OĞUZCAN PAMUK SYSINTERNALS ARAÇLARI İLE SİBER TEHDİT AVCILIĞI
OĞUZCAN PAMUK
SYSINTERNALS ARAÇLARI İLE SİBER TEHDİT AVCILIĞI
AJANDA
▸ Zararlı yazılım nedir ?
▸ Zararlı yazılım nasıl bulaşabilir ?
▸ Analiz türleri
▸ Dinamik zararlı yazılım analizine giriş
▸ Sysmon nedir ? Nasıl kullanılır ?
▸ Temel seviyede örnekler
ZARARLI YAZILIM NEDİR ?
▸ Zararlı yazılım; bilgisayar sistemlerine sızmak yada zarar vermek amacıyla kullanılan her türlü yazılım ürünüdür.
▸ Karmaşık yada basit kodlar halinde bulunabilirler.
▸ Farklı türde birçok dosya yoluyla bulaşabilir ve yayılabilirler.
ZARARLI YAZILIM BULAŞMA YOLLARI
▸ Mail yoluyla gönderilen pdf,exe,py,sh gibi farklı dosyaların indirilip açılması (sosyal mühendislik)
▸ Pdf dosyasına gömülen zararlı javascript kodları
▸ Office dökümanlarına gömülen makro yazılımları
▸ Dosya paylaşımları
▸ Tarayıcı eklentileri
ZARARLI YAZILIM ANALİZ TEKNİKLERİ
▸ Statik analiz Kod seviyesinde yapılan analiz (disassembler)
▸Dinamik analiz Davranış analizi
DİNAMİK ZARARLI YAZILIM ANALİZİ - SYSMON (SYSTEM MONITOR)
▸ Windows işletim sistemi üzerinde çalışır
▸ Dinamik zararlı yazılım analizinde kullanılır
▸ Loglara nasıl ulaşabiliriz ?
Windows Event Viewer - Microsoft / Sysmon / Operational
DİNAMİK ZARARLI YAZILIM ANALİZİ - SYSMON (SYSTEM MONITOR)
▸ Hangi bilgileri edinebiliriz ?
Process creations
File modifications
Network connections
Process hash value
Parent - child process
DİNAMİK ZARARLI YAZILIM ANALİZİ - SYSMON KURULUMU
▸ https://technet.microsoft.com/en-us/sysinternals/sysmon
▸ Basit Kurulum : Sysmon.exe -i
▸ Konfigürasyon : Sysmon.exe -c conf.xml
▸ Sysmon servisinin çalıştığının kontrolü yapılmalıdır
DİNAMİK ZARARLI YAZILIM ANALİZİ - SYSMON KONFİGÜRASYON ÖRNEĞİ
<Sysmon schemaversion="3.20">
<HashAlgorithms>MD5,SHA1,SHA256</HashAlgorithms>
<EventFiltering>
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad>
<ProcessCreate onmatch="exclude">
<Image condition="contains">splunk</Image>
<Image condition="contains">nxlog</Image>
</ProcessCreate>
<NetworkConnect onmatch="include">
<DestinationPort condition="is">80</DestinationPort>
<DestinationPort condition="is">443</DestinationPort>
<Image condition="contains">cmd.exe</Image>
<Image condition="contains">powershell</Image>
</NetworkConnect>
</EventFiltering>
</Sysmon>
DİNAMİK ZARARLI YAZILIM ANALİZİ - SYSMON
DİNAMİK ZARARLI YAZILIM ANALİZİ - PROCESS CREATE
DİNAMİK ZARARLI YAZILIM ANALİZİ - PROCESS TERMINATE
DİNAMİK ZARARLI YAZILIM ANALİZİ - PARENT / CHILD PROCESS
TEMEL SEVİYEDE ÖRNEKLER
ÖRNEK 1 - TANIM
▸ X şirketinde, çalışanlardan biri internet üzerinde arama yaparken bir word (Office uygulaması) dosyası indirir ve onu çalıştırır. Şirketin siber güvenlik birimi Sysmon üzerinde office protokolünün yeni ve tanımlanamayan bir process ürettiğini görür ve bu durumu yorumlamaya çalışır.
▸ Muhtemel sorular;
Office dökümanının yeni bir process oluşturması normal midir ?
Oluşan bu process makine üzerinde ne gibi bir işlem gerçekleştirmektedir ?
ÖRNEK 2 - TANIM
▸ Y şirketinde çalışan güvenlik görevlisi mesai saatleri dışında kendine tahsis edilen bilgisayarı kullanarak, yasal olmayan bir web sitesinden süper lig maçı izlemek ister. Fakat bu yasal olmayan web sitesine girmeye çalıştığında, site üzerinden anlamlandırılamayan bir dosya iner. Görevli dosyanın ne olduğunu merak eder ve bu dosyaya tıklar. Nöbetçi olarak bekleyen siber güvenlik analisti Sysmon üzerinden bir betik process’inin işletim sisteminde .encrypted uzantılı yeni dosyalar oluşturduğunu görür.
▸ Bu zararlı yazılım ne gibi bir işleve sahip olabilir ?
ÖRNEK 3 - TANIM
▸ Z kurumsal şirketinde çalışan biri, kurumsal e-posta adresini kullanarak, yeni bir sosyal medya hesabı açar. Hacker ise bu sosyal medya üzerinden kişinin e-posta adresine ve mesleğine ulaşır. Bu bilgileri kullanarak e-posta adresine sosyal mühendislik tekniklerini kullanarak yeni bir e-posta gönderir. E-posta içeriğini gören çalışan, durumu anlamaz ve ekte bulunan betiği çalıştırır. Çalışan betik yeni bir Scheduled Task oluşturur.
▸ Bu zararlı yazılımın amacı ne olabilir ? Tartışalım.
SORULARINIZ ?