Zararlı Yazılım Analizi (Malware Analysis), siber güvenlik dünyasında kritik bir öneme sahip olan bir süreçtir. Bu süreç, kötü niyetli yazılımların (virüsler, truva atları, fidye yazılımları, solucanlar vb.) davranışlarını, yeteneklerini, kaynak kodlarını ve yayılma mekanizmalarını anlamayı amaçlar. Amacımız, bir zararlı yazılımın sistemimize ne şekilde zarar verebileceğini, hangi verilere erişebileceğini ve nasıl yayılabileceğini tespit ederek, bu tehditlere karşı etkili savunma mekanizmaları geliştirmektir.

Günümüz siber tehdit manzarasında, her geçen gün yeni ve daha karmaşık zararlı yazılımlar ortaya çıkmaktadır. Bu durum, zararlı yazılım analizini sadece reaktif bir faaliyet olmaktan çıkarıp, proaktif bir tehdit istihbaratı kaynağı haline getirmiştir. Bir yazılımın analizi, onu oluşturan kötü niyetli aktörlerin yöntemlerini anlamak ve gelecekteki saldırılara karşı hazırlıklı olmak için hayati bir adımdır.

Neden Zararlı Yazılım Analizi Yapılır?

• Tehdit Tespiti ve Yanıtı: Bir saldırı sonrası zararlı yazılımın neden olduğu zararı anlamak ve yayılmasını durdurmak.
• İmza Geliştirme: Antivirüs ve diğer güvenlik ürünleri için yeni tespit imzaları oluşturmak.
• Tehdit İstihbaratı: Yeni saldırı vektörleri, araçları ve yöntemleri hakkında bilgi edinmek.
• Tersine Mühendislik: Yazılımın iç işleyişini ve gizli özelliklerini keşfetmek.

Zararlı yazılım analizi genellikle iki ana kategoriye ayrılır:

1. Statik Analiz (Static Analysis)
Statik analiz, zararlı yazılımın kodunu çalıştırmadan incelenmesidir. Bu yöntem, yazılımın dosya yapısını, içindeki stringleri, import/export fonksiyonlarını, API çağrılarını ve derleme bilgilerini incelemeyi içerir. Statik analiz, genellikle zararlı yazılım hakkında hızlıca ön bilgi edinmek ve dinamik analiz öncesinde bir yol haritası çıkarmak için kullanılır.

Kullanılan Bazı Araçlar:

• PEview / PE-bear: Taşınabilir Çalıştırılabilir (PE) dosya yapısını incelemek için.
• Strings: Çalıştırılabilir dosya içindeki okunabilir karakter dizilerini (IP adresleri, URL'ler, dosya yolları vb.) çıkarmak için.
  
  Kod:

  strings malware.exe | grep "http"
  strings malware.exe | grep "C:\\Users"

• IDA Pro / Ghidra: Tersine mühendislik için kullanılan disassembler ve debugger'lar.
• ExifTool: Dosya meta verilerini görüntülemek için.
• Detect It Easy (DIE): Dosyanın paketleyici (packer) olup olmadığını veya derleyici bilgilerini tespit etmek için.

Statik analizde, yazılımın obfüskasyon (karıştırma) veya paketleme (packing) teknikleri kullanıp kullanmadığı önemlidir. Bu durum, analizi zorlaştırabilir ve dinamik analize geçmeden önce ek adımlar gerektirebilir.

2. Dinamik Analiz (Dynamic Analysis)
Dinamik analiz, zararlı yazılımın kontrollü bir ortamda (genellikle sanal makine veya kum havuzu - sandbox) çalıştırılarak davranışlarının gözlemlenmesidir. Bu yöntem, zararlı yazılımın dosya sistemi üzerindeki değişikliklerini, kayıt defteri üzerindeki etkilerini, ağ trafiğini, oluşturduğu veya sildiği süreçleri ve diğer sistem etkileşimlerini izlemeyi sağlar. Dinamik analiz, yazılımın gerçek hayattaki davranışlarını en iyi şekilde anlamamızı sağlar.

Kullanılan Bazı Araçlar ve Ortamlar:

• Sanbox Ortamları: Cuckoo Sandbox, Any.Run, Hybrid Analysis gibi otomatik analiz platformları.
  Cuckoo Sandbox Resmi Sayfası
  Any.Run - Etkileşimli Kum Havuzu
• Process Monitor (Procmon): Dosya, kayıt defteri, ağ ve süreç etkinliğini gerçek zamanlı olarak izlemek için.
• Process Explorer: Çalışan süreçleri, DLL'leri ve açık tanıtıcıları (handle) görüntülemek için.
• Regshot: Kayıt defteri değişikliklerini karşılaştırmak için.
• Wireshark: Ağ trafiğini yakalamak ve analiz etmek için.
  
  Kod:

  ip.addr == 192.168.1.100 && tcp.port == 80
  dns.qry.name == "malicious.com"

• FakeNet-NG / INetSim: Sahte ağ hizmetleri sağlayarak zararlı yazılımın dış dünya ile iletişimini kontrol etmek için.

Dinamik analiz sırasında, zararlı yazılımın anti-analiz teknikleri kullanıp kullanmadığına dikkat etmek gerekir. Bazı yazılımlar, bir sanal ortamda çalıştıklarını tespit ettiklerinde davranışlarını değiştirebilir veya hiç çalışmayabilirler. Bu, analisti zorlayan yaygın bir durumdur.

Analiz Ortamının Hazırlanması:
Zararlı yazılım analizi için güvenli ve izole bir ortam oluşturmak hayati öneme sahiptir. Bu genellikle bir sanal makine (VM) kullanılarak yapılır. Sanal makineler, ana sisteminizden izole bir çalışma alanı sağlar ve zararlı yazılımın ana sisteminize veya ağınıza zarar vermesini engeller.

Ortam Kurulumu İpuçları:

• İzole Ağ: Sanal makinenizin internet erişimini kontrol edin. Zararlı yazılımın komuta-kontrol (C2) sunucularıyla iletişim kurmasını veya yayılarak gerçek ağınıza ulaşmasını engelleyin. Gerekirse sadece belirli portlara izin verin veya FakeNet gibi araçlar kullanın.
• Snapshot Alma: Analizden önce sanal makinenizin bir anlık görüntüsünü (snapshot) alın. Analiz sonrası bu anlık görüntüye geri dönerek temiz bir başlangıç yapabilirsiniz.
• Gerekli Araçlar: Analiz için gerekli tüm yazılımları (disassemblerlar, debuggarlar, monitöring araçları vb.) önceden kurun ve güncelleyin.
• Donanım İzolasyonu: Mümkünse analizi, ana iş istasyonunuzdan fiziksel olarak ayrı bir makinede yapın. Böylece en ufak bir sızıntı riskini bile azaltmış olursunuz.

Yukarıdaki gibi temsili bir şema, güvenli bir zararlı yazılım analiz laboratuvarının temel bileşenlerini göstermektedir.

Analiz Süreci ve İpuçları:
Bir zararlı yazılım analizi süreci genellikle aşağıdaki adımları içerir:

• Tespit ve Toplama: Şüpheli dosyanın güvenli bir şekilde elde edilmesi.
• İlk İnceleme (Triage): Dosya türü, hash bilgileri, paketleme durumu gibi temel bilgilerin toplanması.
• Statik Analiz: Kodun çalıştırılmadan incelenmesi (Strings, PEview, IDA/Ghidra).
• Dinamik Analiz: Kontrollü ortamda çalıştırılarak davranışların gözlemlenmesi (Procmon, Wireshark, Sandbox).
• Gelişmiş Analiz (Opsiyonel): Tersine mühendislik, bellek analizi, zararlı yazılımın kodunu adım adım takip etme.
• Raporlama: Bulunan tüm bulguların detaylı bir şekilde raporlanması.

"Bir tehdidi anlamanın en iyi yolu, onunla yüzleşmek ve içini dışını öğrenmektir. Zararlı yazılım analizi, siber güvenliğin kalp atışıdır."
- Siber Güvenlik Uzmanı

Genişletmek için tıkla ...

Analiz sırasında sabırlı olmak ve her detaya dikkat etmek önemlidir. Zararlı yazılımlar genellikle kendilerini gizlemek ve analiz edilmelerini engellemek için karmaşık teknikler kullanır.

Gelişmiş Konular:
Zararlı yazılım analizi alanı oldukça geniştir ve bazı gelişmiş konular şunları içerir:

• Obfüskasyon ve Paketleme Kaldırma: Zararlı yazılımların anlaşılmaz hale getirilmiş veya sıkıştırılmış kodlarını orijinal hallerine döndürme teknikleri.
• Anti-Analiz ve Anti-VM Teknikleri: Zararlı yazılımların, sanal ortamda çalıştıklarını veya bir debugger tarafından izlendiklerini anlayıp davranışlarını değiştirmesi.
• Kernel-Mode Malware Analizi: İşletim sistemi çekirdeği seviyesinde çalışan zararlı yazılımların incelenmesi.
• Bellek Adli Tıbbı (Memory Forensics): Çalışan bir sistemin bellek dökümlerini analiz ederek zararlı süreçleri, enjekte edilmiş kodları veya gizlenmiş verileri bulma.
  
  Kod:

  volatility -f memdump.raw imageinfo
  volatility -f memdump.raw pslist
  volatility -f memdump.2023.raw malfind

• OT (Operasyonel Teknoloji) / ICS (Endüstriyel Kontrol Sistemleri) Zararlı Yazılımları: SCADA sistemlerini hedef alan özel tehditlerin analizi.

Sonuç:
Zararlı yazılım analizi, modern siber güvenliğin temel direklerinden biridir. Bu disiplin, tehditlerin nasıl çalıştığını anlamamızı, onlara karşı etkili savunmalar geliştirmemizi ve gelecekteki saldırılara karşı proaktif stratejiler oluşturmamızı sağlar. Sürekli gelişen tehdit manzarası karşısında, analistlerin bilgi ve becerilerini sürekli güncellemeleri hayati öneme sahiptir. Bu alana ilgi duyanların teorik bilgiyi pratik uygulamalarla pekiştirmesi ve güvenli bir laboratuvar ortamında denemeler yapması şiddetle tavsiye edilir.

Bu rehber, zararlı yazılım analizine kapsamlı bir giriş yapmayı ve temel kavramları açıklamayı amaçlamıştır. Daha derinlemesine bilgi edinmek için Malware Analysis Kitapları ve online kurslar gibi kaynaklara başvurabilirsiniz.