Siber tehdit ortamı sürekli değişim hâlinde. Geçmişte yaygın olan dosya şifreleme temelli saldırılar, yerini veri hırsızlığı ve ifşa tehdidini içeren çift şantaj yöntemlerine bıraktı. Ancak dönüşüm bununla sınırlı değil. Kısa süre öncesine kadar neredeyse bilinmeyen bazı teknikler, bugün yaygın şekilde kullanılıyor. Örneğin, kullanıcıları sahte hata mesajlarıyla kandırarak kötü amaçlı komutları çalıştırmaya yönlendiren ClickFix yöntemi hem siber suç grupları hem de devlet destekli aktörler tarafından kullanılmaktadır. Bu adaptasyon hızı, bir versiyonunun doğada, aslında sonsuza dek devam ettiğini fark ettiğinizde pek de şaşırtıcı değil.
Rekabet içinde olan türler, sadece konumlarını korumak için sürekli olarak adapte olmak zorunda. Avcılar hızlanır, bu yüzden avlar da hızlanır. Avlar kamuflaj geliştirir, bu yüzden avcılar daha keskin bir görüş geliştirir. Biyoloji buna, Lewis Carroll’un Aynanın İçinden kitabındaki, sadece yerinde kalmak için koşmaya devam etmek zorunda olan bir karakterin adını taşıyan Kırmızı Kraliçe etkisi adını verir.
Siber güvenlikte de benzer bir dinamik söz konusu: Savunma sistemleri geliştikçe saldırganlar da buna karşılık verir. Bu durumun en somut örneklerinden biri, güvenlik çözümleri ile bu çözümleri devre dışı bırakmaya yönelik araçlar arasındaki rekabette görülür. Uç nokta tespit ve müdahale (EDR) ve genişletilmiş tespit ve müdahale (XDR) çözümleri, saldırgan faaliyetlerini tespit etmede kritik rol oynarken saldırganlar da bu sistemleri etkisiz hâle getirmeye yönelik araçlar geliştiriyorlar.
Güvenlik araştırmacıları, aktif olarak kullanılan yaklaşık 90 farklı “EDR katili” aracı izliyor. Bunların 54’ü, güvenlik açığı bulunan ancak meşru bir sürücünün sisteme yüklenmesi ve bu sayede çekirdek seviyesinde ayrıcalık elde edilmesine dayanan aynı tekniği kullanıyor.“Kendi Güvenlik Açığı Bulunan Sürücünü Getir” (BYOVD) olarak bilinen bu yöntem, farklı saldırı araçlarında tekrar tekrar karşımıza çıkıyor.
EDR katili araçlar, tıpkı fidye yazılımı ekosisteminin kendisi gibi, düzenli güncellenen ve abonelik modeliyle sunulan hizmetlerle destekleniyor. Bu araçların seçimi çoğu zaman doğrudan saldırıyı gerçekleştiren operatörlerden ziyade, bağlı kuruluşlar tarafından yapılır. Savunma sistemleri güncellendikçe, bu sistemleri aşmaya yönelik araçlar da aynı hızla evrilir. Bu döngü, siber tehdit ortamında Kırmızı Kraliçe etkisinin somut bir yansımasıdır.