{"id":291,"title":"Windows Olay G\u00fcnl\u00fc\u011f\u00fc Arac\u0131n\u0131n Tehlikesi (Wevtutil.exe)","content":"

\"\"<\/p>

Wevtutil<\/p>

Wevtutil.exe bu \u00f6zellikleri nedeniyle iki ucu keskin bir k\u0131l\u0131\u00e7t\u0131r; Yasal faaliyetler i\u00e7in \u00e7ok yararl\u0131 olsa da sald\u0131rganlar\u0131n izlerini gizlemelerine veya verileri \u00e7almalar\u0131na da yard\u0131mc\u0131 olabilir.Wevtutil.exe, sistem y\u00f6neticileri taraf\u0131ndan denetim veya sorun giderme amac\u0131yla g\u00fcnl\u00fckleri toplamak ve d\u00fczenlemek i\u00e7in s\u0131kl\u0131kla kullan\u0131l\u0131r. Wevtutil.exe\u2019nin yetene\u011fi, kullan\u0131m amac\u0131 ne olursa olsun, zararl\u0131 ama\u00e7lar i\u00e7in kullan\u0131labilir. Bir Windows olay g\u00fcnl\u00fc\u011f\u00fc yard\u0131mc\u0131 program\u0131 olan Wevtutil.exe, g\u00fcnl\u00fckleri s\u0131zma amac\u0131yla d\u0131\u015fa aktarmak, belirli olay verilerini sorgulamak veya g\u00fcnl\u00fckleri temizlemek i\u00e7in Living Off the Land\u2019de (LOLBAS) k\u00f6t\u00fc ama\u00e7l\u0131 olarak kullan\u0131labilir. Bu teknikler, k\u00f6t\u00fc ama\u00e7l\u0131 eylemler ger\u00e7ekle\u015ftirmek i\u00e7in g\u00fcvenilir, \u00f6nceden y\u00fcklenmi\u015f Windows ara\u00e7lar\u0131na dayan\u0131r ve s\u0131kl\u0131kla g\u00fcvenlik \u00f6nlemlerini fark edilmeden atlat\u0131l\u0131r.<\/p>

C:\\Users\\user>Wevtutil.exe cl Application<\/p>

\"\"<\/picture><\/p>

S\u0131n\u0131rl\u0131 bir hesapta bu i\u015flem yap\u0131lmaz iken yetki y\u00fckseltilmi\u015f bir hesapta i\u015flem yap\u0131labilir.<\/p>

\"\"<\/picture><\/p>

\"\"<\/picture><\/p>

Windows Olay G\u00f6r\u00fcnt\u00fcleyicisi\u2019nde, G\u00fcvenlik g\u00fcnl\u00fc\u011f\u00fc temizlendi\u011finde Olay Kimli\u011fi 1102 olu\u015fturulur. Bu olay, \u00f6nemli bir g\u00fcvenlik g\u00f6stergesi olan denetim g\u00fcnl\u00fcklerinin temizlendi\u011fini g\u00f6sterir.<\/p>

Varsay\u0131lan olarak Windows, Uygulama veya Sistem gibi g\u00fcvenlikle ilgili olmayan g\u00fcnl\u00fcklerin silindi\u011fini g\u00f6steren olaylar\u0131 kaydetmez. Y\u00f6neticiler, g\u00fcnl\u00fck kald\u0131rma i\u015flemlerini izlemek i\u00e7in Denetim \u0130lkelerini etkinle\u015ftirerek bu durumu hafifletebilir.<\/p>

Ayr\u0131ca, wevtutil qe<\/strong> komutu, Wevtutil.exe\u2019nin olay g\u00fcnl\u00fcklerini XML format\u0131nda d\u0131\u015fa aktarmas\u0131na olanak tan\u0131r. G\u00fcnl\u00fckler, kimlik bilgileri veya dahili etkinlik i\u015faretleri gibi bir sald\u0131rgan\u0131n \u00e7\u0131karabilece\u011fi ve s\u0131zd\u0131rabilece\u011fi hassas bilgiler i\u00e7erebilir. Wevtutil.exe, g\u00fcnl\u00fcklerin hassas bir \u015fekilde sorgulanmas\u0131n\u0131 m\u00fcmk\u00fcn k\u0131larak sald\u0131rganlara kullan\u0131c\u0131 veya sistem etkinli\u011fi hakk\u0131nda bilgi verir.<\/p>

wevtutil.exe\u2019yi LOLBAS ara\u00e7lar\u0131 zincirinin bir par\u00e7as\u0131 olarak kullanmak, etkinliklerin anla\u015f\u0131lmas\u0131n\u0131 daha da zorla\u015ft\u0131rabilir. \u00d6rne\u011fin bir sald\u0131rgan \u015funlar\u0131 yapabilir:<\/p>

Wevtutil.exe\u2019yi kullanarak g\u00fcnl\u00fckleri d\u0131\u015fa aktar\u0131r, D\u0131\u015fa aktar\u0131lan dosyay\u0131 makecab.exe ile s\u0131k\u0131\u015ft\u0131r\u0131r ard\u0131ndan Dosyay\u0131 uzak bir konuma y\u00fcklemek i\u00e7in certutil.exe\u2019yi kullanabilir<\/i><\/p><\/blockquote>

Kurulu\u015flar\u0131n bu yeni wevtutil.exe k\u00f6t\u00fcye kullan\u0131m\u0131yla m\u00fccadele etmek i\u00e7in geli\u015fmi\u015f izlemeyi, olay g\u00fcnl\u00fc\u011f\u00fc b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc ve davran\u0131\u015fsal analiti\u011fi dikkate almas\u0131 gerekir.<\/p>

Geli\u015fmi\u015f denetim ilkelerinin etkinle\u015ftirilmesi, G\u00fcvenlik d\u0131\u015f\u0131 g\u00fcnl\u00fckler i\u00e7in bile alg\u0131lama yeteneklerini geli\u015ftirebilir ve olaylar\u0131 g\u00fcnl\u00fc\u011fe kaydedebilir.<\/p>

Ek olarak, bu davran\u0131\u015flar\u0131 anlamak, hem bu yard\u0131mc\u0131 programdan yararlanan k\u0131rm\u0131z\u0131 tak\u0131mlar hem de k\u00f6t\u00fcye kullan\u0131m\u0131 tespit edip en aza indirmek isteyen savunmac\u0131lar i\u00e7in kritik \u00f6neme sahiptir.<\/p>

Di\u011fer bir zafiyet ise;<\/p>

- Sald\u0131rganlar Windows Event Log arac\u0131n\u0131 k\u00f6t\u00fcye kullanarak zararl\u0131 yaz\u0131l\u0131mlar\u0131 saklayabiliyorlar
- Bu teknik \u201cEchoTrail\u201d ad\u0131 verilen bir fileless malware sald\u0131r\u0131 y\u00f6ntemi
- Event Log\u2019lar i\u00e7ine zararl\u0131 payload\u2019lar gizlenebiliyor
- Geleneksel antivir\u00fcs yaz\u0131l\u0131mlar\u0131n\u0131n tespiti zor<\/p>

Nas\u0131l \u00c7al\u0131\u015f\u0131yor:
1. Sald\u0131rgan Event Log servisini hedefliyor
2. Zararl\u0131 kod Event Log i\u00e7ine enjekte ediliyor
3. Kod bellek i\u00e7inde \u00e7al\u0131\u015f\u0131yor (fileless)
4. Normal Event Log aktivitesi gibi g\u00f6r\u00fcn\u00fcyor<\/p>

Korunma Y\u00f6ntemleri:<\/p>

  1. Event Log G\u00fcvenli\u011fi:<\/li><\/ol>

    # Event Log izinlerini s\u0131k\u0131la\u015ft\u0131rma

    wevtutil sl Security \/ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)<\/p>

    2. Monitoring:
    - Event Log aktivitelerini d\u00fczenli izleyin
    - Anormal b\u00fcy\u00fckl\u00fckteki loglar\u0131 tespit edin
    - \u015e\u00fcpheli Event Log servis davran\u0131\u015flar\u0131n\u0131 takip edin<\/p>

    3. Best Practices:
    - Event Log servisine eri\u015fimi k\u0131s\u0131tlay\u0131n
    - G\u00fcvenlik g\u00fcncellemelerini d\u00fczenli yap\u0131n
    - EDR (Endpoint Detection and Response) \u00e7\u00f6z\u00fcmleri kullan\u0131n
    - PowerShell logging\u2019i aktif tutun<\/p>

    4. \u015e\u00fcpheli \u0130\u015faretler:
    - Beklenmedik Event Log b\u00fcy\u00fckl\u00fck art\u0131\u015flar\u0131
    - Anormal servis davran\u0131\u015flar\u0131
    - Event Log servisinde yetkisiz de\u011fi\u015fiklikler
    - \u015e\u00fcpheli PowerShell aktiviteleri<\/p>

    Bu tehdide kar\u015f\u0131 sistemlerinizi korumak i\u00e7in yukar\u0131daki \u00f6nlemleri uygulamak \u00f6nemlidir.<\/p>","excerpt":"Wevtutil.exe bu \u00f6zellikleri nedeniyle iki ucu keskin bir k\u0131l\u0131\u00e7t\u0131r; Yasal faaliyetler i\u00e7in \u00e7ok yararl\u0131 olsa da sald\u0131rganlar\u0131n izlerini gizlemelerine veya verileri \u00e7almalar\u0131na da yard\u0131mc\u0131 olabilir.Wevtutil.exe, sistem y\u00f6neticileri taraf\u0131ndan denetim veya sorun giderme amac\u0131yla g\u00fcnl\u00fckleri toplamak ve d\u00fczenlemek i\u00e7in s\u0131kl\u0131kla kullan\u0131l\u0131r.","created_at":"2024-12-15 14:35:45","updated_at":"2026-09-07 11:05:16","category_id":7,"view_count":1194,"reading_time":4,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2024-12-15 14:35:45","featured_image":"resimyok.jpg","slug":"windows-olay-gunlugu-aracinin-tehlikesi-wevtutil-exe","category_name":"Cyber Security","category_slug":"cyber-security","category_color":"#10b981"}