October 31, 2026
Red Team Gözünden: LOLBin’lerle “Sessiz Kalma” Sanatı
By Dogukan İSPİRLİ
4 min read
Bir red team operatörü hedef sisteme ayak bastığında ilk sorduğu soru "nasıl çalıştırırım?" değil, "nasıl fark edilmeden çalıştırırım?"dır. Bu yazıda LOLBin seçiminin arkasındaki operasyonel düşünceyi, OPSEC önceliklerini ve karar ağacını inceliyoruz.
Bu yazı bir "nasıl saldırı yaparım" rehberi değil. Amaç, savunmacıların çoğu zaman gözden kaçırdığı bir şeyi göstermek. Saldırgan bir süreci seçerken aslında bir risk-fayda hesabı yapıyor. Hangi LOLBin'i, hangi sırayla, hangi gerekçeyle seçtiğini anlamak, hem red team operasyonlarını daha gerçekçi kurgulamanıza hem de savunma tarafında doğru soruları sormanıza yardımcı olur.
Konu, bilinen ve yaygın şekilde dokümante edilmiş (MITRE ATT&CK, LOLBAS Project) teknikler. Burada yeni bir exploit ya da hazır payload yok; var olan bilginin arkasındaki karar mekanizmasını açıyoruz.
Saldırganın Önceliği: Çalıştırmak Değil, Hayatta Kalmak
Bir çoğu kişi offensive security'yi "en havalı exploit"le özdeşleştirir. Gerçek bir operasyonda öncelik sırası farklıdır:
- Tespit edilmemek (defense evasion)
- Erişimi kaybetmemek (persistence, resilience)
- İz bırakmamak (anti-forensics)
- Sonra hedefe ulaşmak (execution, lateral movement, exfiltration)
Bu sıralama, neden saldırganların kendi aracını getirmek yerine sistemde zaten duran, imzalı Windows binarylerini tercih ettiğini açıklıyor. Buna Living off the Land (LotL) diyoruz. Mantık basit: savunma ekibi "bilinmeyen bir .exe" ararken siz zaten svchost.exe'nin yanında, listenin içinde kayboluyorsunuz.
Karar Ağacı: Hangi Araç, Hangi Durumda?
Deneyimli bir red team operatörü bir LOLBin seçerken kafasında şu soruları sorar:
- Bu ortamda EDR var mı, hangi seviyede? AMSI aktifse PowerShell maliyeti artar, alternatif aranır.
- Application whitelisting (WDAC/AppLocker) var mı? Varsa izin verilen ikililer listesi operasyonun sınırlarını çizer.
- Komut satırı denetimi (4688) açık mı? Açıksa argümanları minimalize etmek ya da obfuscate etmek öncelik kazanır.
- Network monitoring seviyesi nedir? Egress filtering sıkıysa "fetch" adımını ayrı bir kanala taşımak gerekebilir.
Bu değerlendirme, saldırganın aslında bir mühendislik problemi çözdüğünü gösteriyor. En az iz bırakan, en yüksek güvenilirlikte çalışan yolu bulmak.
Execution Katmanı: "Önce Ayak Uydur"
İlk erişimden sonra operatörün önündeki soru şu: Komut çalıştırmam gerekiyor ama bunu nasıl yaparım ki ortam gürültüsüne karışsın?
PowerShell (T1059.001): Varsayılan Tercih, Ama Pahalı
PowerShell güçlüdür çünkü .NET'e doğrudan erişir, in-memory çalışabilir ve network modülleri hazırdır. Ama bir o kadar da izlenen bir yüzeydir. Deneyimli bir operatör şunu bilir: Script Block Logging ve AMSI açıksa, ham bir PowerShell komutu neredeyse intihar niteliğindedir.
Bu yüzden operasyonel düşünce şuna evrilir: "PowerShell'i tetikleyen başka bir süreç kullanabilir miyim, böylece lineage daha az şüpheli görünür?" ya da "Komutu string olarak değil, farklı bir encoding ile mi taşımalıyım?" Burada amaç büyülü bir bypass değil, gürültü seviyesini düşürmek.
cmd.exe (T1059.003): Düşük Profil, Yüksek Fonksiyon
cmd.exe PowerShell kadar loglanmaz, PowerShell kadar "şüpheli" algılanmaz. Bu yüzden ilk aşama keşif ya da basit zincirleme komutlar için tercih sebebidir. Operatör mantığı: "Daha gürültülü aracı en son kullan."
WSH — wscript.exe / cscript.exe (T1059.005/.007)
Initial access aşamasında, özellikle phishing senaryolarında tercih edilir çünkü kullanıcı etkileşimiyle doğal bir şekilde tetiklenir. Operatör açısından avantajı, ofis dışı bir kullanıcının gözünde "dosyayı açtım" ile "script çalıştı" arasındaki fark görünmez.
Proxy Execution: Güvenin Arkasına Saklanmak
Bu, offensive security'nin en "zarif" tarafı. Mantık: kendi kodunu çalıştırma, Microsoft'un imzaladığı bir ikiliye çalıştırt. Savunma ürünü genelde "bu imzalı dosya mı?" sorusuna evet derse rahatlar. Operatör tam da bu rahatlığı hedef alır.
mshta.exe (T1218.005)
HTA motoru, tarayıcı sandbox'ı olmadan script çalıştırır. Operatör için cazibesi: komut satırına doğrudan bir kaynağı işaret edebilmek, ve bunun "tarayıcı aktivitesi" gibi değil "uygulama açma" gibi görünmesi.
rundll32.exe (T1218.011)
DLL export fonksiyonu çağırmak, exe çalıştırmaktan çok daha az dikkat çeker çünkü rundll32.exe sistemde zaten binlerce kez meşru amaçla çalışır. Operatör burada "gürültüye karışma" stratejisini maksimum seviyede uygular.
regsvr32.exe — Squiblydoo (T1218.010)
Bu teknik offensive security camiasında neredeyse bir klasik haline geldi, çünkü diske hiçbir şey yazmadan kod çalıştırma imkânı sunuyor. Operatör perspektifinden "dosyasız" (fileless) olmak, adli analiz sürecini kökünden zorlaştırmak demek — disk forensics'in bulacağı bir artefakt yok.
msiexec.exe (T1218.007)
Kurulum paketleri meşru BT operasyonlarının bir parçası olduğu için, bu kanal üzerinden gelen bir "custom action" çoğu zaman yazılım dağıtım aracının gürültüsüne karışır. Operatör burada "bu zaten her gün oluyor" algısından faydalanır.
Tool Transfer ve Obfuscation: "Kendi İnternetini Getirme"
certutil.exe (T1105, T1140)
Operatörün klasik sorunu şudur: hedefe nasıl dosya indiririm, ağ ekibinin "bilinmeyen bir process internete çıktı" alarmını tetiklemeden? certutil.exe'nin sertifika doğrulama amacıyla zaten dışarıya istek atması, bu trafiği meşru bir bahane altında gizler. Üstüne, indirilen içeriği decode etme yeteneği, ikinci bir araca ihtiyaç duymadan payload'ı açığa çıkarmayı sağlar — yani operatör "tool minimization" ilkesini uygular: ne kadar az dış araç, o kadar az iz.
schtasks.exe (T1053.005)
Persistence kurarken operatörün aklındaki soru "nasıl kalıcı olurum" değil, "nasıl meşru bir kalıcı olurum"dur. Zamanlanmış görevler, IT departmanlarının günlük rutini olduğu için insan gözünde doğal görünür. İyi bir operatör, görev adını ve tetikleyicisini ortamdaki diğer görevlerle harmanlayacak şekilde seçer. Bu teknik bir adım değil, bir sosyal mühendislik/blending kararıdır.
Hedef Süreçler: Zafer Anı ve En Riskli An
lsass.exe (T1003.001)
Credential dumping, bir operasyonun genellikle en kritik ve en riskli anıdır çünkü LSASS'a dokunmak, olgun bir savunma ortamında neredeyse her zaman alarm tetikler. Deneyimli operatörler bu adımı mümkün olduğunca geciktirir ve mümkünse LSASS belleğine doğrudan erişim yerine dolaylı yöntemleri (ör. zaten elde edilmiş token'lar, cached credential'lar) tercih eder. Burada mindset şu: "En değerli hedef genelde en çok izlenen hedeftir — oraya en son, en hazırlıklı gittiğinde git."
svchost.exe (T1055, T1036.005)
Process injection ya da masquerading, operatörün "ben artık ortamın bir parçasıyım" dediği andır. svchost.exe özelinde cazibe şu: zaten onlarca meşru kopyası çalışıyor, bu da "bir tane daha" fark edilmeme ihtimalini artırıyor. İyi bir operatör burada da ayrıntıyı önemser. Path, parent process ve komut satırı parametrelerini gerçek bir svchost'a olabildiğince yakın tutmaya çalışır, çünkü bir mükemmel taklit ile bir yarım taklit arasındaki fark, tespit edilip edilmemeyi belirler.
OPSEC Zihniyeti: Her Adımda Sorulan Üç Soru
Offensive security araştırmacılarının LOLBin seçerken, aslında teknik beceriden önce şu üç soruyu sorduğunu söyleyebiliriz:
- Bu adım, ortamın normal gürültüsüyle ne kadar örtüşüyor? (blending)
- Bu adım geri alınamaz bir iz bırakıyor mu? (artifact minimization)
- Bu adım başarısız olursa, operasyonun geri kalanı tehlikeye girer mi? (fail-safe planning)
Bu üç soru, teknik bir checklist'ten daha çok bir karar verme disiplinidir. Deneyimli bir red teamer ile acemi bir operatör arasındaki fark genelde "hangi komutu bildiği" değil, "hangi komutu ne zaman kullanmaması gerektiğini bildiği"dir.
Bunu Savunma İçin Nasıl Kullanmalı?
Bu mindset'i anlamak, savunma tarafına şu avantajı sağlar. Bir LOLBin'in "var olması" değil, "blending stratejisinin çöktüğü an" aranmalıdır. Yani:
- Operatör gürültüye karışmaya çalışıyorsa, siz anomalik lineage'i arayın (ör. Office'ten PowerShell).
- Operatör artefakt bırakmamaya çalışıyorsa, siz bellek ve network telemetrisine ağırlık verin, sadece disk taramasına güvenmeyin.
- Operatör "mükemmel taklit" yapmaya çalışıyorsa, siz ince detaylarda (path, parent, parametre) tutarsızlık arayın.
Saldırganın mindset'ini bilmek, hangi detection kuralını yazacağınızı değil, hangi soruyu sorarak kural yazacağınızı belirler.
LOLBin tabanlı tradecraft'ın özü, bir exploit'ten çok bir disiplin meselesidir. En az araçla, en çok güvene bürünerek, en az iz bırakarak hedefe ulaşmak. Bu mindset'i anlamadan yazılan tespit kuralları, genelde sadece "bilinen kötü komut satırını" yakalar. Ama operatör komut satırını değiştirdiği anda kör kalır.
Gerçek savunma, saldırganın nasıl düşündüğünü anlamakla başlar.