Zararlı yazılım analizi Giriş part -1

Suppressor' Alıntı:

Herkese selam! Uzun ağlamalarım sonucu bugün zararlı yazılım analizi yapacağım. Hey, sen hazırsan başlayalım.
(Bu ders biraz daha direkt analize dayalı terimlerden ilerkeyen derslerde bahsedeceğim)
*-*-**-*-*--*-*-*-*-*----------*-*-*-*-*--*-*-*-*--**-*-*-*-*-*--**-*-*-*-*-*-*-------------------*-*-*-*-*-*-*-**-*-*-*-*-*--*-*-*----*-*-*--*-*-*-*-



İlk olarak temel statik analizde ne yapacağız


Uygulama çalıştırılmaz.


Şüpheli yazılım hakkında bilgi kazanılması için yapılan analizdir.

Zararlı yazılıma ait hash değerlerinin online sandbox platformları tarafından araştırılması.

Zafiyete ait string değerleri çıkartılır.

Yazılımın karıştırılmış mı paketlenmiş mi analizi zorlaştırmak için bir işlem uygulanacak mı?

PE (Portable Executable) Header, export ve import tablolarını inceleyeceğiz.

Hash değerli incelemesi: daha önce veritabanına yakalanmış mı, yakalanmamış mı, popüler mi, yeni mi, eski mi? Bu bilgileri öğrenmek istiyoruz

İlk olarak hashmyfiles'a atıp hash değerlerini öğreniyoruz.

Değerleri aldık, şimdi virüs toplamına gidiyoruz bakalım bize ne diyecek?

VT LİNK




Şimdi sıra string analizinde.

Kod:

strgins "{71257279-042b-371d-a1d3-fbf8d2fadffa}.exe" > analyz.txt komutu ile kaydettik.

(SS DE KAYDETMEMİŞ O DİZİNDE OLDUĞUM İÇİN OLMAMIŞ, O DİZİNE TEKRAR GİTTİM VE OLDU. ZARARLI YAZILIM İLE AYNI DİZİNDE OLMANIZ GEREKİYOR)






Evet, uzun yırtınmalarım sonucunda bir IP adresi keşfettik. Bu IP adresini kullanarak bir DNS, DLL dosyaları, Fonksiyonları, site adresi vb. bulmayı amaçlıyoruz.

Şimdi ise herhangi bir UPX ile şifreleme işlemi uygulandı mı, bunu tespit etmek için 'PIED' aracından yardım alacağız

Bu zararlı yazılımda UPX1 kullanıldığını görüyoruz. Buradaki şifreleme string değerleri ile çok fazla bağlantılı olduğu için string değerlerini fazla gösteremedim, ama genel olarak yazılımın çalışma mantığı kullanılan fonksiyonlar, DLL'ler vb. şeylerle bağlantılıdır.
DEVAMI PART 2 DE ​

Genişletmek için tıkla ...

Suppressor' Alıntı:

Herkese selam! Uzun ağlamalarım sonucu bugün zararlı yazılım analizi yapacağım. Hey, sen hazırsan başlayalım.
(Bu ders biraz daha direkt analize dayalı terimlerden ilerkeyen derslerde bahsedeceğim)
*-*-**-*-*--*-*-*-*-*----------*-*-*-*-*--*-*-*-*--**-*-*-*-*-*--**-*-*-*-*-*-*-------------------*-*-*-*-*-*-*-**-*-*-*-*-*--*-*-*----*-*-*--*-*-*-*-



İlk olarak temel statik analizde ne yapacağız


Uygulama çalıştırılmaz.


Şüpheli yazılım hakkında bilgi kazanılması için yapılan analizdir.

Zararlı yazılıma ait hash değerlerinin online sandbox platformları tarafından araştırılması.

Zafiyete ait string değerleri çıkartılır.

Yazılımın karıştırılmış mı paketlenmiş mi analizi zorlaştırmak için bir işlem uygulanacak mı?

PE (Portable Executable) Header, export ve import tablolarını inceleyeceğiz.

Hash değerli incelemesi: daha önce veritabanına yakalanmış mı, yakalanmamış mı, popüler mi, yeni mi, eski mi? Bu bilgileri öğrenmek istiyoruz

İlk olarak hashmyfiles'a atıp hash değerlerini öğreniyoruz.

Değerleri aldık, şimdi virüs toplamına gidiyoruz bakalım bize ne diyecek?

VT LİNK




Şimdi sıra string analizinde.

Kod:

strgins "{71257279-042b-371d-a1d3-fbf8d2fadffa}.exe" > analyz.txt komutu ile kaydettik.

(SS DE KAYDETMEMİŞ O DİZİNDE OLDUĞUM İÇİN OLMAMIŞ, O DİZİNE TEKRAR GİTTİM VE OLDU. ZARARLI YAZILIM İLE AYNI DİZİNDE OLMANIZ GEREKİYOR)






Evet, uzun yırtınmalarım sonucunda bir IP adresi keşfettik. Bu IP adresini kullanarak bir DNS, DLL dosyaları, Fonksiyonları, site adresi vb. bulmayı amaçlıyoruz.

Şimdi ise herhangi bir UPX ile şifreleme işlemi uygulandı mı, bunu tespit etmek için 'PIED' aracından yardım alacağız

Bu zararlı yazılımda UPX1 kullanıldığını görüyoruz. Buradaki şifreleme string değerleri ile çok fazla bağlantılı olduğu için string değerlerini fazla gösteremedim, ama genel olarak yazılımın çalışma mantığı kullanılan fonksiyonlar, DLL'ler vb. şeylerle bağlantılıdır.
DEVAMI PART 2 DE ​

Genişletmek için tıkla ...

Suppressor' Alıntı:

Herkese selam! Uzun ağlamalarım sonucu bugün zararlı yazılım analizi yapacağım. Hey, sen hazırsan başlayalım.
(Bu ders biraz daha direkt analize dayalı terimlerden ilerkeyen derslerde bahsedeceğim)
*-*-**-*-*--*-*-*-*-*----------*-*-*-*-*--*-*-*-*--**-*-*-*-*-*--**-*-*-*-*-*-*-------------------*-*-*-*-*-*-*-**-*-*-*-*-*--*-*-*----*-*-*--*-*-*-*-



İlk olarak temel statik analizde ne yapacağız


Uygulama çalıştırılmaz.


Şüpheli yazılım hakkında bilgi kazanılması için yapılan analizdir.

Zararlı yazılıma ait hash değerlerinin online sandbox platformları tarafından araştırılması.

Zafiyete ait string değerleri çıkartılır.

Yazılımın karıştırılmış mı paketlenmiş mi analizi zorlaştırmak için bir işlem uygulanacak mı?

PE (Portable Executable) Header, export ve import tablolarını inceleyeceğiz.

Hash değerli incelemesi: daha önce veritabanına yakalanmış mı, yakalanmamış mı, popüler mi, yeni mi, eski mi? Bu bilgileri öğrenmek istiyoruz

İlk olarak hashmyfiles'a atıp hash değerlerini öğreniyoruz.

Değerleri aldık, şimdi virüs toplamına gidiyoruz bakalım bize ne diyecek?

VT LİNK




Şimdi sıra string analizinde.

Kod:

strgins "{71257279-042b-371d-a1d3-fbf8d2fadffa}.exe" > analyz.txt komutu ile kaydettik.

(SS DE KAYDETMEMİŞ O DİZİNDE OLDUĞUM İÇİN OLMAMIŞ, O DİZİNE TEKRAR GİTTİM VE OLDU. ZARARLI YAZILIM İLE AYNI DİZİNDE OLMANIZ GEREKİYOR)






Evet, uzun yırtınmalarım sonucunda bir IP adresi keşfettik. Bu IP adresini kullanarak bir DNS, DLL dosyaları, Fonksiyonları, site adresi vb. bulmayı amaçlıyoruz.

Şimdi ise herhangi bir UPX ile şifreleme işlemi uygulandı mı, bunu tespit etmek için 'PEİD' aracından yardım alacağız

Bu zararlı yazılımda UPX1 kullanıldığını görüyoruz. Buradaki package string değerleri ile çok fazla bağlantılı olduğu için string değerlerini fazla gösteremedim, ama genel olarak yazılımın çalışma mantığı kullanılan fonksiyonlar, DLL'ler vb. şeylerle bağlantılıdır.
DEVAMI PART 2 DE ​

Genişletmek için tıkla ...

TurkGokay' Alıntı:

Ellerine sağlık, cidden merak ettiğim ve öğretilsin diye uğraştığım bir konuydu (@'ReDLiNe

) 2. bölümü merakla bekliyor olacağım.

Genişletmek için tıkla ...

alexandre20' Alıntı:

konu troll mü anlayamadım ama paylaştığınız komutlar yanlış, daha "strings" yazmayı bilmeden cmd'de gidip yanlış şeyleri (strgings vs) yazıp sonra neden çalışmadı diye soruyorsunuz, ve bunu gelip burda paylaşıyorsunuz. Hatanızı düzeltmek yerine hatalı bir şekilde bu konuyu açtığınız için insanların da kafası karışacak. Düzeltmenizi öneririm

Ayrıca kullandığınız terminoloji yanlış, anlamını bilmediğiniz kelimeleri seçip konunun üzerie atmışsınız, "PEID" diye yazılır pied değil. UPX şifreleme değil packer'dir.
"Bu IP adresini kullanarak bir DNS, DLL dosyaları, Fonksiyonları" zaten tamamen mantıksız bir cümle olmuş, ip adresi dns dll rastgele terimler kullanılmış, ip adresi ile dll dosyalarının veya fonksiyonlarının ne alakası var?

Çok kafa karıştırıcı bir konu, yeni başlayanlar için olmadığı kesin

Ayrıca konuda kullanılan "strings" tool'u default olarak windows'da yüklü gelmez sizin indirmeniz gerekir

edit:
bahsettiğim yazım hatalarını aşağıda bıraktım. Konu sahibi kendi konusu içinde bu yazım hatalarını bulup düzeltebilir.

Genişletmek için tıkla ...

Floria1' Alıntı:

Eline sağlık

Genişletmek için tıkla ...

Grimner' Alıntı:

Eline sağlık, yararlı bir içerik olmuş.

Genişletmek için tıkla ...

rootibo' Alıntı:

Eline saglik o virustotal ne oyle yav

Genişletmek için tıkla ...

KARAHANLI' Alıntı:

Kısaca özetleyem bomba atarlar füze yagdırırlar verimli kullanılan şeylerde iciniz rahat olur yani dikkatli ol her şeye tıklama indirme verimli kullan eline saglık.

Genişletmek için tıkla ...