Makro kaydedici güvenli mi? Antivirüs yanlış pozitifleri

Tıklamaları otomatikleştirmek için bir program kuruyorsun ve birden antivirüs alarm veriyor. Şüphe duyman normal. Güvenli bir makro kaydedici elbette var, ama çalışma şekli yüzünden bir antivirüsün onu mercek altına alması kolaydır. Bu yazıda bunun neden olduğunu, yanlış pozitifi gerçek bir riskten nasıl ayıracağını ve herhangi bir makro kaydediciyi kurmadan önce neleri kontrol edeceğini göreceksin.

Antivirüsler neden uyarı verir

Bir makro kaydedici iki şey yapar: klavye ve fareyle yaptıklarını izler ve sonra onları tekrarlar. Dışarıdan bakınca bu davranış bazı kötü amaçlı programlarınkine benzer. Örneğin bir keylogger da yazdıklarını kaydeder.

Bir güvenlik şirketi olan GridinSoft bunu, çok bilinen bir makro kaydedici olan TinyTask üzerinden açıklıyor. Girdiyi izleyen, onu yeniden oynatan ya da bir çalıştırılabilir dosyaya dönüştüren bir program, saldırganların kullandığı araçlarla ortak davranışlar sergiler. Bu yüzden antivirüsler sezgisel (heuristic) tespit uygular: belirli bir virüsü değil, şüpheli davranışları arar.

Sonuç olarak meşru bir program da genel uyarılar alabilir. Buna yanlış pozitif denir.

Yanlış pozitif mi, gerçek risk mi

Her uyarı aynı değildir. GridinSoft'a göre "şüpheli" veya "risk aracı" gibi genel etiketler genellikle sezgisel bir tespite işaret eder. Buna karşılık, tanınmış birkaç antivirüs bir truva atı ya da veri çalan bir program gibi ciddi bir şeyde hemfikirse bunu çok daha ciddiye almak gerekir.

Dikkat etmen gereken risk işaretleri şunlar:

• İndirmenin kaynağı. Dosya bir yansı siteden, kısaltılmış bir bağlantıdan, bir video açıklamasından ya da sosyal ağlardaki veya sohbetlerdeki bir mesajdan geliyorsa şüphelen.
• Paketlenmiş yükleyiciler. Programın kendisi yerine başka şeyler de kuran bir "indirici" indiriyorsan bu kötü bir işarettir.
• Yeniden ortaya çıkan dosyalar. Dosyayı silersen ya da antivirüs onu karantinaya alırsa ve dosya geri gelirse bir sorun var demektir.
• Garip konumlar. %TEMP%, %APPDATA% veya başlangıç klasörü gibi klasörlerden ya da rastgele adlı alt klasörlerden çalışan çalıştırılabilir dosyalar.

Yanlış pozitif genellikle tam tersi görünür: tek bir genel uyarı, resmi sitesinden indirilmiş bir program ve sistemde hiçbir garip değişiklik yok.

Kurmadan önce kontrol listesi

Bir makro kaydedici kurmadan önce şu noktaları gözden geçir:

1. Resmi siteden ya da Microsoft Store gibi resmi bir mağazadan indir. Üçüncü taraf kopyalardan kaçın.
2. Tespitleri birkaç antivirüste karşılaştır. GridinSoft, dosyayı bir itibar hizmetinde ve yerel olarak taramayı ve tespit adlarını karşılaştırmayı öneriyor.
3. Üretici yayınlıyorsa dosyanın parmak izini kontrol et. SHA-256 parmak izi dosyanın imzası gibidir: PowerShell'de Get-FileHash -Algorithm SHA256 komutu ve ardından dosyanın yolu sana kendi parmak izini verir. Yayınlananla eşleşmiyorsa dosya orijinal değildir.
4. Çalıştırdıktan sonra sistemi izle. Bir kaydedici eylemlerini kaydetmeli ve oynatmalıdır. Kendi başına zamanlanmış görevler oluşturmamalı, tarayıcıya uzantı kurmamalı ya da senin istemediğin başlangıç programları bırakmamalıdır.

Herhangi bir makro kaydedici hakkında kendine sorman gerekenler

Antivirüsün ötesinde, bu türden her program için sorulması gereken üç soru var:

• Makrolar ve yazdıklarım nerede saklanıyor? Metin kaydedersen o metin makronun içinde kalır. Bilgisayarında mı kaldığını yoksa bir sunucuya mı yüklendiğini bilmekte fayda var.
• Hesap istiyor mu? Bu kendi başına kötü değildir ama bir yerde sana bağlı veriler olduğu anlamına gelir.
• Ağla ne yapıyor? Neyin ve neden gönderildiğini sor. Gizlilik politikası bunu açıkça anlatmalıdır.

Macro Quantic Pro bu noktaları nasıl ele alıyor

Macro Quantic Pro bu sorulara, kimsenin tutamayacağı vaatlerde bulunmadan şöyle cevap veriyor:

• Microsoft Store'dan indirme. İndirme sayfasında önerilen seçenek bu: kendi kendine kurulur ve güncellenir, bütünlüğünü de Microsoft doğrular. Ayrıca dosyayı kontrol edebilmen için SHA-256 parmak izi yayınlanmış doğrudan bir yükleyici de var.
• Makroların bilgisayarında kalır. Makrolar ve içlerinde yazdıkların bulutta değil, bilgisayarında saklanır. Gizlilik politikasına göre program makroları, kayıtları veya OCR robotlarının ekran görüntülerini otomatik olarak yüklemez.
• Başlamak için hesap gerekmez. Bir hesap oluşturmadan kurup kullanabilirsin.
• OCR bilgisayarında. Ekrandaki metni okuyan robotlar tanıma işlemini kendi bilgisayarında yapar.
• Asistan yalnızca sen istediğinde harekete geçer. Yapay zekâ asistanı Heliot soruları yanıtlar ve programda yalnızca sen istediğinde bir şey yapar. Manuel modda ayrıca her eylemden önce onay ister.

Şeffaf olmak gerekirse: bazı şeyler bilgisayardan çıkar. Heliot'a sorduğun sorular, asistan penceresinin de belirttiği gibi yanıtlanmak üzere Macro Quantic sunucularına gönderilir. Lisans ve ücretsiz deneme de çevrimiçi kontrol edilir; gizlilik politikası bunun için hangi verilerin kullanıldığını, örneğin bazı takma adlı kullanım olaylarını ayrıntılarıyla anlatır. Makrolarının içinde yazdıkların gönderilmez: Heliot bunları <texto> olarak görür.

Bunların hiçbiri, hiçbir antivirüsün asla uyarı göstermeyeceğini garanti etmez. Yapabileceğin şey, kaynağı kontrol etmek ve programın verilerinle ne yaptığını bilmektir.

Bir uyarı çıkarsa ne yapmalı

Antivirüsün bir makro kaydediciyi kurarken veya çalıştırırken uyarı verirse sakin ol:

1. Antivirüsü körü körüne devre dışı bırakma. Ne olduğunu öğrenene kadar ne kapat ne de dosyayı geri yükle.
2. Kaynağı doğrula. Dosyayı nereden indirdiğini kontrol et. Resmi siteden veya resmi bir mağazadan değilse sil ve oradan yeniden indir.
3. Tespitin adına bak. Genel bir "risk" etiketi, birkaç antivirüsün bir truva atı tespit etmesiyle aynı şey değildir.
4. Destekle iletişime geç. Programın ekibi bunun bilinen bir yanlış pozitif olup olmadığını doğrulayabilir. Macro Quantic Pro için destek sayfası var.

Resmi kaynaktan indir

Macro Quantic Pro'yu denemek istiyorsan bunu resmi sitesinden ya da indirme sayfası üzerinden Microsoft Store'dan yap. Başlamak ücretsiz ve hesaba ihtiyacın yok.

Sık sorulan sorular

Antivirüsüm neden bir makro kaydediciyi tespit ediyor?

Çünkü bir makro kaydedici klavyeyi ve fareyi izler ve eylemleri tekrarlar; bunu bazı kötü amaçlı programlar da yapar. Birçok antivirüs, program meşru olsa bile bu davranışı genel olarak tespit eder.

Yanlış pozitif olduğunu nasıl anlarım?

Kaynağa ve tespite bak. Resmi siteden veya resmi bir mağazadan indirdiysen, yalnızca tek bir genel uyarı varsa ve sistemde garip değişiklikler fark etmiyorsan büyük ihtimalle yanlış pozitiftir. Birkaç antivirüs ciddi bir şeyde hemfikirse çalıştırma.

Nereden indirmeliyim?

Her zaman programın resmi sitesinden veya Microsoft Store gibi resmi bir mağazadan. Yansı sitelerden, kısaltılmış bağlantılardan ve videolarda veya sohbetlerde paylaşılan indirmelerden kaçın.

Verilerim bilgisayarımdan çıkıyor mu?

Macro Quantic Pro'da makrolar, içlerinde yazdıkların ve OCR robotlarının okumaları bilgisayarında saklanır. Gizlilik politikasında açıklandığı gibi Heliot'a sorduğun sorular ve lisans ile deneme için gereken veriler ise gönderilir.

Kaynaklar

• GridinSoft: TinyTask virus: false positive or real risk?