Veri Sızdırma ve C2 : Post-exploitation abuse of legitimate channels

Görünürlük Notu

Veri sızdırma ve C2 kanalları giderek sofistike kaçınma yöntemleri kullanmaktadır: DNS tünelleme (RFC 1035'i kötüye kullanır), CDN arkasına gizlenmiş domain yönlendirme ve standart HTTPS portları bu tekniklerin başında gelir. Tespit için anormal DNS sorgu hacmi ile yüksek entropi içerikli alt alan adları izlenmeli, ağ çıkışında uygulama kimliği doğrulamalı proxy mimarisi kullanılmalı ve yalnızca onaylı hedeflere egress izni veren kısıtlayıcı politikalar uygulanmalıdır.

Bu bölümün ön koşulu Prevention & Hardening Bölümü'dür. Aşağıdaki kör noktalar kapatılmadan tespit sinyalleri ya hiç üretilmez ya da çok geç üretilir:

Önlem ≠ tespit ayrımı: JA3/JA4+ fingerprinting, beacon analizi, DNS entropi skoru, Sigma kuralları, UEBA bunlar tespit mekanizmasıdır. Egress allowlist, WDAC, tenant restriction bunlar önlem mekanizmasıdır.

Giriş

Exfiltration tespiti tek bir araçla yapılmaz. Saldırgan meşru kanalları kötüye kullandığı için imza tabanlı AV çoğu senaryoda yetersiz kalır. Güçlü tespit dört eksende çalışır:

Gerçekçi beklenti: Tek sinyal nadiren yeterlidir. Yüksek güvenilirlik çoklu kaynak korelasyonundan gelir.

Klasik korelasyon (uç nokta + ağ):

Sysmon EID 1 (7z çalıştırma)
     + EID 11 (Temp dizinine arşiv)
     + EID 3  (dış HTTPS bağlantısı)
     + Proxy POST hacim anomalisi
     = HIGH confidence exfil chain

2026 korelasyon (kimlik katmanı ekli):

EID 1 (7z/arşivleme)
   + Proxy/CDN upload anomalisi
   + Entra: yeni OAuth app + Files.ReadWrite.All admin consent
   + MCAS: anomalous mass upload aynı zaman penceresi
   = CRITICAL — malware-free SaaS exfil şüphesi

Brutal gerçek: SOC kapasitesine göre saldırgan gece ve hafta sonu avantajı kullanır. T1029 (zamanlanmış transfer) ve düşük-and-slow beacon profilleri, mesai dışı baseline olmadan kaçırılır. 24/7 korelasyon ve otomatik triage şarttır.

0. EID Sözlüğü

EID = Sysmon Event ID anlamında kullanılır. Windows Security Event ID'leri ayrıca Win EID olarak belirtilir.

1. Tespit Mimarisi — Veri Kaynakları

┌─────────────────────────────────────────────────────────────────┐
│                        TESPİT KATMANLARI                        │
├──────────────┬──────────────┬──────────────┬───────────────────┤
│   Ağ (N/S)   │  Uç Nokta    │   Kimlik     │   SaaS / CASB     │
├──────────────┼──────────────┼──────────────┼───────────────────┤
│ Zeek         │ Sysmon       │ Entra Sign-in│ MCAS/MDCA         │
│ NetFlow/IPFIX│ EDR (MDE,    │ Graph Audit  │ Unified Audit Log │
│ Proxy logs   │ CrowdStrike) │ OAuth consent│ OAuth app audit   │
│ DNS logs     │ Win EVTX     │ Risk detect. │ GitHub audit log  │
│ TLS metadata │ PS Script Blk│ CAE logs     │ Slack Enterprise  │
│ JA3/JA4+     │              │              │                   │
├──────────────┴──────────────┴──────────────┴───────────────────┤
│               UEBA (kullanıcı/host/departman baseline)          │
└─────────────────────────────────────────────────────────────────┘
                              │
                    SIEM / SOAR (Elastic, Splunk, Sentinel)
                              │
                    Korelasyon + Sigma + MITRE mapping

not: "MCAS" (Microsoft Cloud App Security) artık resmi olarak Microsoft Defender for Cloud Apps (MDCA) adını taşıyor. her ikisi de aynı ürünü ifade eder.

Minimum Uygulanabilir Yığın (Bütçe Kısıtlı)

• Sysmon — Sysmon config (EID 17/18 ve EID 8/10 için extended config şart; SwiftOnSecurity varsayılan config'de EID 17/18 kapalıdır)

• Zeek veya Suricata + Eve JSON

• RITA (beacon analizi)

• Elastic Stack veya Wazuh (Sigma uyumlu)

• DNS query logging (iç resolver üzerinde)

• NetFlow (en azından egress noktasından kritik segmentlerde unsampled/1:1)

Kurumsal Yığın

Minimum + commercial NDR (ExtraHop, Vectra) + CASB/MDCA + commercial EDR + UEBA (Exabeam, Securonix, Sentinel UEBA).

2. DNS Tünelleme Tespiti — T1071.004

DNS tünelleme, RFC 1035 sorgu/yanıt yapısını veri taşımak için kötüye kullanır. iodine, dnscat2 ve custom implantlar bu vektörü kullanır.

2.1 İstatistiksel Sinyaller

Eşikler ortama özgüdür. M365, güvenlik ürünleri ve CDN trafiği bu eşikleri doğal olarak aşabilir. Buradaki değerler başlangıç noktasıdır; kurumun DNS baseline'ına göre kalibre edilmelidir.

2.2 Shannon Entropi Hesabı

import math
from collections import Counter

def shannon_entropy(s: str) -> float:
    if not s:
        return 0.0
    counts = Counter(s)
    length = len(s)
    return -sum((c / length) * math.log2(c / length) for c in counts.values())

# Doğrulanmış referans değerler (hesaplanmış):
# "google"                  → 1.92  (meşru, düşük entropi)
# "xk9f2m8q1p"              → 3.32  (orta — şüpheli)
# "a1b2c3d4e5f6g7h8i9j0"   → 4.32  (yüksek — tünelleme sinyali)
# "MJQXGZLTMFRA2TKNFQWC2"  → 3.92  (Base32 — iodine payload)
#
# NOT: Eşik kalibrasyonu için tam subdomain string kullanılmalı;
# tek kelime referansları yalnızca ölçek göstergesidir.

2.3 Zeek ile DNS Analizi

Zeek dns.log alanları: query, qtype_name, answers, TTLs, rcode_name.

dns.log → subdomain uzunluğu filtresi
       → entropi hesaplama
       → apex domain bazında gruplama
       → NRD kontrolü (passive DNS / WHOIS feed)
       → threshold aşımı → Notice::Suspicious_DNS_Encoding
       → uç nokta korelasyonu (Sysmon EID 1 + EID 22 aynı zaman penceresi)
           ├─ EID 1: iodine / dnscat / şüpheli python-powershell (EncodedCommand)
           └─ EID 22: aynı apex'e yoğun sorgu
       → (opsiyonel) resolver kilidi ihlali: dış 53/udp görülmesi (Bölüm 2 aktifse)
       → korelasyon eşleşirse → HIGH severity / analist kuyruğu
       → korelasyon yoksa → LOW / otomatik blok YOK (CDN/güvenlik aracı FP riski)

Notice adı nüansı: Notice::Suspicious_DNS_Encoding standart Zeek paketi değil; custom script/notice olarak uygulanmalıdır. @load direktifi ve paket bağımlılıkları ayrıca tanımlanmalıdır.

Zeek notice örneği (konsept — custom script):

# @load base/protocols/dns
# @load custom/entropy   # shannon_entropy() burada tanımlı

event dns_request(c: connection, msg: dns_msg, query: string,
                  qtype: count, qclass: count)
{
    local sub = split_string(query, /\./)[0];
    if ( |sub| > 50 && shannon_entropy(sub) > 3.5 )
        NOTICE([$note=Suspicious_DNS_Encoding,
                $msg=fmt("High-entropy DNS query: %s", query),
                $conn=c,
                $identifier=query]);   # eklendi: dedup için
}

Resolver cache notu: İç resolver cache hit oranı yüksekse sorgu logu azalır; forwarder katmanında da loglama yapılmalıdır.

2.4 Sysmon EID 22 Korelasyonu

Tek başına DNS logu yeterli değildir. Uç noktada eşzamanlı sinyal:

• EID 1: iodine.exe, dnscat, bilinmeyen konumdan python

• EID 22: aynı apex domain'e yüzlerce sorgu

• Resolver kilidi varken (Bölüm 2) dış 53/udp görülmesi → kritik anomali

Korelasyon kuralı:

 EID 22: count > 200 in 10m
  AND unique(subdomain) > 50
  AND avg(entropy) > 3.5
  AND (
    EID 1: process IN [iodine, dnscat]
    OR (EID 1: powershell.exe AND CommandLine CONTAINS [-enc, EncodedCommand])
  )
→ HIGH severity

2.5 DNS Log Kaynakları

2.6 False Positive Kaynakları

CrowdStrike, Defender, Akamai, Zscaler ve Cloudflare yüksek entropili subdomain üretebilir. M365 TXT kayıtları ortam baseline'ını etkiler. Apple Private Relay, iCloud Private Relay ve Windows Update CDN whitelist'e alınmalıdır. Otomatik blok yerine analiste yönlendirilmeli

3. TLS Fingerprinting — JA3, JA3S, JARM, JA4+

TLS inspection olmadan bile metadata ile anomali tespiti mümkündür.

3.1 JA3 / JA3S

JA3, TLS Client Hello'dan parmak izi üretir: cipher suites, extensions, elliptic curves, EC point formats.

Doğru yaklaşım:

• Baseline sapması: Kurumsal browser JA3 setinden farklı profil

• Header tutarsızlığı: User-Agent: Mozilla/5.0 ama JA3 = Go HTTP client

• Araç profilleri: rclone, curl, python-requests birbirinden farklı JA3 üretir

• Şüpheli cluster: Aynı JA3'ü paylaşan çok sayıda dış host + düzenli conn

Yanlış yaklaşım: Tek bir JA3 hash'ini "Cobalt Strike profili" diye etiketlemek. Aynı hash Sliver, Havoc, Go implantlar tarafından da üretilebilir; hash→malware ailesi eşlemesi zamanla çürür.

Ek nüans: Chrome ve Edge, TCP vs QUIC/UDP üzerinde farklı JA3/JA4 profilleri üretebilir. Aynı host'tan gelen TCP ve UDP 443 trafiği ayrı profil setleriyle değerlendirilmelidir.

ssl.log: ja3 NOT IN corporate_browser_ja3_set
    AND dest_port = 443
    AND conn.log bytes_out > host_baseline × 10
    → şüpheli C2/exfil profili

3.2 JARM

JARM aktif fingerprinting: sunucuya probe göndererek TLS stack parmak izi üretir.

Kullanım: Bilinen C2 framework sunucu kümeleri (aynı JARM + çok IP = altyapı kümeleme); pasif JA3 ile çapraz doğrulama.

Sınırlar: Malleable profil ve JARM Randomizer ile değiştirilebilir. Zimbra gibi meşru yazılımlar benzer JARM üretebilir. Tek başına kesin kanıt değildir.

Operasyonel maliyet: Aktif tarama gerektirir. Çoğu SOC pasif NDR ile yetinir; JARM threat hunting ve NDR ekipleri için daha uygundur. Pasif JA3/JA4+ günlük SOC operasyonu için önceliklidir.

3.3 JA4+ — 2026 Önerilen

JA4+, FoxIO tarafından geliştirildi; insan okunabilir format, QUIC/HTTP3 desteği, normalleştirilmiş hash ile JA3'ün halefi.

Zeek entegrasyonu: JA4+ paketi (v0.18.8+), ssl.log ve http.log alanlarına ja4, ja4s, ja4h ekler.

ssl.log: ja4 NOT IN known_browser_ja4_set
    AND proto = udp/443
    AND bytes_out > host_baseline × 5
    → şüpheli QUIC exfil

Zeek 6.x QUIC desteği ile quic.log üzerinden UDP/443 analizi. QUIC/HTTP3 exfil tespitinde JA4+ birincil sinyaldir.

3.4 Malleable C2 ve Parmak İzi Sınırları

• JA3/JA4+ tek başına yeterli değil

• JA3/JA4+ + HTTP header tutarsızlığı + beacon timing birlikte değerlendirilmeli

• TLS metadata görünürlüğü (Zeek ssl.log veya proxy TLS inspection) olmadan domain fronting tespiti uygulanamaz

4. Beacon Analizi — RITA

RITA (Real Intelligence Threat Analytics), NetFlow/Zeek conn.log üzerinde C2 beacon davranışını istatistiksel olarak skorlar.

4.1 Beacon Sinyalleri

4.2 Jitter ve Modern C2 Sınırları

Kritik: Modern implantlar jitter, sleep mask ve adaptive beacon ile RITA'yı atlatmaya çalışır. RITA tek başına bırakılmamalı; host/user korelasyonu ve mesai dışı baseline şarttır.

4.3 RITA v5 Kullanımı

RITA v5, v1–4'ten farklı olarak terminal tabanlı kullanıcı arayüzü (TUI) sunar; beacon, DNS tünelleme, long connection ve threat intel tespitleri tek lokasyonda görüntülenir.

# Zeek conn.log import
rita import --logs=/var/log/zeek/ --rolling MyDataset

# TUI ile görüntüleme
rita view MyDataset

# Beacon filtreleme (v5 ölçeği: 0–100 tam sayı)
# TUI içinde: beacon:>=80
# veya threshold ve sıralama ile:
rita view MyDataset beacon:>=90 sort:duration-desc

# CSV çıktı
rita view --stdout MyDataset beacon:>=80 > beacons.csv

RITA v5 skor ölçeği: 0 (rastgele) → 100 (güçlü periyodik). Eşik: ≥ 80 yüksek güven; ≥ 90 çok yüksek güven.

Eski komutlar (v1–4): rita show-beacons, rita show-beacons --human-readable v5'te kullanılmaz.

v5 TUI alanları:

Alan	Açıklama
beacon	Birleşik beacon skoru (0–100)
severity	critical / high / medium / low
duration	Bağlantı süresi
subdomains	Subdomain sayısı (DNS tünelleme sinyali)
threat_intel	TI feed eşleşmesi

Çıktı skorları:

• TS Score — timestamp tutarlılığı (zamansal düzenlilik)

• DS Score — data size tutarlılığı (uniform boyut — T1030 sinyali)

• Beacon Score — birleşik skor

4.4 T1041 + T1030 Korelasyonu

RITA v5: beacon >= 80
AND conn.log: bytes_out > host_baseline × 10
AND ssl.log: ja4 NOT IN corporate_browser_set
→ T1041 (C2 üzerinden exfil) şüphesi — P1

5. Zeek — Ağ Tespit Omurgası

5.1 Kritik Log Dosyaları

5.2 Domain Fronting Tespiti — T1090.004

Ön koşul: TLS metadata görünürlüğü (Zeek ssl.log veya proxy TLS inspection). Olmadan Host/SNI karşılaştırması uygulanamaz.

http.log: host (Host header) ≠ ssl.log: server_name (SNI)
      → Domain fronting şüphesi

Ek sinyaller:

• SNI = CDN domain ama POST body host baseline'ının çok üzerinde

• Fastly (Şubat 2024), Azure Front Door (Ocak 2024), AWS CloudFront (2018) büyük ölçüde engelledi

• Aktif varyantlar: Cloudflare Workers, Azure Functions, ngrok/Cloudflare Tunnel, Lambda@Edge relay bu edge worker vektörleri için tespit sinyali: beklenmedik CDN worker subdomain'ine yüksek hacimli POST + düzenli bağlantı ritmi

5.3 HTTP POST Anomalisi — T1567, T1041

Statik MB eşiği yerine host baseline anomalisi:

http.log: method = "POST"
AND request_body_len > host_90th_percentile × 5
AND user_agent MATCHES /rclone|curl|python|Go-http-client/
→ Şüpheli bulk upload

Statik eşik uyarısı: Teams, OneDrive, SharePoint zaten büyük POST üretir; statik 10 MB eşiği yoğun FP kaynağıdır. Host baseline percentile kullanımı FP'yi dramatik biçimde azaltır.

5.4 QUIC / HTTP/3

Zeek 6.x + JA4+ QUIC fingerprinting. Bölüm 2'deki QUIC kör noktasını tespit katmanında kapatır.

6. NetFlow / IPFIX Analizi

NetFlow, paket içeriği olmadan flow metadata sağlar.

6.1 Exfil Sinyalleri

6.2 Flow Sampling Riski

Sampling oranı düşükse (ör. 1:1000) kısa burst exfil kaçabilir. Kritik segmentlerde (veri sunucusu, egress noktaları) unsampled veya 1:1 flow tercih edilmelidir.

Managed DB exception: Azure SQL, RDS gibi managed veritabanı servisleri meşru olarak dış 443 egress üretir. Veri sunucusu kuralına hedef allowlist exception eklenmelidir.

6.3 Pipeline ve Kurallar

Router/Switch → NetFlow v9/IPFIX → nfdump/nfsen → RITA
                                               → Elastic (flow index)

Bulk exfil kuralı:

src_ip IN [DB_SERVER_SUBNET]
AND dst_ip EXTERNAL
AND dst_ip NOT IN [managed_db_endpoints_allowlist]
AND bytes_out > 100MB in 1h
→ CRITICAL

Low-and-slow exfil kuralı (--bwlimit/throttle-aware):

src_ip IN [WORKSTATION_SUBNET]
AND dst_ip EXTERNAL
AND bytes_out BETWEEN 5MB AND 50MB per hour
AND duration > 4 hours
AND conn_count > 20
→ MEDIUM-HIGH (süreklilik sinyali)

Throttle-aware tespit notu: Akira ve diğer ransomware operatörleri --bwlimit 5M ile mesai saatlerinde hacim anomalisini kasıtlı olarak kaçırır. Low-and-slow kuralı bu pattern'i yakalar; statik yüksek eşik kuralları kaçırır.

7. Sysmon ve EDR Korelasyonu

7.1 Yüksek Değerli Korelasyon Zincirleri

Zincir A — Arşivleme + Exfil (T1560 → T1041/T1567)

EID 1:  Image IN [*\7z.exe, *\rar.exe, *\rclone.exe, *\azcopy.exe]
        AND (Prevalence=rare OR Signed=FALSE)
         → EID 11: TargetFilename CONTAINS [\Temp\, \Public\, \ProgramData\]
          → EID 3:  DestinationIp EXTERNAL AND DestinationPort = 443
           → Proxy: POST > host_baseline × 5 aynı zaman penceresi
             = HIGH confidence — T1560 + T1041/T1567

Sigma/Sysmon notu: Hashes NOT IN trusted_set Sysmon'da doğrudan filtre olarak uygulanamaz. EDR'de "rarely seen binary" (MDE: DeviceProcessEvents + ThreatIntelligenceIndicator /DeviceImageLoadEvents prevalence; CrowdStrike: rare hash) veya prevalence feed kullanılmalıdır.

Zincir B — LotL İndirme (T1105)

EID 1:  certutil.exe CommandLine CONTAINS [-urlcache, http]
  → EID 11: FileCreate (indirilen dosya)
    → EID 3:  EXTERNAL bağlantı (indirme yönü)
      = MEDIUM-HIGH — T1105 (Ingress Tool Transfer)

MITRE notu: certutil -urlcache çoğunlukla indirme/ingress operasyonudur → T1105. Exfil (T1048) olarak etiketlemek için ayrıca upload/outbound kanıtı (EID 3 büyük bytes_out + staging dosyası) gerekir.

Zincir C — BITS Exfil (T1197)

EID 11 (Temp'te staging) 
  → EID 1 (bitsadmin / Start-BitsTransfer) 
   → EID 3 (external:443)
     + BITS Client Operational log (job URL, transfer direction)
       = MEDIUM-HIGH — T1197 (exfil) veya T1105 (ingress), yön kanıtına göre

Zincir D — DNS Tünelleme (T1071.004)

Zeek/resolver: apex bazında entropy>3.5, count>200/10m, unique_subdomain>50
             → EID 22 aynı apex + aynı host
              → EID 1: iodine/dnscat/python(dnscat)  [= HIGH]
               → PS EncodedCommand yalnız Zeek+resolver+EID22 birlikte [= MEDIUM]

Zincir E — Staging + Temizlik (T1074 → T1560 → OPSEC)

ID 1 (7z/rar) 
   → EID 11 (Temp'te yada recycle bin'de .7z/.rar) 
    → EID 3 (external:443) + conn.log bytes_out↑
     → EID 23 (aynı dosya, <1s) = HIGH — T1560 + T1074 + T1041 + T1070.004

Zincir F — Cobalt Strike Process Injection + C2 (T1055 + T1071)

EID 8/10 (şüpheli çift)
  → EID 17/18 (pipe — sabit + custom)
    → EID 3 (external:443)
      + JA4+ / RITA beacon
      + EDR bellek analizi
      + ProcessGuid korelasyonu
       → HIGH — T1055 + T1071.001

EID 7 nüansı: Reflective loading çoğu durumda LoadLibrary API'sini bypass ettiğinden EID 7 (ImageLoad) tetiklenmeyebilir. Birincil injection sinyalleri EID 8 (CreateRemoteThread) ve EID 10 (ProcessAccess) ile bellek analizi (EDR) kullanılmalıdır. EID 7 yalnızca tamamlayıcı sinyaldir.

Named pipe uyarısı: Modern operatörler custom pipe adları kullanır. Varsayılan pipe imzası tek başına yetersiz; pipe + injection + ağ bağlantısı davranışsal korelasyonu şarttır.

PowerShell downgrade notu: Constrained Language Mode bypass mümkündür. Win EID 4104 Script Block + EID 1 EngineVersion birlikte izlenmelidir.

7.2 Sysmon Konfigürasyon Önerileri

SwiftOnSecurity uyarısı: Varsayılan SwiftOnSecurity config'de EID 17/18 (PipeCreate/PipeConnect) kapalıdır.

7.3 EDR Davranış Kuralları

IR notu: rclone config %APPDATA%\rclone\rclone.conf (Windows), ~/.config/rclone/rclone.conf (Linux). rclone config show ile okunur; şifreler reversible obfuscation ile saklanır — ele geçirilen config tüm exfil altyapısını açığa çıkarır.

8. EDR Network Telemetry

Modern EDR platformları process, network ve identity sinyalini tek olay kaydında birleştirir.

Örnek MDE sorgusu (KQL):

DeviceNetworkEvents
| where Timestamp > ago(24h)
| where InitiatingProcessFileName in~ ("rclone.exe", "azcopy.exe", "7z.exe")
| where RemotePort == 443
| where RemoteUrl !has ".microsoft.com"
| project Timestamp, DeviceName, InitiatingProcessFileName, RemoteUrl, RemoteIP, RemotePort

Avantaj: Proxy/Sysmon ayrı korelasyon gerektirmez; host bazlı tam görünürlük.

Sınır: Agent kurulu olmayan sunucu/IoT/ağ cihazlarında Zeek/NetFlow hâlâ şarttır.

9. UEBA — Davranışsal Baseline Tespiti

İmza ve eşik tabanlı kuralların ötesinde, exfiltration çoğu zaman baseline sapması ile yakalanır.

9.1 Baseline Boyutları

9.2 UEBA Sinyal Örnekleri

Kullanıcı: finans_analyst
Baseline:  upload 50 MB/gün, hedef = SharePoint kurumsal tenant
Anomali:   upload 8 GB/gün, hedef = dropbox.com API
Kaynak:    MCAS/MDCA + proxy + Entra
→ CRITICAL — departman rolüne aykırı exfil

Host: DEV-WS-042
Baseline:  GitHub push 10 commit/gün, ~5 MB
Anomali:   500 MB tek push, private repo, yeni PAT
→ HIGH — T1567.001

9.3 UEBA Araçları ve Sınırları

Araçlar: Microsoft Sentinel UEBA, Exabeam, Securonix, Gurucul, MCAS/MDCA anomaly detection (SaaS UEBA), Elastic ML unsupervised anomaly.

UEBA sınırı: False positive tuning gerektirir. 2–4 hafta öğrenme süresi planlanmalıdır.

Gizlilik notu: UEBA kullanıcı davranış verisi toplar. Veri toplama kapsamı, saklama süresi ve erişim politikası GDPR/KVKK gerekliliklerine göre tanımlanması gerekir.

10. Sigma Kuralları

Sigma, log tabanlı tespit için platform bağımsız YAML formatıdır.

10.1 IOC Tabanlı Kurallar

Rclone Execution (T1567.002):

title: PUA - Rclone Execution
id: e37db05d-d1f9-49c8-b464-cee1a4b25864
status: test
description: |
  Rclone aracının yürütülmesini tespit eder. REvil, Conti, FiveHands, Akira, DarkSide ve Egregor
  gibi fidye yazılımı operatörleri bu aracı bulutta veri sızdırma (T1567.002) için kullanmıştır.
  Dosya adı, PE OriginalFileName, Description ve CLI desenleri birlikte değerlendirilir.
  Binary rename atlatmasına karşı OriginalFileName alanı dahil edilmiştir.
references:
    - https://attack.mitre.org/techniques/T1567/002/
    - https://attack.mitre.org/software/S1040/
    - https://research.nccgroup.com/2021/05/27/detecting-rclone-an-effective-tool-for-exfiltration/
    - https://thedfirreport.com/2021/03/29/sodinokibi-aka-revil-ransomware
    - https://us-cert.cisa.gov/ncas/analysis-reports/ar21-126a
    - https://labs.sentinelone.com/egregor-raas-continues-the-chaos-with-cobalt-strike-and-rclone
    - https://www.splunk.com/en_us/blog/security/darkside-ransomware-splunk-threat-update-and-detections.html
    - https://github.com/SigmaHQ/sigma/blob/master/rules/windows/process_creation/proc_creation_win_pua_rclone_execution.yml
author: NewbieV35
tags:
    - attack.exfiltration
    - attack.t1567.002
logsource:
    product: windows
    category: process_creation
detection:
    selection_specific_options:
        CommandLine|contains|all:
            - '--config '
            - '--no-check-certificate '
            - ' copy '
    selection_rclone_img:
        - Image|endswith: '\rclone.exe'
        - OriginalFileName: 'rclone.exe'
        - Description: 'Rsync for cloud storage'
    selection_rclone_cli:
        CommandLine|contains:
            - 'pass'
            - 'user'
            - 'copy'
            - 'sync'
            - 'config'
            - 'lsd'
            - 'remote'
            - 'ls'
            - 'mega'
            - 'pcloud'
            - 'ftp'
            - 'ignore-existing'
            - 'auto-confirm'
            - 'transfers'
            - 'multi-thread-streams'
            - 'no-check-certificate '
    filter_legit_path:
        Image|startswith:
            - 'C:\Program Files\rclone\'
            - 'C:\Program Files (x86)\rclone\'
    condition: (selection_specific_options or all of selection_rclone_*) and not filter_legit_path
falsepositives:
    - Onaylı IT yedekleme/senkronizasyon operasyonları (servis hesabı ve path whitelist ile daraltılmalı)
    - rclone config, lsd, ls gibi exfil dışı bakım komutları
level: high

AzCopy Execution (T1567.002):

title: PUA - AzCopy / Azure Storage Explorer Execution
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325865
status: experimental
description: |
  AzCopy veya Azure Storage Explorer yürütülmesini tespit eder. Interlock (CISA AA25-203A)
  ve Rhysida gibi ransomware operatörleri bu araçları Azure Blob Storage'a veri sızdırmak
  için kullanmıştır (T1567.002). Dosya adı, OriginalFileName ve CLI desenleri birlikte
  değerlendirilir; yalnızca binary adına güvenilmez. Whitelist tüm dallara uygulanır.
references:
    - https://attack.mitre.org/techniques/T1567/002/
    - https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-203a
    - https://learn.microsoft.com/en-us/azure/storage/common/storage-use-azcopy-v10
    - https://www.forescout.com/blog/a-year-later-interlock-ransomware-keeps-leveling-up/
author: CybersecLab-NewbieV35
date: 2026-06-16
tags:
    - attack.exfiltration
    - attack.t1567.002
logsource:
    product: windows
    category: process_creation
detection:
    selection_azcopy_specific:
        CommandLine|contains|all:
            - 'azcopy'
            - 'blob.core.windows.net'
    selection_azcopy_img:
        - Image|endswith: '\azcopy.exe'
        - OriginalFileName: 'azcopy.exe'
    selection_azcopy_cli:
        CommandLine|contains:
            - ' copy '
            - ' sync '
            - 'dfs.core.windows.net'
            - 'file.core.windows.net'
            - '--recursive'
            - '--from-to=LocalBlob'
            - '--from-to=BlobLocal'
    selection_storage_explorer_img:
        - Image|endswith: '\StorageExplorer.exe'
        - OriginalFileName: 'StorageExplorer.exe'
    filter_legit_path:
        Image|startswith:
            - 'C:\Program Files\Microsoft Azure Storage Explorer\'
            - 'C:\Program Files (x86)\Microsoft Azure Storage Explorer\'
    condition: >
        (selection_azcopy_specific or selection_storage_explorer_img or
        (1 of selection_azcopy_img and selection_azcopy_cli))
        and not filter_legit_path
falsepositives:
    - Onaylı Azure migration ve yedekleme operasyonları (servis hesabı whitelist ile daraltılmalı)
    - Azure Storage Explorer GUI üzerinden meşru blob yönetimi (whitelist path'inden çalışıyorsa filtrelenir)
    - AzCopy ile planlı veri taşıma (change window + onaylı hesap)
level: high

certutil Ingress Tool Transfer (T1105):

title: Suspicious Download Via Certutil.EXE — Ingress Tool Transfer
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325866
status: test
description: |
  Certutil ile uzaktan dosya indirmeyi tespit eder (T1105 — Ingress Tool Transfer).
  Saldırganlar -urlcache, -verifyctl veya -URL flag'leri ile LOLBin indirme yapar.
  NOT: Bu kural exfil (T1048) değildir; upload kanıtı için EID 3 outbound + staging
  (EID 11) korelasyonu ayrıca gerekir. Zincir B ile birleştirilmelidir.
references:
    - https://attack.mitre.org/techniques/T1105/
    - https://lolbas-project.github.io/lolbas/Binaries/Certutil/
    - https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/certutil
    - https://github.com/SigmaHQ/sigma/blob/master/rules/windows/process_creation/proc_creation_win_certutil_download.yml
    - https://news.sophos.com/en-us/2021/04/13/compromised-exchange-server-hosting-cryptojacker-targeting-other-exchange-servers/
    - https://www.hexacorn.com/blog/2020/08/23/certutil-one-more-gui-lolbin
author: CybersecLab-NewbieV35
tags:
    - attack.command-and-control
    - attack.t1105
    - attack.defense-evasion
    - attack.t1027
logsource:
    category: process_creation
    product: windows
detection:
    selection_img:
        - Image|endswith: '\certutil.exe'
        - OriginalFileName: 'CertUtil.exe'
    selection_flags:
        CommandLine|contains:
            - 'urlcache '
            - '/urlcache '
            - 'verifyctl '
            - '/verifyctl '
            - 'URL '
    selection_http:
        CommandLine|contains: 'http'
    condition: all of selection_*
falsepositives:
    - Unknown 
level: medium

10.2 Davranışsal Kurallar — Sigma Correlation Format

IOC-only kurallar rclone.exe → dllhosts.exe gibi binary rename ile atlatılır. Davranışsal korelasyon için Sigma correlation kuralları (pySigma Summer 2024+) kullanılmalıdır.

Staging + External Upload Korelasyonu (T1560 + T1041) — doğru Sigma correlation formatı:

# ── Kural 1: Archive staging ──────────────────────────────────
title: Archive Created in Staging Directory
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325867
author: CybersecLab-NewbieV35
name: archive_staging
logsource:
    category: file_event
    product: windows
detection:
    selection:
        Image|endswith:
            - '\7z.exe'
            - '\rar.exe'
            - '\7zG.exe'
            - '\7zFM.exe'
        TargetFilename|contains:
            - '\Temp\'
            - '\Public\'
            - '\ProgramData\'
    condition: selection

---
# ── Kural 2: External HTTPS (daraltılmış) ─────────────────────
title: External HTTPS Connection from Host
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325868
author: CybersecLab-NewbieV35
name: external_https
logsource:
    category: network_connection
    product: windows
detection:
    selection:
        Initiated: 'true'
        DestinationPort: 443
    filter_private:
        DestinationIp|startswith:
            - '10.'
            - '192.168.'
            - '127.'
            - '169.254.'
            - '172.16.'
            - '172.17.'
            - '172.18.'
            - '172.19.'
            - '172.20.'
            - '172.21.'
            - '172.22.'
            - '172.23.'
            - '172.24.'
            - '172.25.'
            - '172.26.'
            - '172.27.'
            - '172.28.'
            - '172.29.'
            - '172.30.'
            - '172.31.'
    condition: selection and not 1 of filter_private

---
# ── Korelasyon kuralı (Sigma correlation spec v2.1) ────────────
title: Archive Staging Followed by External HTTPS — Exfil Chain
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325869
status: experimental
description: |
  T1560.001 (arşiv staging) ardından T1041 (external HTTPS) zinciri.
  IOC-only kuralların üzerine davranışsal korelasyon katmanı.
  NOT: Exfil kanıtı için upload hacmi (NetFlow/EDR) ile doğrulama önerilir.
  NOT 2: timespan statik pencere kullanır; 30dk sınırı tam ortadan
  geçen olaylarda (örn. 14:29 / 15:01) false negative riski taşır.
author: CybersecLab-NewbieV35
tags:
    - attack.t1560.001
    - attack.t1041
correlation:
    type: temporal_ordered
    rules:
        - archive_staging
        - external_https
    group-by:
        - ComputerName
    timespan: 30m
falsepositives:
    - Temp'te arşiv + kısa sürede meşru HTTPS (browser, OneDrive sync)
    - Yedekleme yazılımı staging + cloud upload
level: high

Sigma correlation notu: timeframe + condition: A and B tek kural içinde geçersizdir. Doğru format type: temporal veya type: temporal_ordered ile ayrı kural referansları ve group-by gerektirir. Backend desteği değişkendir hedef SIEM için pySigma backend uyumluluğu doğrulanmalıdır.

PowerShell Encoded Command + Network Activity (T1059.001):

# ── Kural 1: Encoded PowerShell ───────────────────────────────
title: Suspicious Encoded PowerShell Command Line
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325870
author: CybersecLab-NewbieV35
name: ps_encoded
logsource:
    category: process_creation
    product: windows
detection:
    selection_img:
        Image|endswith:
            - '\powershell.exe'
            - '\pwsh.exe'
            - '\powershell_ise.exe'
    selection_cli:
        CommandLine|contains:
            - ' -enc'
            - ' -EncodedCommand'
            - ' -ec '
            - ' -EncodedCommand '
    condition: all of selection_*
falsepositives:
    - Onaylı automation/script signing politikaları

---
# ── Kural 2: Outbound network (daraltılmış) ───────────────────
title: PowerShell Outbound Network Connection
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325871
author: CybersecLab-NewbieV35
name: ps_network
logsource:
    category: network_connection
    product: windows
detection:
    selection:
        Image|endswith:
            - '\powershell.exe'
            - '\pwsh.exe'
            - '\powershell_ise.exe'
        Initiated: 'true'
        DestinationPort: 443
    filter_private:
        DestinationIp|startswith:
            - '10.'
            - '192.168.'
            - '127.'
            - '169.254.'
            - '172.16.'
            - '172.17.'
            - '172.18.'
            - '172.19.'
            - '172.20.'
            - '172.21.'
            - '172.22.'
            - '172.23.'
            - '172.24.'
            - '172.25.'
            - '172.26.'
            - '172.27.'
            - '172.28.'
            - '172.29.'
            - '172.30.'
            - '172.31.'
    condition: selection and not 1 of filter_private

---
# ── Korelasyon kuralı ─────────────────────────────────────────
title: PowerShell Encoded Command with Network Activity
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325872
author: CybersecLab-NewbieV35
status: experimental
description: |
  T1059.001 — Encoded PowerShell ardından outbound HTTPS bağlantısı.
  Exfil değil; execution + C2/LotL indirme şüphesi. Child process ağ
  bağlantısı açarsa false negative riski — Win EID 4104 ile desteklenmeli.
references:
    - https://github.com/SigmaHQ/sigma/blob/master/rules/windows/process_creation/proc_creation_win_susp_powershell_enc_cmd.yml
    - https://sigmahq.io/sigma-specification/specification/sigma-correlation-rules-specification.html
date: 2026-06-16
tags:
    - attack.t1059.001
    - attack.execution
correlation:
    type: temporal_ordered
    rules:
        - ps_encoded
        - ps_network
    group-by:
        - ComputerName
    timespan: 5m
falsepositives:
    - Onaylı PowerShell automation + meşru HTTPS (Graph API, Azure)
    - Admin script deploy araçları
level: medium

DNS Yüksek Sorgu Uzunluğu — Zeek (T1071.004):

title: High Query Length DNS — Possible Tunneling
id: 8f3c2a1b-4d5e-6f7a-8b9c-0d1e2f325873
author: CybersecLab-NewbieV35
status: experimental
description: |
    Detects unusually long DNS queries in Zeek logs, which may indicate DNS tunneling
    or data encoding in subdomain labels (T1071.004) and exfiltration (T1048.003).
    Full FQDN length is measured, not a single label. Single-event matches carry a high
    false positive rate from CDN base64 subdomains and security telemetry domains —
    correlate with the frequency rule (high-query-length-dns-frequency) and/or Sysmon
    EID 22 for higher confidence. Entropy scoring (e.g. Shannon entropy > 3.5) is
    recommended as second-stage filtering downstream; Sigma has no native entropy
    modifier so this cannot be expressed here.
references:
    - https://attack.mitre.org/techniques/T1071/004/
    - https://attack.mitre.org/techniques/T1048/003/
    - https://github.com/SigmaHQ/sigma/issues/1862
tags:
    - attack.command_and_control
    - attack.exfiltration
    - attack.t1071.004
    - attack.t1048.003
logsource:
    product: zeek
    service: dns
detection:
    selection:
        query|re: '^.{51,}\.?$'
    filter_internal:
        query|re: '\.(local|internal|corp|lan|home|localdomain)\.?$'
    filter_known_fp:
        query|re: '\.(cloudfront\.net|akamaiedge\.net|akamai\.net|akamaihd\.net|fastly\.net|edgekey\.net|edgesuite\.net)\.?$'
    condition: selection and not 1 of filter_*
falsepositives:
    - CDN base64-encoded subdomain labels (CloudFront, Akamai, Fastly, Edgekey)
    - Security product telemetry and update check URLs
    - Legitimate long hostnames in enterprise PKI or MDM
level: low

10.3 Dönüşüm

sigma convert -t splunk -p sysmon rule.yml
sigma convert -t elastic-lucene -p sysmon rule.yml

Kural deposu: SigmaHQ/sigma. MITRE tag filtresi: attack.exfiltration, attack.t1041, attack.t1567.

11. SaaS ve Kimlik Katmanı Tespiti

11.1 Microsoft 365 / Graph API — T1537

Genişletilmiş Graph vektörleri: Mail.Read / ChatMessage.Read ve yüksek yetkili OAuth scope'ların varlığı tek başına exfil göstermez; gerçekleşmiş transfer veya erişim olayı (UAL, Graph Activity Logs, MDCA) ile korele edilmelidir.

Korelasyon:

[Entra] Risky sign-in (unfamiliar location/device) — medium+ risk
  → [MDCA] Mass download veya upload anomalisi
    → [UAL veya Graph Activity] Gerçekleşmiş transfer kanıtı:
         • FileDownloaded / FileSyncDownloadedFull / FileAccessed + yüksek hacim
           → T1567.002 (indirme / staging)
         • Cross-tenant FileUploaded / FileCopied veya harici site hedefi
           → T1537 (cross-tenant transfer)

11.2 Oturum Ele Geçirme / Token Replay — T1550.004

Interlock ve Scattered Spider vakalarında valid token + MFA bypass gözlemlendi:

• Entra: aynı token'ın farklı IP/coğrafyadan kullanımı

• CAE (Conditional Access Evaluation) token revocation anomalisi

• Token Protection: Yönetilmeyen cihazdan PRT replay denemesi

• Sign-in log: TokenIssuerType = AzureAD + RiskState = atRisk(farklı cihazdan aynı token)

11.3 OAuth Consent Grant Anomalileri

Entra Audit Log olayları: Consent to application, Add delegated permission grant, Add app role assignment grant.

11.4 GitHub / Slack / Teams

12. Kanal → Tespit Sinyali Özet Tablosu

13. MITRE → Tespit Playbook Matrisi

14. Vaka Çalışmaları — Tespit Perspektifi

14.1 CISA Akira — rclone Exfil (AA24-109A)

Saldırı: rclone ile bulut depolamaya bulk veri sızdırma --bwlimit ile mesai saatlerinde throttle.

Tespit sinyalleri:

• EID 1: rclone.exe veya yeniden adlandırılmış binary (dllhosts.exe) imza tek başına yetersiz

• Proxy: User-Agent: rclone/v* + büyük POST hacmi hedef mega.nz, backblazeb2.com

• EID 11: staging arşivi (WinRAR) —Temp/ProgramData ve rclone.conf oluşumu

• MDCA: anomalous external upload (CASB mevcutsa)

• Low-and-slow NetFlow kuralı: Throttle nedeniyle tek saatlik hacim düşük; 4+ saatlik süreklilik sinyali

Ders: Binary rename + bwlimit kombinasyonu imza ve statik eşik kurallarını atlatır. Davranışsal Zincir A + low-and-slow NetFlow + UEBA mesai dışı anomalisi şart.

14.2 CISA Interlock — AzCopy (AA25-203A)

Saldırı: AzCopy ile Azure Blob Storage'a exfil; valid session token kullanımı.

Tespit sinyalleri:

• EID 1: azcopy.exe, StorageExplorer.exe + command line (copy, sync, blob URL)

• EID 3: *.blob.core.windows.net:443

• Azure Activity Log: anomalous PutBlob hacmi

• AzCopy log: %USERPROFILE%\.azcopy — UPLOADSUCCESSFUL kayıtları

• Entra: token reuse farklı IP/ASN (non-interactive sign-in log)

14.3 SUNBURST — APT29 (2020)

Saldırı: Düzenli beacon, meşru SolarWinds Orion trafiğine karışmış HTTPS C2.

Tespit sinyalleri (geriye dönük):

• RITA beacon: avsvmcloud.com altında düzenli conn, SUNBURST kasıtlı jitter ekleyerek kümeleme tespitini atlatabiliyor

• JA3: SolarWinds Orion trafiğinden sapma

• Zeek: User-Agent: SolarWindsOrionImprovementClient/* + hedef domain ≠ api.solarwinds.com

• DNS: yüksek entropi, AD domain encoded subdomain

Ders: İmza ile yakalanamaz; DNS DGA + UA/hedef uyumsuzluğu + uzun dönem analiz kritik.

14.4 DNS Tünelleme — iodine/dnscat2

Tespit sinyalleri:

• Zeek: yüksek entropi TXT/CNAME sorguları (Base32 iodine payload — ~3.92 entropi)

• Sysmon EID 22: aynı apex'e yüzlerce unique subdomain

• Ağ: dış 53/udp trafiği (Bölüm 2 resolver kilidi varsa bu anomali kritik)

14.5 Scattered Spider / UNC3944 — SaaS ve Kimlik

Saldırı: Helpdesk impersonation, MFA fatigue , SIM swap, AiTM phishing, OAuth consent abuse.

Tespit sinyalleri:

• Entra risky sign-in + MFA fatigue pattern

• OAuth consent abuse: yeni app + geniş scope + unverified publisher + anında bulk access

• MDCA mass download

• SIM swap sonrası farklı IP/ASN'den token reuse kullanımı (T1539)

Ders: Kimlik katmanı birincil; consent tek başına yetmez, bulk access kanıtıyla korele edilmeli.

14.6 FIN7 — Staging + Exfil Zinciri

Saldırı: Çok aşamalı lateral movement, staging, rclone/AzCopy, mesai dışı upload.

Tespit sinyalleri:

• EID 11: staging (7z/RAR) + lateral movement sonrası yeni host

• rclone/MEGAsync + mesai dışı upload

• RITA: gece beacon profili

Ders: Tek sinyal yetersiz staging→exfil→cleanup korelasyonu + UEBA mesai dışı anomalisi kullanılmalı.

15. SOC Operasyonu — Triage ve Escalation

15.1 Öncelik Matrisi

15.2 Mesai Dışı — T1029

NetFlow: bytes_out BETWEEN 00:00–06:00
         AND src IN [workstation_subnet]
         AND src NOT IN [backup_servers]
         AND bytes_out > 3× user_baseline
         → MEDIUM-HIGH

15.3 False Positive Yönetimi

16. Tespit Olgunluk Modeli

17. Yaygın Tespit Hataları

18. Kaynaklar

MITRE ATT&CK

• T1041 — Exfiltration Over C2 Channel

• T1071.004 — Application Layer Protocol: DNS

• T1071.001 — Application Layer Protocol: Web Protocols

• T1567.002 — Exfiltration to Cloud Storage

• T1567.001 — Exfiltration to Code Repository

• T1537 — Transfer Data to Cloud Account

• T1539 — Steal Web Session Cookie

• T1572 — Protocol Tunneling

• T1573 — Encrypted Channel

• T1090.004 — Proxy: Domain Fronting

• T1560 — Archive Collected Data

• T1030 — Data Transfer Size Limits

• T1029 — Scheduled Transfer

• T1074 — Data Staged

• T1095 — Non-Application Layer Protocol

• T1197 — BITS Jobs

• T1059.001 — Command and Scripting: PowerShell

• T1052.001 — Exfiltration via USB

• T1055 — Process Injection

• T1105 — Ingress Tool Transfer

TLS Fingerprinting

• JA3/JA3S — Salesforce Engineering

• JARM — Salesforce Engineering

• FoxIO JA4+ GitHub

• Zeek — JA4 Network Fingerprints (2026)

Araçlar ve Teknik Referanslar

• RITA v5 — Active Countermeasures

• RITA v5 GitHub

• SigmaHQ/sigma — Kural Deposu

• Sigma Correlation Specification

• SwiftOnSecurity/sysmon-config

• olcortez/sysmon-config (extended)

• iodine DNS tünelleme

• dnscat2 protokol dokümantasyonu

• The DFIR Report — Cobalt Strike Defender's Guide Part 2

• Cobalt Strike Process Injection — HelpSystems

Tehdit İstihbaratı ve Vaka Çalışmaları

• CISA #StopRansomware: Akira — AA24-109A

• CISA Advisory: Interlock Ransomware — AA25-203A

• Mandiant SUNBURST Analysis

• SafeDNS — DNS Tunneling Detection 2025

Microsoft / Kimlik

• Microsoft Defender for Cloud Apps (MDCA)

• Microsoft Unified Audit Log

• Microsoft Entra ID — Identity Protection

• Microsoft Entra Audit — Consent Events

• Continuous Access Evaluation (CAE)