Merhaba Değerli Forum Üyeleri,
Bu yazımızda, malware yazarlarının kullandığı başlıca Anti-Forensic tekniklerini ve adli analiz uzmanlarının bunlara karşı geliştirdiği çözümleri anlatmaya çalışacağım. Kısaca, zararlı yazılımlarını adli analizlerden kaçırmak ve tespit edilmeden zarar vermeye devam edebilmek için anti-forensic tekniklere başvururlar. Bu teknikler, bir saldırının veya zararlı faaliyetin izini silmek, yanıltıcı izler bırakmak veya sistemde mümkün olan en az izi bırakmak amacı taşır.
1. Verileri Silme ve İzi Sürdürmezlik
Zararlı yazılımların başvurdukları en temel tekniklerden biridir. Gerçekleştirdikleri eylemler sonrasında sistemde bıraktıkları verileri silmektir. Örnek olarak, "file wiping" olarak bilinen dosya silme tekniğidir. File wiping, bir dosyanın tüm parçalarının bellekte silinmesi ve geri getirilemez hale getirilmesi anlamına gelir. Bu işlem sırasında malware, genellikle diskte üzerine yazma işlemi gerçekleştirerek dosyaların kurtarılmasını engeller.
Adli analiz uzmanları, bu tekniklerin üstesinden gelmek için silinmiş dosyaların kalıntılarını kurtarmak amacıyla ileri seviye veri kurtarma yazılımları ve disk analiz tekniklerini kullanır. Bunun dışında, bellekte anlık görüntüler (memory dump) alarak saldırının yapıldığı sırada bellekteki tüm verileri kayıt altına alabilir ve bu görüntüden silinmiş verilere ulaşmaya çalışabilirler.
2. Yanıltıcı İzler ve False Flag Teknikleri
Anti-forensic tekniklerin bir parçası olarak yanıltıcı izler bırakabilirler. Saldırı başka bir kaynaktan geliyormuş gibi göstermek veya adli analiz sürecini yanıltmak amacıyla yapılan bir işlemdir. Başka bir ülkeye veya gruba ait gibi gösterilmesi amacıyla kullanılır ve adli analizcilerin doğru saldırganı tespit etmesini zorlaştırır.
False flag yöntemlerine karşı, adli analiz uzmanları genellikle kaynak IP adresi, saldırının türü ve yöntemi gibi bilgileri analiz ederek saldırının gerçek kaynağını bulmaya çalışır. Ayrıca, saldırı sırasında kullanılan diller, zaman dilimi farklılıkları ve malware’in kod yapısı incelenerek saldırganın hangi bölgeden veya topluluktan olabileceğine dair çıkarımlar yapılabilir.
3. Anti-Debugging ve Anti-VM Teknikleri
Anti-debugging ve anti-VM teknikleri, malware’in bir güvenlik araştırmacısı veya analiz uzmanı tarafından analiz edilmesini zorlaştırmak amacıyla kullanılır. Anti-debugging teknikleri, zararlı yazılımın bir hata ayıklayıcı (debugger) altında çalışıp çalışmadığını algılamasına olanak tanır. Eğer bir debugger algılanırsa, malware kendini durdurabilir veya farklı bir davranış sergileyebilir. Anti-VM teknikleri ise zararlı yazılımın sanal bir makinede çalışıp çalışmadığını tespit ederek, sanal ortamda çalıştığını fark ettiğinde hareketsiz kalması veya kendini silmesiyle sonuçlanabilir.
Adli analiz uzmanları bu tekniklerin üstesinden gelebilmek için genellikle daha düşük seviyede, yani sanal makine veya debugger tarafından daha zor algılanan analiz yöntemleri geliştirirler.
4. Kod Obfuscation (Kod Karmaşıklaştırma)
Malware yazarları, yazdıkları zararlı kodların analiz edilmesini zorlaştırmak amacıyla kod karmaşıklaştırma tekniklerini kullanır. Kod obfuscation, kodun anlaşılabilirliğini düşürmek ve analiz edilmesini zorlaştırmak için belirli kısımlarını karmaşık hale getirme işlemidir.
Kod karmaşıklaştırmaya karşı, adli analiz uzmanları deobfuscation (karmaşık kodu sadeleştirme) tekniklerini kullanarak kodu orijinal haline dönüştürmeye çalışırlar. Ayrıca, statik analiz araçlarıyla kodu parça parça inceleyerek zararlı işlevlerin izini sürmeye çalışırlar.
5. Rootkit Kullanımı
Rootkit’ler, özellikle sistemin derinliklerine nüfuz eden ve zararlı yazılımın tespit edilmesini zorlaştıran araçlardır. Malware yazarları, bir sisteme sızdıklarında rootkit’leri kullanarak sistemin işletim sistemi çekirdeğine kadar inebilir ve bu sayede kendi zararlı faaliyetlerini gizleyebilirler.
Adli analiz uzmanları, rootkit tespiti için genellikle daha gelişmiş güvenlik araçlarını kullanır. Bellek analizi yaparak rootkit izlerini bulmaya çalışır veya sistemin düşük seviyeli bölümlerini inceleyerek rootkit'in bıraktığı ipuçlarını ararlar.
6. Sonuç
Özet olarak malware yazarlarının kullandığı anti-forensic teknikler, zararlı yazılımların tespit edilmesini zorlaştırmak ve adli analiz sürecini karmaşıklaştırmak amacıyla tasarlanmıştır. Ancak adli analiz uzmanları, bu tür tekniklerin üstesinden gelebilmek için sürekli olarak yeni yöntemler ve araçlar geliştirmektedir.
Konumu Buraya Kadar Okuduğunuz ve Vaktinizi ayırdığınız için Teşekkür ederim.
Diğer yazılarımda görüşmek üzere, kendinize dikkat edin.
