Bellek Edinimi ve Volatility Çerçevesi

RAM, çalışan işlemleri, ağ bağlantılarını, şifreleme anahtarlarını, parolaları, yerleştirilmiş kodu ve saldırgana ait, diske hiç yazılmamış olabilecek izleri içerir. Dosyasız kötü amaçlı yazılımlar yalnızca bellekte bulunur. Bellek analizi, disk adli bilişiminin tamamen gözden kaçırdığı kanıtları yakalar.

WinPmem, Windows için ücretsiz ve açık kaynaklı bir bellek edinme aracıdır. Volatility tarafından analiz edilebilen ham bir bellek dökümü oluşturur. Çekirdek yapıları da dahil olmak üzere tüm fiziksel belleği yakalamak için yönetici olarak çalıştırın.

Linux Memory Extractor (LiME), RAM'i edinen ve bir dosyaya yazan ya da ağ üzerinden gönderen bir çekirdek modülüdür. Dökümü güvenliği ihlal edilmiş olabilecek sisteme yazmamak için canlı olay müdahalesinde ağ yöntemini kullanın.

Volatility 3, önde gelen bellek adli bilişim çerçevesidir. Çekirdek yapılarını yorumlayabilmek için hedef OS sürümüne ait bir sembol tablosu gerektirir. Temel komutlar: windows.pslist, windows.pstree, windows.netstat, windows.dlllist, windows.malfind.

windows.pslist çalışan işlemleri listeler. Bunları güvenilir temel çizgilerle karşılaştırın. Şunları arayın: alışılmadık yollardan (%TEMP%, %APPDATA%) çalışan işlemler, üst-alt süreç anormallikleri (winword.exe'nin cmd.exe'yi başlatması) ve ilişkili disk dosyası bulunmayan işlemler (işlem içinin boşaltıldığına işaret eder).

windows.netstat, canlı netstat çıktısında görünmeyen yakın zamanda kapatılmış bağlantılar da dahil olmak üzere bellekten TCP bağlantılarını çıkarır. Komuta ve kontrol bağlantılarını belirleyin: bilinen kötü amaçlı IP adreslerine çözümlenen dış adresleri veya yaygın işlem adları için alışılmadık bağlantı noktalarını (svchost.exe'nin dış IP adreslerine bağlanması) arayın.

windows.dlllist, işlem başına yüklenmiş DLL'leri gösterir. Bunları güvenilir DLL listeleriyle karşılaştırın. explorer.exe veya svchost.exe içindeki alışılmadık DLL'ler, yolu bulunmayan DLL'ler ya da sistem işlemlerindeki şüpheli adlı DLL'ler yerleştirme olduğunu gösterir.

windows.malfind, PAGE_EXECUTE_READWRITE korumasına sahip ve dayanak disk dosyası bulunmayan bellek bölgelerini belirler; bu, işlem yerleştirmesinin veya kabuk kodunun klasik bir belirtisidir. Şüpheli bellek bölgesini döker ve analiz için ilk baytlarını gösterir.

Bellek dökümünde veya Volatility tarafından çıkarılan belirli işlem dökümlerinde strings komutunu çalıştırın. Bellekteki dizgiler genellikle çalıştırma sırasında hiçbir zaman diske yazılmamış komuta ve kontrol URL'lerini, şifreleme anahtarlarını, kodu çözülmüş yükleri ve kimlik bilgilerini içerir.

windows.handles, işlem başına açık dosya tanıtıcılarını, kayıt defteri anahtarlarını, karşılıklı dışlama nesnelerini ve olayları gösterir. Karşılıklı dışlama nesnesi adları güçlü IOC'lerdir — bir olayda belirlendikten sonra, diğer bellek dökümlerinde aynı adı aramak ortam genelindeki ilişkili kötü amaçlı yazılımları bulur.

Sistematik iş akışı: (1) Profil tanımlama, (2) İşlem listeleme ve anormallik tespiti, (3) Ağ bağlantılarını inceleme, (4) DLL yerleştirmesi taraması, (5) Malfind, (6) Şüpheli işlem dökümü, (7) Dizgi çıkarma, (8) IOC çıkarma ve raporlama.

Dosyasız kötü amaçlı yazılımlar, geleneksel adli bilişim yöntemleri için neden özellikle zorludur?

Bellek adli bilişimi, disk analizinde görünmeyen geçici kanıtları yakalar. Edinim için WinPmem ve analiz için Volatility 3 kullanılarak işlemlerin, ağ bağlantılarının, yerleştirilmiş kodun ve DLL anormalliklerinin incelenmesi, aksi takdirde tespit edilemeyecek dosyasız kötü amaçlı yazılımları ve saldırgan faaliyetlerini ortaya çıkarır.