Reverse Engineering & Binary Analysis Basics · Ders

Güvenlik İhlali Göstergeleri ve YARA Kuralları

Güvenlik İhlali Göstergeleri ve YARA Kuralları, CoddyKit'te ücretsiz bir Reverse Engineering & Binary Analysis Basics dersidir. Bu, 4 dersinin 4. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, Reverse Engineering & Binary Analysis Basics öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. Reverse Engineering & Binary Analysis Basics kursu toplamda 4 dersten oluşur.

Bu dersin bazı bölümleri henüz çevrilmemiş olup İngilizce olarak gösterilmektedir.

From Analysis to Detection

You can classify malware types, perform basic behavioral analysis, and unpack samples. The payoff is detection: converting what you learned into signals that catch the same threat elsewhere.

What Is an IOC?

An Indicator of Compromise (IOC) is an observable artifact that suggests an intrusion.

File hashes (MD5, SHA-256)
Domains and IP addresses
Registry keys, mutexes, file paths

Hashes: Precise but Brittle

A SHA-256 hash uniquely fingerprints one file. But changing a single byte changes the hash, so attackers evade hash-only detection easily.

That is why we need more resilient indicators.

sha256sum sample.exe
# 9f86d0818...  sample.exe

Fuzzy and Behavioral IOCs

More robust indicators survive minor changes:

A unique mutex name the malware creates
A hardcoded user-agent string
A characteristic command-and-control URL pattern

These catch whole families, not just one sample.

Introducing YARA

YARA is a pattern-matching tool that describes malware via rules. Each rule has metadata, strings, and a condition.

YARA scans files or memory and reports matches, making your findings reusable.

Anatomy of a YARA Rule

A rule has three sections: meta for documentation, strings for patterns, and condition for the matching logic.

rule Example_Trojan {
  meta:
    author = 'analyst'
    desc = 'Detects sample family X'
  strings:
    $a = 'evil-c2.example.com'
    $b = { 6A 40 68 00 30 00 00 }
  condition:
    $a or $b
}

Text vs Hex Strings

YARA matches both text strings (with modifiers like nocase, wide) and hex byte sequences.

Hex patterns with wildcards (??) catch code that varies slightly.

strings:
  $ua = 'Mozilla/4.0 (compatible; Evil)' wide nocase
  $stub = { E8 ?? ?? ?? ?? 83 C4 04 }

Writing Good Conditions

Conditions combine strings with logic and counts.

all of them requires every string
2 of ($a, $b, $c) needs at least two
Add filesize or PE checks to reduce false positives

condition:
  uint16(0) == 0x5A4D and 2 of ($s*)

Avoiding False Positives

A rule that matches common library strings will fire on innocent files. Choose strings that are unique to the malware, and test against a clean goodware set.

Tight conditions keep analysts trusting your rules.

Sharing Detection

IOCs and YARA rules are shareable threat intelligence. Distribute them via formats like STIX or simple rule files so other defenders benefit.

This is how one analysis protects an entire community.

yara -r my_rules.yar /samples/

Hunting with Rules

Beyond scanning one file, you can sweep a whole estate. Recursively scan endpoints or even live memory to find every machine matching the family.

This turns a single analysis into proactive threat hunting.

yara -r -p 8 trojan.yar /mnt/hosts/ > hits.txt

Quick Check

Why is a SHA-256 hash a brittle indicator of compromise on its own?

Recap

You now operationalize malware analysis:

Extract IOCs: hashes, domains, mutexes, behaviors
Prefer resilient indicators over brittle hashes
Write YARA rules with meta, strings, and tight conditions
Test against goodware and share as threat intel

Sıkça Sorulan Sorular

“Güvenlik İhlali Göstergeleri ve YARA Kuralları” dersi ücretsiz mi?

Evet — “Güvenlik İhlali Göstergeleri ve YARA Kuralları” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve Reverse Engineering & Binary Analysis Basics kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. Reverse Engineering & Binary Analysis Basics kursu toplamda 4 dersten oluşur.

“Güvenlik İhlali Göstergeleri ve YARA Kuralları” dersinde ne öğreneceğim?

Kötü amaçlı yazılım analizi bulgularını yeniden kullanılabilir algılamaya dönüştürün: güvenlik ihlali göstergelerini çıkarın ve ilgili örnekleri belirlemek için YARA kuralları yazın. Reverse Engineering & Binary Analysis Basics ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.

Reverse Engineering & Binary Analysis Basics öğrenmeye başlamak için deneyim gerekli mi?

Önceden deneyim gerekmez. CoddyKit'te Reverse Engineering & Binary Analysis Basics, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 4. dersidir.

“Güvenlik İhlali Göstergeleri ve YARA Kuralları” dersi ne kadar sürer?

Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.

Bu Reverse Engineering & Binary Analysis Basics dersinde kod yazıp çalıştırabilir miyim?

Evet. Her Reverse Engineering & Binary Analysis Basics dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.

Bu kursun tüm dersleri

Kötü Amaçlı Yazılım Türleri ve Davranışları
Temel Davranış Analizi
Kötü Amaçlı Yazılım Paketlerini Açmaya Giriş
Güvenlik İhlali Göstergeleri ve YARA Kuralları

← Reverse Engineering & Binary Analysis Basics Sayfasına Dön