Microsoft Defender, Tor tarayıcısını Truva atı olarak algılayıp sistemden kaldırıyor

• Windows 10/11’e varsayılan olarak entegre gelen Microsoft Defender’ın en güncel Tor Browser sürümünü "Win32/Malgent!MTB" kötü amaçlı yazılımı olarak algıladığı, çok sayıda kullanıcı tarafından bildirildi
• Tor Browser, onion routing yöntemiyle anonim internet erişimi sağlayan ücretsiz ve açık kaynaklı bir yazılım
• Bu yanlış pozitifin, Tor’u kötüye kullanarak faaliyetlerini gizleyen Truva atlarını tespit etmeyi amaçlayan yeni bir sezgisel algılama yönteminden kaynaklandığı tahmin ediliyor; ancak Defender, Tor’un kendisini zararlı olarak işaretliyor
• Sezgisel algılama, önceden tanımlanmış kurallar ve algoritmalarla şüpheli davranışları belirleme yöntemi olup, geleneksel imza tabanlı algılamadan farklı olarak yanlış pozitif (false positive) olasılığı taşır
• Tor tarafı, resmi siteden yükleme yapıldıysa uyarının yanlış pozitif olarak değerlendirilmesini ve istisna listesine ekleme ile karantinadan geri yükleme adımlarının uygulanmasını öneriyor

---

Sorunun mevcut durumu

• Windows kullanıcılarının son dönemde geniş çapta bildirdiğine göre, Windows 10 ve 11’e varsayılan olarak entegre edilen Microsoft Defender antivirüsü, Tor Browser’ın en güncel sürümünü "Win32/Malgent!MTB" kötü amaçlı yazılımı olarak algılıyor
• Tor Browser, onion routing kullanarak internette anonim gezinmeyi sağlayan ücretsiz ve açık kaynaklı bir yazılım olup, çevrimiçi gizliliği korumak için önemli bir araç

Yanlış pozitifin nedenine dair analiz

• Uzmanlar, bu hatanın Microsoft Defender’ın yeni sezgisel algılama yönteminden kaynaklandığını düşünüyor
  • Bu yöntem, Tor’u kullanarak faaliyetlerini gizleyen Truva atlarını tespit edecek şekilde tasarlanmış olsa da Defender, Truva atlarıyla sınırlı kalmayıp Tor’un kendisini de zararlı olarak işaretliyor
• Sezgisel algılama, önceden tanımlanmış kurallar ve algoritmalarla şüpheli davranışları belirleme yöntemidir
  • Bilinen kötü amaçlı yazılımların belirli bir veritabanına dayanan imza tabanlı algılamadan farklıdır
  • Yeni tehditleri tespit etmede etkili olabilir, ancak sık sık yanlış pozitif (false positive) üretebilir

Önerilen karşı önlemler

• Tor tarafı, tarayıcının resmi web sitesinden yüklenip yüklenmediğinin doğrulanmasını öneriyor
  • Resmi kaynaktan indirildiyse Defender uyarısı yanlış pozitif olarak değerlendirilmeli
• Geliştiriciler, Tor’un Microsoft koruma yazılımının istisna listesine (exclusion list) eklenmesini tavsiye ediyor
  • Defender, Tor’un çalışmasını etkilediyse karantinadan "tor.exe" dosyasının geri yüklenmesi öneriliyor
• Yazım anı itibarıyla Microsoft bu sorun hakkında resmî bir açıklama yapmış değil

[GN⁺]

Hacker News yorumları

• Eskiden anti-malware ekibinde çalışmıştım; bu işle ilgili tartışmalı iki mesele vardı
  Birincisi, neyin malware sayılacağını tanımlamak sanıldığından çok daha zor. Rahatsız edici programlarla kötü amaçlı programlar arasındaki sınır bulanık; güvenlik araçları da gizliliği koruma gerekçesiyle, kötü amaçlı yazılımların izlerini saklarken kullandığı davranışları sergileyebiliyor
  İkincisi ise yanlış pozitifler. Bilinen temiz ikililerle test edip uygunsuz şekilde tespit edilip edilmediklerini kontrol etmek gibi, yanlış pozitiflerden kaçınmak için gerçekten uğraşıyorduk; kaçırılan tespitlerden çok yanlış pozitiflerden korkuyorduk
  Microsoft anti-malware ekibinin de sadece kötü bir gün geçirdiğini, kötü niyetli davranmadığını düşünüyorum

  • Ben de kötü niyet olduğunu düşünmüyorum; clickbait başlığın ima ettiği gibi sistemden bir şeyin kaldırılması da söz konusu değil
    Kullanıcı kaldırmayı engelleyebilir; ekip de “Tor’u Microsoft koruma yazılımı dışlama listesine ekleyin ve Defender Tor’un çalışmasını etkilediyse karantinaya alınan tor.exe dosyasını geri yükleyin” diye öneriyor. Gayet makul görünüyor
  • Anti-malware araçlarının 4k introları, hatta daha küçük demoscene işlerini bile yakalaması özellikle komik
    Bu işleri yapanlar bayt bayt kırpıp müziği ve 3D grafikleri, HN’deki birkaç yazıdan daha küçük tek bir çalıştırılabilir dosyaya sığdırıyor. Üstüne malware koyacak yer kalıyorsa bu akıl almaz olurdu
    Bunların sık sık malware olarak yakalanmasının nedeni genelde çalışma zamanında sıkıştırma ve çeşitli yer tasarrufu hileleri kullanmaları; bu teknikler normal programlarda nadir, malware’de ise yaygın. Malware tarayıcıları crinkler veya kkrunchy gibi şeyleri destekleyebilir belki ama fazla niş oldukları için ilgilenmek zor olabilir
  • Anti-malware için de hukuki sorumluluk doğabilir mi? Örneğin bir yazılımı malware olarak işaretledikten sonra iftira nedeniyle dava edilebilirler mi, merak ediyorum
  • Herkesi memnun edecek bir malware tanımının zor olduğu söylenmiş ama kolay bir tanım da var: Kullanıcıya değer sağlıyor mu, yoksa kullanıcının çıkarına aykırı mı? İlki malware değildir, ikincisi malware’dir
    Elbette bu tanıma göre Windows’un kendisi de malware sayılabilir
    Burada iftiradan bahseden başka bir yanıt nedeniyle “potansiyel olarak istenmeyen program” gibi sınıflandırmaların sık kullanıldığını düşünüyorum
  • Kötü niyet değil mi? Windows Defender KMS Tools’u malware trojan olarak işaretliyor

• Zaten geçmiş zamanla “işaretlenmişti” denecek bir olay: https://forum.torproject.org/t/torbrowser-12-5-6-no-longer-f...
  “En güncel imza veritabanında (1.397.1910.0) tor.exe artık Windows Defender tarafından trojan olarak değerlendirilmemektedir”

  • Arabanın sonunda yayaların üzerinden yuvarlanmış olması bunun haber değeri olmadığı anlamına gelmez
    Aktarıldığı gibiyse Tor Browser’ın toplu kaldırılması yaşandı ve zarar çoktan oluştu. Birçok gizlilik ve güvenlik özelliği devre dışı kaldı, kullanılamadı; bazıları yeniden kurulmayacak ve yeniden kurulum sırasında ek zafiyetler doğacak
    Microsoft’un bunu kolayca yapabildiğinin gösterilmesi bile, böyle şeylerin olmasını istemeyenler için de bu yeteneği isteyebilecekler için de ilgi çekici
    Üstelik Microsoft fiilen rakip bir web tarayıcısını aktif biçimde kaldırmış oldu; geçmişte de rakip tarayıcıların etrafındaki ince numaralar nedeniyle uyarı almıştı

• Windows Defender’dan gerçekten nefret ediyorum. Geliştirdiğimiz nispeten küçük video oyunu güncellemelerini her dağıttığımızda oyuncuların bilgisayarlarında sık sık işaretlenip kaldırılıyor
  Sonra yanlış pozitifin kaldırılması için dosyayı Microsoft’a göndermemiz gerekiyor. İşin komik yanı, yönergelerde uygulamayı çalıştırmak için gereken tüm dosyaları içeren tam paketi yükleyin deniyor; ama pratikte yanlış pozitif bildirimi yapıp yalnızca .exeyi yükleseniz de ertesi gün biri bunu temizliyor. Gerçekten yorucu

  • Ardından diğer antivirüs şirketleriyle de tek tek uğraşmanız gerekiyor. Gerçekten yorucu
    Bu arada şu faydalı liste de var. Ne yazık ki giderek eskiyor: https://github.com/hankhank10/false-positive-malware-reporti...
  • Ya da yılda yaklaşık 800 dolarlık EV kod imzalama sertifikası alıp ikili dosyanızı “aksi kanıtlanana kadar malware” konumundan “aksi kanıtlanana kadar zararsız” konumuna geçirebilirsiniz. Resmen koruma parası haraççılığı
  • Bu cehennem gibi platformda iş yapmanın maliyeti

• Daha da endişe verici olan, EDR sistemleri varken bile antivirüs sektörünün dodo kuşu gibi yok olup gitmemiş olması.
  EDR, bir ikilinin içinde tesadüfen bir bayt deseni gördü diye karantinaya göndermek yerine, davranış analizi temelinde uyarı üretir.

  • Geliştirme sırasında programımın yanlışlıkla virüs olarak algılandığı oldu. Gerçekten tuhaf bir deneyimdi: Visual Studio’da “çalıştır”a basınca derleme başarılı olmuş gibi görünüyordu ama çalıştırılabilir dosya olmadığı için çalışmıyordu. Ne oluyor?
    Meğer kendi yazdığım base64 decoder, bir trojanda kullanılan base64 decoder’a yeterince benziyormuş. O trojan da aynı MSVC sürümüyle derlenmiş gibiydi; decode_base64 fonksiyonunu kaldırınca ya da yeterince yeniden yazınca tespit kararlı biçimde ortadan kalktı.
    Bu yüzden artık virüs imzalarının epey keyfi şeyler olduğuna inanıyorum.
  • “İkilide bir bayt deseni gördü diye” kısmı gerçekten tuhaf.
    Bir uygulama yaptım, birkaç antivirüse takıldı; bunların çoğunda yanlış pozitif bildirme özelliği vardı ve sonunda tespit kaldırıldı. Orada manuel inceleme yapılmış olamaz, dolayısıyla kötü niyetli aktörlerin de aynısını yapabileceğini düşünüyorum.
    Bu tür yanlış sınıflandırmalar son derece yaygın ve belli geliştiricileri daha fazla etkiliyor gibi. Örneğin benim Go ikilim belirli bir trojan/solucan olarak algılandı; GitHub’daki başka Go projelerinde de yaygın bir şeymiş.
  • Gerçekten nefret ediyorum.
    Yaptığım küçük hobi projeleri bu makine öğrenimi antivirüs sistemlerine takılıyor ve bir geliştirici olarak buna karşı yapabileceğim neredeyse hiçbir şey yok gibi görünüyor.
    Ölçek küçük olsa da kullanıcı topluluğunda sorun ve kafa karışıklığı yaratıyor.
  • Böyle sistemler hash/desen eşleştirme tarayıcılarından bile daha işe yaramaz. Eskiden cihazımda CrowdStrike vardı; RPC arayüzüyle root düzeyinde erişim açığa çıksa bile umursamazdı herhalde.
  • Donanım üreticileri cihazları kontrol etmek için kirli hilelere başvurmasa iyi olurdu ama gerçek öyle değil.
    Dizüstülerimden birinin fan kontrol yazılımı hâlâ açık kaynak bir kernel driver gerektiriyor; birileri zamanında bunu EFI bootkit kurulumunda kullandığı için artık savunmasız sürücü engelleme listesini sonsuza kadar kapalı tutarak kullanmak zorundayım.

• Burada durumun bu olduğunu söylemiyorum ama diktatör rejimlerin eline geçerse Microsoft Defender, Play Protect, Gatekeeper gibi sistemler eleştirmenleri, muhalifleri ve zulüm gören grupları ortaya çıkarmak ve susturmak için kullanılabilir.
  Şifreleme ve OCSP kullanarak kullanıcının kendi cihazında çalıştırdığı şeyleri uzaktan onaylayıp reddedebilen, şirketlerin dayattığı opak sistemler, halkını bastırmak isteyen liderlerin iştahını kabartacak türden.

• Birkaç ay önce bununla ilgili eğlenceli bir şey yaşadım. Şirket içi bir araç olarak küçük bir WPF GUI yaptım; yaptığı tek şey bir XML dosyasından veri okumak ve seri porta birkaç bayt göndermekti.
  Derlemeyi sıkıştırıp üretim ekibine gönderdim, Windows açmayı reddetti. Bunun trojan benzeri bir şey olduğu konusunda ısrarcıydı. Neyse ki Defender’ı yok sayıp işe devam etme seçeneği vardı.
  Doğrulama için derlemeyi Microsoft’a gönderdim; tamamen temiz çıktı. Çok sağ olsunlar.
  İmzalanmamış her şeyde Defender uyarısı çıkıyor, imzalanmış şeylerde de Defender uyarısı çıkıyor. Görünüşe göre “gerçek” imza sertifikası için ayda birkaç yüz dolar daha ödemek gerekiyor. Zaten para ödediğimiz sertifika Defender uyarısını kapatacak kadar güvenli değil mi yani?
  Tamamen bir haraç işi gibi geliyor.

• Bu arada VirusTotal’da da bazı sandbox tespitleri var. [1] Bazı şirketler VirusTotal verilerini almak için para ödüyor. Microsoft’un da Defender’da bu sonucu geçersiz kılmak zorunda kalmış olması çok olası.
  [1] - https://www.virustotal.com/gui/file/88c33af6f1963eb94683be1f...

• Dün, herkese açık IPv4’ü olan uzak bir WinSvr2012R2 VM’ye artık neden giriş yapılamadığını “araştırma” işine yardım ettim.
  Tahmin edildiği gibi hacklenmişti; komik olan, hevesli hacker’ın kurduğu şeydi. “Kendi” makinesini diğer hevesli hacker’lardan korumak için RDPGuard kurmuştu.
  Birkaç yıl önce mIRC, Windows “rootkit”lerinin popüler bir bileşeniydi; çünkü kontrol ve iletişim özellikleri yerleşik geliyordu.
  Tor da kötü amaçlı yazılımların güvenli iletişim kurmak için kullandığı bir şey olduğundan antivirüsü tetiklemesi tuhaf değil. Ayrıntılar için [0]’a bakın.
  https://news.ycombinator.com/item?id=37740584

• Buradaki tüm bilgisayarlarda Windows 11 kullanıyorum; masaüstü ve dizüstünde Tor Browser çalıştırıyorum ama böyle bir şey görmedim.
  Hatta bu sabah da Tor Browser’ı çalıştırdım. En kötü ihtimalle çözülmüş geçici bir sorun olduğunu düşünüyorum.

• MDE EP2 ile ilgili sorun, imza tabanlı tanımları yeterli test yapmadan tüm müşterilerin tüm filolarına dağıtıyor gibi görünmesi.
  Bu yüzden tüm uygulama kısayollarını silip son kullanıcıların tüm uygulamaların kaldırıldığına inanmasına yol açan bir durum yaşandı.
  Bir makinede kötü amaçlı yazılım varsa zaten ele geçirilmiştir; dolayısıyla sözde “düzeltme” ile seçici ve keyfi biçimde onarılmamalı, imajı baştan alınmalıdır. En başta güvenilmeyen kaynaklardan rastgele yazılım çalıştırılması engellenmeli ki makinede kötü amaçlı yazılım olmasın.
  İmza tabanlı anti-malware son savunma hattıdır; çoğu zaman ihlal gerçekleştikten sonra devreye giren, makinenin ele geçirilmesini engelleyemeyen tepkisel bir güvenliktir.
  Bir diğer sorun, kötü amaçlı yazılımın çok yeni olması ya da yaygın görülmemesi nedeniyle bunların yalnızca bir kısmı için imza bulunmasıdır.
  Son sorun ise zarar vermeyen ama bazı grupların hoşlanmadığı şeyleri yaptığı için “kötü amaçlı yazılım” diye yanlış sınıflandırılmasıdır. Uzaktan kontrol, parola kurtarma, yasa dışı keygen’ler gibi şeyler buna girer.