Dinamik Analiz

Dinamik analiz, kötü amaçlı yazılımı denetimli bir ortamda çalıştırır ve davranışını gözlemler: oluşturulan dosyaları, kayıt defteri değişikliklerini, başlatılan işlemleri ve ağ trafiğini.

Örneğin gerçekte ne yaptığını ortaya çıkarır; buna paketleme nedeniyle statik analizden gizlenen davranışlar da dahildir.

Kötü amaçlı yazılımı yalnızca yalıtılmış bir korumalı alanda çalıştırın: geri dönebileceğiniz temiz bir anlık görüntüye sahip bir sanal makinede.

Kötü amaçlı yazılımın internete veya gerçek sistemlerinize ulaşamaması için yalnızca ana bilgisayara bağlı ya da sahte bir ağ kullanın. Üretim ağına bağlı bir makinede asla analiz yapmayın.

Örneği çalıştırmadan önce temiz bir sanal makine anlık görüntüsü alın. Analizden sonra, kötü amaçlı yazılımın yaptığı değişiklikleri silmek için bu görüntüye geri dönün.

Bu sayede örneği her seferinde aynı başlangıç durumundan çalıştırabilirsiniz.

Procmon (Process Monitor), dosya, kayıt defteri ve işlem etkinliklerini gerçek zamanlı olarak kaydeder. Örneğin işlem adına göre filtreleme yapmak, örneğin tam olarak nelere eriştiğini gösterir.

Bu, bırakılan dosyaları, oluşturulan kayıt defteri anahtarlarını ve kalıcılık mekanizmalarını ortaya çıkarır.

Process Explorer ve Process Hacker, çalışan işlemleri, üst-alt işlem ilişkilerini ve enjekte edilmiş iş parçacıklarını gösterir.

Kötü amaçlı yazılım, gizlenmek için çoğu zaman alt işlemler başlatır veya explorer.exe gibi meşru işlemlere kod enjekte eder.

Trafiği yakalamak için Wireshark, internet hizmetlerini benzetmek için de INetSim veya FakeNet-NG kullanın. Kötü amaçlı yazılım sunucusuna ulaştığını sanırken siz istekleri güvenli biçimde kaydedersiniz.

Bu işlem, komuta-kontrol etki alanlarını, işaret sinyallerini ve veri sızdırma girişimlerini ortaya çıkarır.

Dinamik analizden şu Güvenlik İhlali Göstergelerini (IOC'ler) toplarsınız:

• Dosya özetleri ve bırakılan dosya adları.
• Kalıcılık için kullanılan kayıt defteri anahtarları.
• C2 etki alanları ve IP adresleri.
• Karşılıklı dışlama nesnesi adları.

IOC'ler, savunma ekiplerinin tehdidi tespit edip engellemesine yardımcı olur.

Kötü amaçlı yazılımın yeniden başlatmalardan sonra nasıl ayakta kaldığını gözlemleyin. Yaygın yöntemler şunlardır:

• Kayıt defterindeki çalıştırma anahtarları.
• Zamanlanmış görevler.
• Hizmetler.
• Başlangıç klasörü girdileri.

Kalıcılık konumu, yüksek değerli bir IOC ve kaldırma hedefidir.

Gelişmiş kötü amaçlı yazılımlar korumalı alanları tespit eder ve çalışmayı reddeder. Sanal makine izlerini, düşük çalışma süresini, az sayıdaki CPU çekirdeğini veya hata ayıklayıcının varlığını kontrol edebilir.

Bazıları çalışmayı geciktirir veya kullanıcı etkileşimi gerektirir. Bu kaçınma hilelerini tanımak, dinamik analizin bir parçasıdır.

Cuckoo Sandbox gibi araçlar ve çevrim içi hizmetler (Any.Run, Hybrid Analysis), çalıştırma işlemini otomatikleştirir ve davranış raporları üretir.

Bu araçlar ön incelemeyi hızlandırır; ancak özellikle kaçınma kullanan örneklerde dikkatli elle yapılan analiz, otomasyonun gözden kaçırdıklarını yine de ortaya çıkarır.

Statik ve dinamik analiz birbirini tamamlar. Statik çalışma yetenekleri ve ipuçlarını ortaya çıkarır; dinamik çalışma ise gerçekte neyin çalıştırıldığını doğrular.

Analist genellikle ikisi arasında gidip gelir: statik olarak bulunan bir dize, dinamik olarak nelerin izleneceğine yön verir; gözlemlenen davranış da ayrıştırıcıda okunacak koda geri götürür.

Kötü amaçlı yazılımı çalıştırmadan önce atılması gereken temel güvenlik adımını hatırlayın.

Artık kötü amaçlı yazılımların dinamik analizini anlıyorsunuz:

• Örneği temiz bir anlık görüntüye ve benzetilmiş ağa sahip yalıtılmış bir sanal makinede çalıştırın.
• Procmon, Process Explorer ve Wireshark + INetSim ile izleyin.
• IOC'leri toplayın ve kalıcılık mekanizmalarını belirleyin.
• Analizden kaçınma hilelerine dikkat edin.

Sonraki bölümde kodun kendisini makine kodu çözümlemeyle okuyacaksınız.