1. Truva Atı
Truva Atı Nedir?:
Mitolojideki truva atı olayına benzediği için adı truva atı olmuştur. Aynı
mitolojideki gibi bir hediye ya da yararlı bir program gibi gözüküp sisteme bulaşır.
Sunucu-istemci mantığında çalışır. Sisteme sızıldığında hemen ilgili sunucu ile iletişime
geçilir.
Truva Atları Neden Oluşturulur?:
1-Kredi kartı bilgilerini çalmak için
2-İnternet sitelerindeki bilgilerinizi(hotmail,parola vb.) çalmak için
3-Şirketlerin finansal bilgilerini çalmak için
4-Yasadışı işlerde(port taramak, DDOS saldırısı vb.) kullanmak için
Truva Atları Sisteme Nasıl Bulaşır?:
Truva atları birden fazla yöntem ile sisteme bulaşabilir.
1-.exe uzantılı dosyaların doğrudan çalıştırılması ile
2- Web sitelerindeki Activex ile
3- E postalardaki zararlı ekler ile
4- Otomatik çalıştırmaya ayarlanmış donanımlar ile(CD,USB)
Wrapperlar
Wrapperlar truva atlarının sistemlere daha kolay bulaşmasını sağlamak için kullanılan
yazılımlardır. Çalışma mantığı zararlı yazılımı zararsız yazılımın içerisine gömmektir.
Örneğin: One File exe Maker,PretatorWrapper,Yet Another Binder, Restorator.
Truva Atı Türleri:
1-Komut satırı Truva Atı:
Uzak bilgisayar tarafından komut satırı kullanılarak ileşime geçen Truva
Atları
2-Doküman Truva Atı:
Dokümanların içine yerleştirilmiş Trojanler. Örneğin Word belgesi gibi
3-E posta Truva Atı:
Hedefe e posta yolu ile ekte gönderilen zararlı yazılımlardır.
4-Botnet Truva Atı:
Hacker DDOS saldırında kullanmak için botnet oluşturduğunda kullandığı
zararlı yazılımdır.
5-Proxy Server Truva Atı:
Hacker daha sonraki saldırılarında kendini gizleyebilmek adına
kullanacağı bilgisayarı oluşturmak için yarattığı zararlı yazılım.
6-FTP Truva Atı:
Uzak bilgisayardaki istediği dosyayı indirebilmek için kullanır.7-HTTP
Truva Atı:
Hedefteki güvenlik duvarı,IDS ya da IPS yi atlatmak ya da port filtresini
aşmak için kullandığı truva atı türüdür. Bu truva atı ile istekler HTTP yolu ile iletilir.
8-Ters Bağlantı Truva Atı:
Yine aynı şekilde güvenlik duvarı,IDS ya da IPS yi atlatmak için kullanılır.
Burada hacker hedefe bağlanmaz. Hedef hackera bağlanır. Böylelikle güvenlik duvarında
dışarıdan içeriye paketler engellense bile içeriden dışarı paketler aktarıldığından
engellemeye takılmaz.

2. Truva Atları Nasıl Tespit Edilir?:
1-Açık olan portlar kontrol edilir. Şüphelenilen bir durum varsa hemen
incelenmelidir. Çünkü truva atı uzaktaki bilgisayar ile iletişime geçmek için portları
kullanacaktır. Fakat HTTP tünelleme yapılıyorsa ekstradan bir port açık olmayacağından
farkedilmez. Portlara bakmak için araçlar; Fport,netstat,Tcpview
2- Şüpheli uygulamalar incelenmelidir. Kullanıcının bilgisi dışında yüklenen her
yazılım muhtemel bir zararlı yazılımdır.
3-Network Aktiviteleri Kontrol edilmelidir. Bu işlem için en iyi araç Wiresharktır.
Gereğinden fazla paket gönderiliyor ise veya durduk yere bir yerlere HTTP paketleri
gidiyor ise şüphelenilmelidir. Paketlerin hang IP adresine gittiğine bakılmalıdır.
4-Log kayıtları incelenmelidir. Kullanıcının bilgisi dışında yapılan yazılım
yüklemeleri veya port açıp kapatma durumları takip altına alınmalıdır.
5-Boot antivirüs programları ile sistem taranmalıdır. Truva atı sistemde kalıcı
olabilmek için işletim sisteminden önce yükleniyor olabilir.
Virüs Ve Solucanlar
Virüs Özellikleri:
Kendini çalıştırdığı program sistemde çalışırken Ramdeki diğer çalışan
programların içerisine sızarak çoğalır. Gelişmiş virüsler(Polymorphic virüs) kodlarını her
sisteme bulaştığında değiştirerek antivirüs programlarından kaçmaya çalışır. Her virüs
bulaştığı anda zarar vermeye başlamaz. Bazıları belli bir tetiklenme olayını bekler. Bu
olay bir tarih, HDD nin doluluk oranı vb. parametreler olabilir. Bu tür virüsleri bulmak
daha zordur. Çünkü tetikleyici gelene kadar bir belirti göstermez.
Solucan Özellikleri:
Solucanların virüslerden en önemli farkı virüsler var olabilmek için başka bir
programa gerek duyarlar. Solucanlar ise başka bir programa gerek duymaz. Network
üzerindeki diğer bilgisayarlara bulaşabilir. Başka bir programın içerisine gizlenemez.
Virüs Sınıfları:
1-Boot Virüsleri:
İşletim sisteminden önce yüklenerek antivirüs programlarıdan kaçmaya
çalışır. Kendini işletim sisteminin bir parçasıymış gibi gösterir.
2-Dosya Virüsleri:
Normal dosyalara zarar veren virüs çeşididir.
3-Makro Virüsler:
Makro virüsler Office yazılımları(Word,Excel,Access) nın içerisine eklene
bilen ufak virüs kodlarıdır. Genellikle şirketlerde bu programlar kullanıldığından
sonucunda maddi kayba neden olabilecek sonuçlar doğurabilir.
4-Network Virüsleri:
Kendini network protokolleri veya e-postalar aracılığı ile çoğaltabilen
virüslerdir.
Virüs Türleri:
1-Gizli Virüs:
Antivirüs programları tarafından yakalanmayan türüdür.
2-Polymorphic Virüs:
Bulaştığı her sistemde kaynak kodunu değiştirerek fark edilmeyi
engellemeye çalışır.

3. 3-Cavity Virüs:
Bulaştığı dosyanın boyutlarını değiştirmez. Böylelikle antivirüs
programlarından kaçmaya çalışır.
4-Tünelleme Virüsü:
Antivirüs programlarının ya da işletim sisteminin güvendiği programların
bir parçasıymış gibi gösterir.
5-Şifrelenmiş Virüs:
Kaynak kodunu şifreleyerek(obfuscation) imza tabanlı antivirüs
programlarından kaçmaya çalışır.
Virüs Tespit Yöntemleri:
1-Tarama:
Virüsler yakalandığı zaman kaynak kodlarından bir imza oluşturulur. Daha sonra
başka bir bilgisayar tarandığında programın imzası ile virüsün imzası uyuşuyor mu diye
kontrol edilir. Eğer uyuşuyor ise virüs denir. Uyuşmuyorsa virüs değil denir. Fakat
kaynak kodu şifrelenmiş bir virüsün imzası farklı olacaktır. Bu nedenden dolayı
kolaylıkla atlatılabilir.
2-Doğruluk Kontrolü:
Antivirüs programı kurulduğu anda sistemdeki bütün dosyaların bir imzasını
oluşturur ve daha sonra bu imzaları kontrol eder. Bir farklılık varsa o dosyadan
şüphelenir.
3-Korumalı Çalıştırma:
Antivirüs programı öncelikle güvenli bir sanal zeminde programı çalıştırır ve
neler yapmak istediğine bakar. Eğer zararlı işlemler yapmak istiyor ise virüs engellenir.
Fakat belli bir tetikleme mekanizmasını bekleyen programlar bu koruma işlemini
atlatacaktır.
Malware Analiz Aşamaları
1-Malware aktif değilken statik analiz yapılır
2- Malware hakkında BinText ile malware'in içindeki stringler ortaya çıkartılır. UPX ile
Decompression işlemi yapılır.
3-Ağ bağlantısını kurup bir hata verip vermediğine bakılır.
4-Process izleme programlarını çalıştırdıktan sonra virüs çalıştırılır.
5-TCPView,NetResident ya da Wireshark ile Network trafiği kaydedilir.
6-Kayıt defterindeki değişiklikleri izleyip kayıt altına alan programlar ile kayıt
defterindeki değişiklikler izlenir (Örneğin : RegShot)
7- Debug araçları ile elde edilen bilgiler derinlemesine incelenir. Bunlar servis istekleri,
gelen ve giden bağlantılar ve DNS tablo bilgileri olabilir. Bu işlemler için örnek
verilebilecek programlar Ollydbg ya da Proc Dump olabilir.
Ayrıca Virüs analiz araçlarına IDA Pro yazılımıda örnek gösterilebilir.
Çevrimiçi Malware Testi
1-VirusTotal
2-Dr. Web Online Scanners
3-ThreatExpert
4-Anubis: Analyzing Unknown Binaries