Korumalı Alan Ortamında Dinamik Analiz

Dinamik analiz, gerçek davranışını gözlemlemek için kötü amaçlı yazılımı denetimli bir ortamda çalıştırır: oluşturulan dosyalar, değiştirilen kayıt defteri anahtarları, kurulan ağ bağlantıları ve başlatılan süreçler. Statik analizin ortaya çıkaramadıklarını gösterir.

Korumalı alan, sistem çağrılarını yakalayan izleme kancalarıyla OS'yi sarar. Davranış günlükleri her dosya, kayıt defteri, ağ ve süreç olayını kaydeder. Popüler korumalı alanlar: Any.run (etkileşimli), Cuckoo (kendi sunucunuzda barındırılan), Joe Sandbox.

VMware veya VirtualBox'ı yalnızca ana bilgisayara yönelik ağ bağlantısıyla ya da özel bir VLAN ile kullanın. Örnekleri çalıştırmadan önce temiz bir anlık görüntü alın. Analiz VM'nizi üretim ağlarına asla bağlamayın — kötü amaçlı yazılım yatay hareket etmeye çalışabilir.

Örneği gönderin, canlı ve etkileşimli bir VM'de gözlemleyin ve tam davranış raporunu indirin. Any.run ağ göstergelerini, süreç ağaçlarını, bırakılan dosyaları ve MITRE ATT&CK teknik etiketlerini otomatik olarak öne çıkarır.

Süreç ağacı, üst-alt ilişkilerini gösterir. word.exe'nin powershell.exe'yi, onun da cmd.exe'yi başlattığını görmek, makro tabanlı bir bırakıcıya işaret eder. Beklenmeyen alt süreçler, önemli bir uzlaşma göstergesidir.

Korumalı alan ağ yakalamaları DNS sorgularını (C2 alan adı çözümlemesi), HTTP/S işaret trafiğini ve veri sızdırmayı gösterir. Hedef IP'leri, bağlantı noktalarını, kullanıcı aracısı dizelerini ve URI kalıplarını not edin — bunların tümü ağ IOC'lerine dönüşür.

Kötü amaçlı yazılım genellikle yüklerini %TEMP%, %APPDATA% veya sistem dizinlerine bırakır. Meşru ikili dosyaları değiştirebilir (DLL ele geçirme) ya da kalıcılık betikleri ekleyebilir. Oluşturulan, değiştirilen ve silinen dosyaları dikkatle izleyin.

Çalıştır anahtarlarıyla kalıcılık (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), hizmet yükleme (HKLM\SYSTEM\CurrentControlSet\Services) ve COM ele geçirme, korumalı alan günlüklerinde kayıt defteri olayları olarak görünür.

Cuckoo Linux üzerinde çalışır ve Windows VM'lerini analiz konukları olarak yönetir. REST API örnekleri kabul eder, JSON raporları döndürür ve tehdit istihbaratı platformlarıyla bütünleşir. Özelleştirilebilir modüller bellek dökümlerini ve ağ PCAP'lerini yakalar.

Gelişmiş kötü amaçlı yazılımlar korumalı alan kalıntılarını kontrol eder: az sayıda süreç, fare hareketi olmaması, VM kayıt defteri anahtarları (VMware Tools), belirli kullanıcı adı kalıpları veya kısa çalışma süresi. Kaçınmayı etkisiz kılmak için gerçek donanım ya da uzun süre çalışan korumalı alanlar kullanın.

Dinamik analiz, statik analizin öne sürdüklerini doğrular. Statik analiz şüpheli içe aktarmalar bulduysa dinamik analiz, bunların gerçekten çağrılıp çağrılmadığını ve hangi parametrelerle çağrıldığını gösterir — böylece eksiksiz bir davranış profili oluşturulur.

Dinamik analiz, gerçek davranışını yakalamak için kötü amaçlı yazılımı yalıtılmış bir korumalı alanda güvenle çalıştırır. Süreç ağaçları, ağ trafiği, kayıt defteri değişiklikleri ve dosya işlemleri birlikte kötü amaçlı yazılımın işlevselliği ile IOC'lerinin eksiksiz bir görünümünü sunar.