Zararlı Yazılım Analizi (ÖZET)

Zararlı Yazılım Analizi
“işte bunlar hep mikrop”
Alper Başaran
alper@sparta.com.tr
Alper Başaran - alper@sparta.com.tr
Bu slaytlar temel seviye statik zararlı yazılım analizi için
SOME (Siber Olaylara Müdahale Ekibi) üyelerinin işine yarayabilecek bazı araçları ele alır.
3 günlük zararlı yazılım analizi eğitiminden derlenen bazı slaytlardan ibarettir.
Kapsamlı bir eğitim dokümanı olarak düşünülmemelidir.

Alper Başaran
• Deneyim alanları;
• Penetrasyon testi
• Olay müdahalesi
• Siber tehdit avcılığı
• SOME kurulumu, tatbikatları ve danışmanlığı
• İletişim:
• Email: basaranalper@gmail.com
• Twitter: basaranalper
• Web sayfası: alperbasaran.com

Keşfedilen Zararlı Yazılım Sayısı Artıyor

Siber Ölüm Zinciri
Bilgi Toplama
• Pasif bilgi
toplama
• Kuruluş
şemaları
• IP adresleri
• Port
taramaları
• İnternet
servis
sağlayıcısı
bilgileri
• Dışarıya
dönük
sistemler
• ...
Silahlandırma
• İstismar
kodunun
hazırlanması
• Zararlı yazılım
• Ambalaj
Teslimat
• Hedefli
oltalama
saldırısı
(spear
phishing)
• Zararlı içerikli
web sayfası
• İnternet
servis
sağlayıcısı
İstismar
• Kodun
çalıştırılması
• Hedef
sistemle
bağlantı
kurma
• Üçüncü
tarafların
istismarı
Kurulum
• Trojan veya
arkakapı
• Kalıcı erişim
kurabilme
• Yetki
yükseltme
• Kullanıcı
adlarını ve
parolaları
çalma
Komuta ve
kontrol
• Hedefle
iletişim
yolunun
açılması
• Yatay hareket
• İç ağda bilgi
toplama
• Erişimi kalıcı
hale getirme
Hedef üzerinde
işlemler
• Derinleşme
• Bağlantıyı ve
erişimi kalıcı
hale getirecek
ek yöntemler
• Veri sızdırma
1 2 3 4 5 6 7

STUXNET

STUXNET
• STUXNET: Siemens otomasyon sistemlerini hedef alan solucan
• 500KB dosya
• 4 adet Windows 0-day açığından faydalanıyor
• MS 08-067’yi de istismar edebiliyor
• Jmicron ve Realtek firmalarının geçerli sertifikalarıyla imzalanmış

STUXNET
USB Bellek üzerinden
LNK istismarı ile DLL
Çalıştırma
Windows Task Scheduler
Zafiyeti ile yetki yükseltme
Klavye dili ayarı üzerindeki
zafiyet ile yetki yükseltme
Yazıcı Spooler yazılımı zafiyeti
ile ağdaki diğer sistemlere yayılma
1
2
3
4

STUXNET
“Step 7” Yazılımı olan
kontrol bilgisayarına
bulaşıyor
PLC Sistemi istismarı
Santrifüj devre dışı bırakılıyor
5
6
7

Cleaver
• İlk sızma: SQL injection, web sunucusu veya sosyal mühendislik
• İç ağda yayılma MS 08-067 gibi yaygın olarak bilinen zafiyetlerle
oluyor (0 gün açığı yok)
• Hedefe özel ikinci saldırı zararlısı uzaktan yüklenebiliyor
• Enerji ve telekom gibi kritik altyapıları hedef alıyor

Volatile Cedar
• 2012 Kasım ayından beri var
• Gizliliğe önem verilmiş
• 3 kademeli komuta yapısı
• Lübnan (!) kaynaklı

Volatile Cedar
• Gizliliğe önem verilmiş
• Düzenli olarak antivirüslerle kontroller yapılıyor
• Dikkat çekmemek için CPU kullanımı sınırlandırılmış
• API işlevleri ile Trojan ayrı dosyalarda oluşturulmuş
• Trojan davranışları hedefin çalışma saatlerine göre ayarlanmış

Volatile Cedar
• 3 kademeli komuta yapısı

APT Zararlıları
• Poison Ivy
• Flame
• Finfisher

APT Zararlıları
• Poison Ivy
• Çin ve Orta Doğu’lu saldırganlar tarafından yaygın olarak kullanılıyor
• Büyük ölçüde programlanabilir
• Klavye hareketleri, kamera görüntüleri, trafik isleme/yönetme, parola çalma,
dosya gönderme

Poison Ivy

APT Zararlıları
• Flame
• 20MB!!!
• SQLite3 veritabanı
• Lua dilinde yazılmış
“Stuxnet’i analiz etmemiz ve anlamamız 6 ayımızı aldı. Flame’i tam olarak
çözmemiz 10 yılı bulur”
- Kaspersky analisti Gostev

Flame
• 20 tane modül (bilinen)
• Keylogger
• Kamera
• Skype konuşması kaydı
• Bluetooth(!)
• E-posta veya anlık mesajlaşma açıksa 15 saniyede 1 ekran görüntüsü alıyor

Flame

APT Zararlıları
• Finfisher

FinFisher

Zararlı Yazılım Yaşam Döngüsü

Zararlı Yazılımın Amacı
• Ağ veya sistemlerinizde bulunan zararlı yazılımlara DOĞRU şekilde
müdahale etmek
• Tam olarak ne olduğunu anlamak
• Zararlının bulaştığı BÜTÜN makineleri tespit etmek
• Zararlının kullandığı bulaşma/yayılma tekniklerini anlamak
• İmza oluşturmak

Bulaşma Vektörleri
Başka programa
bulaşıyor
Exe dosyası
Zararlı Kod
Program olarak
görünüyor
Başka programın
içinde gizli
Çekirdek seviyesi
Boot bölgesini
etkiliyor

İmzalar
• Sistem temelli imzalar
• Ağ temelli imzalar

Zararlı Yazılım Analizi Teknikleri
• Temel statik analiz
• Dosya zararlı mı?
• Temel dinamik analiz
• Zararlı ne yapıyor?
• İleri statik analiz
• Tersine mühendislik ile zararlıyı anlamak
• İleri dinamik analiz
• Çalışan zararlının ayrıntılı incelemesi

Siber Saldırı Türleri
• Zararlı yazılımlar
• Adware
• Spyware
• Virüs
• Worm
• Trojan
• Rootkit
• Backdoor
• Keylogger
• Sahte güvenlik yazılımı
• Ransomware
• Browser hijacker

Zararlı Yazılım Analizi: Genel Kurallar
• Detaylarda fazla boğulmayın
• Tek bir geçerli analiz yaklaşımı yok
• Zararlı yazılımlar sürekli değişiyor

Basit Statik Analiz
• Zararlı yazılımın parmak izi
• HASH değeri
• Nasıl alınır?
• Nasıl kullanılır?
• Etiket olarak
• Başka kaynaklardan araştırma yapmak için

Hash Değeri
• MD5
• SHA256

Strings
• Program içerisinde insan tarafından okunabilen karakterleri gösterir

Packer Tespiti
• Best effort yapılır

Dependency Walker
• Uygulamanın neler yaptığını listeler

Dependency Walker
• Örn: CreateFileA programının bir dosya oluşturabileceğini gösteriyor

DLL’leri Okumak
DLL Adı Fonksiyonlar
Kernel32.dll Hafıza, dosya ve donanıma müdahale edebilir
Advapi32.dll Registry’de değişiklik yapmak gibi ileri seviye fonksiyonlar
User32.dll Kullanıcı arabirimi bileşenlerini içerir
Gdi32.dll Grafik işlevler
Ntdll.dll Normalde Kernel32.dll tarafından çağrılır. Doğrudan çağırılmış olması kötü niyete işaret
edebilir
WSock32.dll Ağ erişimi için kullanılır
Wininet.dll FTP, HTTP ve NTP gibi üst seviye protokolleri içerir
msvcrt.dll Standart C kütüphanesi (printf, memcpy, vb.)

Windows Fonksiyonları
• accept: Gelen bağlantıları kabul eder
• AttachThreadInput: Başka bir process’e bağlanabilir (örn. Keylogger)
• bind: Gelecek bağlantıları dinlemeye başlar
• CheckRemoteDebuggerPresent: Debugger var mı?
• connect: Dışarıda bir sisteme bağlanır
• ControlService: başka bir servisi kontrol eder (başlat, kapat, vb.)
• CreateFile: var olan bir dosyayı açar
• CreateMutex: mutual exclusion object ile aynı zararlının sadece bir kez bulaşması sağlanır (Morris
Worm)
• inet_addr: IP adreslerini “connect” gibi başka fonksiyonlar tarafından kullanılabilir hale getirir
• InternetOpen: İnternet bağlantısı açar (user agent bilgisi gönderebilir)
• NetShareEnum: Paylaşımdaki klasörleri listeler
• send: Uzaktaki bir makineye veri gönderir

Sandbox Çözümleri?
• Bazı zararlı yazılımlar sanal makineleri tespit edebiliyor
• Bazı zararlı yazılımlar belli registry değerlerini arıyor
• Sandbox ortamı gerçek ortamı yansıtmayabilir
• DLL formatındaki zararlı yazılımları çalıştırmakta zorlanabilir
• .vbs zararlılarını çalıştırmakta zorlanabilir

Online Kaynaklar
• https://www.joesandbox.com
• https://www.hybrid-analysis.com/
• https://www.virustotal.com/

Process Explorer
• Process Explorer:
Run as Administrator!

Process Explorer
• Hangi process nerede çalışıyor?
• İmzalı/sertifikalı olamayanlar hangileri?
?

Process Explorer
• Hangi process nerede çalışıyor?
• İmzalı/sertifikalı olamayanlar hangileri?
• Properties

ProcMon
• PROCess MONitor

Ağ kullanımı
• Procmon
Network

Ağ kullanımı
• Netstat
• netstat
• netstat –i
• netstat –ie
• netstat –t
• netstat –u
• netstat –ua
• netstat –uta
• netstat -tae

Zararlı Yazılım Teknikleri
• Sıkıştırma
• Gizleme
• Kalıcı olma
• Yetki yükseltme
• Koruma atlatma
• Kullanıcı bilgisi çalma
• Keşif
• Yatayda hareket
• Çalışma
• Toplama
• Sızdırma
• Komuta sunucusu

Zararlı Yazılım Teknikleri
• Kalıcı olma
• Tarayıcı eklentisi
• Servis kurulumu
• DLL hijacking
• Sıralama:
• Uygulamanın bulunduğu klasör
• Sistem klasörü (örn: C:WindowsSystem32
• Windows’un bulunduğu klasör (GetWindowDirector fonksiyonu ile)
• PATH ortam değişkeni
• Zamanlanmış görevler

Zararlı Yazılım Analizi (ÖZET)

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to Zararlı Yazılım Analizi (ÖZET)

Similar to Zararlı Yazılım Analizi (ÖZET) (20)

More from Alper Başaran

More from Alper Başaran (20)

Zararlı Yazılım Analizi (ÖZET)