı olarak görmüyorlarmış. Bu pandanın geliştirdiği bir sistem olduğu için panda tarafında görünüyormuş ve çok hassas ayarlandığı için bu uyarıları alıyormuşuz. Antivirüs programı üzerinden firewall kullanmak bu tip durumları doğuruyormuş. "Ben windows üzerindeki firewall yetkisini panda ya atamıştım." Bu tip durumların virüs programının çok hassas davrandığı için, ortamda bulunan vpn yapısını, kurulu bir teamviewer programını ya da başka kurulu bir programın sürekli ping halinde olmasından kaynaklı olabilir ve bu şekilde görünüyor baktığım kadarıyla dedi. Baktığımda da gerçekten panda kullanıcıları bu Smart DNS hatasını almış bugüne kadar. SAnırım kendi geliştirikleri bir teknoloji ile alakalı gibi. Ama genede emin olmak adına hata veren pc lerden birinde kademeli olarak bazı programları off duruma düşürmeyi, belki tamamen kaldırmayı denicem. 

Bu arada panda ile yola devam etsem mi etmesem mi kararsızım. Bir yerde bakıcak olursak gerçektende bir saldırı ise bunu tesbit etmiş ve bloklamış. Yani görevini yerine getirmiş ve 2 senedir bir problemde yaşamadık açıkcası. Siz ne düşünürsünüz ve önerebileceginiz bir program var mı? gerçi pek cevap veren yok ama 🙂

Selamlar  @tuncaypolat,

Panda  olunca  pek cevap veren olmayabiliyor şahsen kurumsal Panda Av tarafında hiç  tecrübem bulunmamakta Av sistemini  değiştirmeyi  düşünüyorsanız  meşakkatli bir süreç  olacaktır  mevcut  client sayınız  ve  sisteminizin  durumuna  göre  ancak Av  tarafında Comodo ITSM ve Kaspersky Business paketleri  olabilir her  ürünün  farklı farklı avantajları ve  kullanım  kolaylığı var kullanıcı sayınıza  göre  geçiş yapacağınız  ürüne  karar verdikten sonra POC çalışması da  yapıldıktan sonra  geçiş işlemleri  tamamlanabilir.