Kalıcılık yöntemleri
- Kalıcılık, zararlı kodun makine yeniden başladıktan sonra da çalışmaya devam etmesidir.
- Windows'ta Run anahtarı, zamanlanmış görev ve servis üç ana yoldur.
- Bu derste yöntemi, gerektirdiği yetkiyi ve bıraktığı izi birlikte okumayı öğrenirsin.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +50 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Bir zararlı yazılım çalıştıktan sonra ilk derdini çözer: makine kapanınca ne olacak? Kalıcılık bu sorunun yanıtıdır. Kod, açılışta ya da bir olayla yeniden başlayacak bir yere kancalanır.
En bilinen yol kayıt defteridir. Kullanıcı dalındaki Run anahtarına yazılan her değer, o kullanıcı oturum açarken çalışır. Bu dal kullanıcıya aittir ve yönetici yetkisi istemez.
; kalicilik kaydi Anahtar: HKCU\Software\Microsoft\Windows\CurrentVersion\Run Deger : Guncelleme Veri : C:\Users\ali\AppData\Roaming\svc.exe ; makine dali yonetici ister Anahtar: HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Örnekteki HKCU kaydı Guncelleme adıyla saklanır ve veri alanında kullanıcı dizininden çalışan bir dosyayı gösterir. Windows açılışta bu anahtarı okur, içindeki her veri alanını sırayla yürütülebilir kabul eder.
Aynı yazma işlemi HKLM dalında başarısız olursa, sürecin yönetici yetkisi olmadığı ya da yetki yükseltmeyi henüz başaramadığı anlaşılır. Bu küçük ayrım, analizde saldırganın o anki yetki düzeyini gösteren doğrudan bir işarettir. Bu yüzden HKLM'ye yazma denemesi başarısız kayıtları, olay kaydında ayrıca aranır.
Etkinlik 1 / 6
Kullanıcı açılışında program başlatan klasik kayıt defteri anahtarı: HKCU\Software\Microsoft\Windows\CurrentVersion\____
İkinci yol zamanlanmış görevlerdir. Görev, açılışta, oturum açılışında ya da belirli aralıkla koşar. Yönetici yetkisi varsa görev sistem hesabıyla tanımlanır ve çok daha güçlü bir konum kurar.
Üçüncü yol servislerdir. Servis, kullanıcı oturum açmadan makine açılışında başlar. Kurulumu yönetici yetkisi ister. Karşılığında en sağlam kalıcılığı verir ve çökerse kendini yeniden başlatır.
Etkinlik 2 / 6
Her kalıcılık yöntemini gerektirdiği yetkiye göre ayır.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/5 seçenek yerleşti.
Yöntemin yetki eşiğini bilmek analizde işe yarar. Örnek HKLM dalına yazmaya çalışıp başarısız oluyorsa, yönetici yetkisi almayı denemiş ve alamamış demektir. Bu bilgi olay müdahalesinde önemlidir.
Etkinlik 3 / 6
Windows'ta oturum açılışında çalışan zamanlanmış görevleri listele.
Kalıcılığı kodda tanımak kolaydır. Kayıt defteri açma çağrısı, kendi yolunu öğrenen çağrı ve değer yazma çağrısı art arda durur. Yazma çağrısı işin gerçekleştiği satırdır.
Daha az bilinen yollar da vardır. Başlangıç klasörüne kısayol koymak en basitidir. Yönetim araçları üstünden olay aboneliği kurmak ise çok daha sinsidir ve dosya sisteminde belirgin iz bırakmaz.
Meşru bir programın yükleme sırasını kaçırmak da bir yoldur. Program, yanındaki bir kütüphaneyi ad ile arar. Aynı adı taşıyan bir dosya önce bulunursa yüklenir. Böylece imzalı bir uygulama zararlı kodu kendisi çalıştırır.
Kalıcılığı doğrulamak da analizin parçasıdır. Anlık görüntüyü yeniden başlatır ve kodun gerçekten koştuğunu görürsün. Kurulmuş ama çalışmayan bir kayıt, raporda ayrı bir not ister.
Temizlik önerisi de kalıcılıkla birlikte yazılır. Hangi kayıt silinecek, hangi dosya kaldırılacak, hangi görev iptal edilecek. Sıra da belirtilir; önce kalıcılık, sonra dosya.
Kalıcılık taraması savunma tarafında düzenli bir iştir. Açılış anahtarları, görevler ve servisler belirli aralıklarla listelenir ve bilinen temiz listeyle karşılaştırılır. Fark çıkan her satır incelenir. Bu basit denetim pek çok olayı erken yakalar.
Dosya tarafında da iz kalır. Kod kendini kullanıcı dizinine kopyalar ve meşru görünen bir ad alır. Güncelleme, servis ve yardımcı gibi adlar sık seçilir çünkü listede dikkat çekmez.
Etkinlik 4 / 6
Kalıcılık kuran satırı bul.
Raporda kalıcılığı yazarken üç bilgiyi birlikte verirsin. Tam anahtar yolu, değer adı ve işaret edilen dosya. Eksik yol, temizlik adımının yarım kalmasına yol açar.
Linux tarafında karşılıkları vardır. Sistem servis birimleri, kullanıcı oturum betikleri ve zamanlanmış görev tanımları aynı işi görür. Mantık değişmez, yalnız adlar değişir.
Etkinlik 5 / 6
Kalıcılık yöntemini raporlarken en yararlı bilgi hangisidir?
Bu tanıma yeteneği laboratuvar dışında da işe yarar. Bir olay müdahalesinde ilk bakılacak yer açılış anahtarları, görev listesi ve servis kaydıdır; kalıcılık genelde ilk iz burada çıkar. Bu bakışı ilk dakikada yapmak, sonraki analiz sürecini kısaltır.
Etkinlik 6 / 6
Doğru mu, yanlış mı?
Zararlının Run anahtarına yazdığı kaydı silmek, makineyi temiz saymak için yeterlidir.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.