Fareli Köyün Kavalcısı ve siber silahlar

Genel kanının aksine, peri masalları ve nesilden nesile aktarılan hikayeler eğlence için değil, çocuklara (ve yetişkinlere) anlaşılması kolay bir biçimde önemli dersler vermek için icat edilmiştir. Çok eskiden beri, hikaye anlatıcıları İnterneti (ki bunu da öngörmüşlerdir) daha güvenli bir yer haline getirme umuduyla, hikayelerinin içlerine siber güvenlik ipuçları dokumuşlardır. Örneğin, Kırmızı Başlıklı Kız hikayesi MitM (ortadaki adam) saldırıları hakkında bizi uyarırken, Pamuk Prenses hikayesi de hükümet destekli APT (Gelişmiş Kalıcı Tehdit) kampanyalarının habercisi sayılabilir. Benzer örneklerin listesi ise uzayıp gider.

Maalesef ki insanoğlu, peri masallarında açıkça verilen bu dersleri görmezden gelip çılgın bir inatla aynı hataları tekrarlamaya devam ediyor. Bunlara benzer bir diğer çarpıcı örnek ise Fareli Köyün Kavalcısı hikayesi.

Fareli Köyün Kavalcısı

Yüzlerce yıldır nesilden nesile aktarılan masallarda çoğu zaman karşılaştığımız gibi, bizlere aynı hikayenin birçok versiyonu sunulsa da, bütün bu versiyonlar genellikle ortak bir temaya sahiptir. Temel olay örgüsü yaklaşık olarak şöyledir: Almanya’daki kasabalardan biri olan Hamelin, gıda stoklarını yiyen fareler tarafından istila edilir. Bu fareler, insanlara ve evcil hayvanlara saldırır ve tabii ki kasaba halkının da canını sıkan birçok olayın yaşanmasına neden olurlar.

Bu farelerle başa çıkamayan yetkililer, sihirli bir kaval kullanarak fareleri kasabadan çıkaran, onları kasabanın yakınlarındaki bir nehre peşinden sürükleyerek farelerin nehirde boğulmalarını sağlayan oldukça süslü giyimli bir fare yakalama uzmanından yardım almaya karar verirler.

Ancak sonra, pinti belediye başkanı, anlaşmada üzerine düşeni yapmayı reddedip fare yakalama uzmanına, nam-ı diğer Fareli Köyün Kavalcısına, anlaştıklarından çok daha düşük bir para öder. Kavalcı bu duruma hiçbir şey demez. Buna karşılık, sihirli kavalını yeniden kullanır ve tıpkı fareleri kasabanın dışına çıkarmak için peşinden sürüklediği gibi, bu sefer de Hamelin kasabasının çocuklarını peşinden sürükler.

Hikayenin sonu, anlatıcının ne zaman yaşadığına ve ne kadar iyimser olduğuna göre değişkenlik gösteriyor (genellikle çok iyimser değiller). Ya çocuklar da fareler gibi Weser Nehri’nde boğulur, ya Koppenberg tepelerinin derinlerine götürülürler, ya da (en yakın tarihli ve en az kasvet içeren versiyonda) tepelerin ardındaki uzak bir yere gidip orada bir şehir bulurlar.

Alegorinin ardındaki anlam

İlginç bir şekilde bu olay hakkında kesin bir tarih verilir: 26 Haziran 1284. Efsanenin ilk olarak 1375 yılında kasaba günlüklerine kaydedildiğini görüyoruz. Daha sonrasında tekrar tekrar yazılıp anlatılmış. Bu süreçte de üzerine ilave ayrıntılar eklenmiş ve süslemeler de yapılmış. Eklenen bu ayrıntıların çoğu, bariz bir şekilde politik ve dini motivasyonlara sahip. Hikayenin bazı versiyonları Hamelin kasabası vatandaşlarının açgözlülüğüne odaklanırken; bazıları ise Kavalcı figürünü açıkça bir şeytan gibi gösteriyor. Bizse o günlerdeki oOrtaçağ ön yargılarını atlayıp, hikayenin temel noktaları üzerine odaklanacağız.

Hamelin kasabasına yapılan saldırılar

Bizim bakış açımıza göre, Hamelin’in altyapısının bilinmeyen kötü amaçlı kişiler tarafından saldırı altında olduğu görülüyor. Bu aktörler, kelimenin tam anlamıyla maddi varlıkları (tahıl) ve bilgileri (yasal belgeler) silip süpürüyor ve yerel halkın sağlığını tehdit ediyor.

Bu saldırının ayrıntılı bir açıklaması günümüze ulaşmamıştır; ancak bu saldırganların “rat (fare)” olarak adlandırılmalarının nedeni muhtemelen onların da kısaltması “RAT” olan bir Uzaktan Erişim Aracı (RAT) ya da bir Uzaktan Erişim Trojanı kullanmış olmasıdır. Genel olarak, bu gibi araçlar/Trojanlar saldırganların bir kurbanın sistemine tamamen erişim sağlamalarına neden oldukları için her tür pis iş için kullanılabilirler.

İşi Uzmanına Yaptırmak

İlk başta, kasaba sakinleri uç nokta güvenliği için kedilere dayanan bir çözüm deniyorlar. Ancak bu yöntemin işe yaramadığını görünce, saldırganların RAT’ındaki bir güvenlik açığını bilen üçüncü taraf bir uzmanla iletişime geçiyorlar. Uzman, bu güvenlik açığını hedef alarak, RAT operatörlerinin bilgisayarlarını uzaktan kontrol altına almak için onları bir tür botnet’e dönüştürerek güçlü bir siber silah oluşturuyor. Hepsinin sistemine sızan Kavalcı, tehdidi başarıyla etkisiz hale getiriyor.

Sivilleri hedef almak

RAT saldırısı başarıyla atlatıldıktan sonra, yetkililer uzmanla yaptıkları sözleşmenin layıkını yerine getirme konusunda akılsızca davranıyor. Efsanenin çoğu versiyonlarında finansal anlaşmazlıklardan bahsedilir. Ancak tabii ki bunu doğrulamak mümkün değildir. Durum ne olursa olsun, aynı güvenlik açığının kasabanın çocuklarının kullandığı cihazlarda da mevcut olduğu ortaya çıkıyor.

Ne yazık ki, hikaye bize aynı tehdidin nasıl hem RAT operatörlerine hem de sıradan halka karşı işe yaradığını açıklayacak teknik ayrıntılar sunmuyor. Bu güvenlik açığının, her zaman her yerde bulunan bir şeyde olduğunu varsayalım (örneğin, ağ kaynaklarına uzaktan erişim için kullanılan bazı popüler uygulama düzeyinde ağ protokolleri gibi).

Hikayedeki sözde yetişkinlerin de bu güvenlik açığından etkilenmeme nedenini açıkça gösteren bir şey yok. Belki de hikayedeki “çocuklar” sözcüğü reşit olmayan kullanıcılara değil, söz konusu protokolün başarısız bir güncellemesinden sonra bir güvenlik açığı geliştiren daha yeni bir işletim sistemine sahip yeni nesil aygıtlara atıfta bulunuyordur.

Her iki şekilde de, hikayenin sonu oldukça trajik: Kavalcı, aynı botnet hilesini kullanıyor — ancak bu defa RAT operatörleri üzerinde değil de kasabanın gençleri üzerinde.

Modern zamanlarda Fareli Köyün Kavalcısı

Anlatılan hikaye, Shadow Brokers hacker grubunun hikayesini ve EternalBlue exploit sızıntısını bir hayli hatırlatıyor. Bu sızıntı, WannaCry ve diğer birçok fidye yazılım salgınına yol açmıştı. Eğer Fareli Köyün Kavalcısı hikayesini EternalBlue sızıntısından sonra okumuş olsaydım, şüphesiz ki hikayeyi alegorik de olsa bu olay hakkında bir uyarı olarak algılardım. Olay örgüsü gerçekten de aynı: Bir hükumet organizasyonu, güçlü bir siber silahın geliştirilmesini istiyor, daha sonrasında bu siber silah aynı ülkenin yerel halkına karşı kullanılıyor.

Bu hatırı sayılır derecede önemli tesadüfü, tarihin sarmal bir şekilde gelişmesi yönüne bağlayabiliriz. Açıkça görülüyor ki XVI. yy. Alman bilgi güvenliği uzmanları bu sorunun zaten farkındaydı ve sonraki nesilleri (bizi) bir gün sivil kullanıcılara karşı — kötü sonuçlar ile — kullanılabilme ihtimali olan hükumet destekli siber silah programlarının tehlikelerine karşı uyarmaya çalıştılar.