Savunma · Orta seviye

Tersine Mühendislik ve Zararlı Analizi

Derlenmiş bir dosyayı okumayı ve zararlı davranışı yalıtılmış laboratuvarda çözmeyi öğrenirsin.

İlk ders: Yürütülebilir dosya anatomisi: PE ve ELF

Modül: 5
Ders: 20; 4 saat anlatım
Etkinlik: 130; uygulamalı soru
Lab: 5; +1 ek lab
Toplam süre: 6,5 saat; kendi hızında
Belge: ASTM-201; Orta seviye

Makine kodundan başlayıp rapora kadar giden bir yol. PE ve ELF anatomisi, x86-64 komutları, statik ve dinamik analiz, kalıcılık ile enjeksiyon örüntüleri, analiz karşıtı hileler ve YARA kuralı yazımı. Her adımı yalıtılmış laboratuvarda uygularsın.

Bu yolun sonunda

Yolu bitirdiğinde elinde olacak üç somut beceri ve derslerde çalışacağın konular.

01
PE ve ELF dosyasının yapısını okur, x86-64 akışını izlersin.
02
Şüpheli dosyayı yalıtılmış ortamda statik ve dinamik analizle incelersin.
03
Davranıştan IOC çıkarır, YARA kuralı ve analiz raporu yazarsın.

Derslerde çalışacağın konular

PE ve ELF dosya anatomisi
x86-64 assembly okuma
Statik analiz ve disassembler kullanımı
Yalıtılmış laboratuvar ve dinamik analiz
Kalıcılık ve süreç enjeksiyonu örüntüleri
Analiz karşıtı hileleri aşmak
IOC çıkarma ve YARA kuralı yazımı

Kimler için

Zararlı yazılım analisti olmayı hedefleyenler
Olay müdahalede şüpheli dosyayı kendisi incelemek isteyenler
CTF'lerde tersine mühendislik kategorisine hazırlananlar

Seviye: Orta
Dil: Türkçe
Tempo: Kendi hızında
Ücret: Ücretsiz
Önerilen hazırlık: Önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz. Zorunlu değil; bu yolun dersleri onsuz da açılır.

Müfredat

5 modül, 20 ders, 130 etkinlik. Dersler sırayla açılır; her modül bir labla kapanır. Modüle dokununca derslerini, kazanımlarını ve labını görürsün.

Bu modülün sonunda
- PE bölümlerini ve ELF program başlıklarını birbirinden ayırırsın.
- Linux ve Windows çağrısında ilk iki argümanın kayıtçısını ayırt edersin.
- Tanımsız simgeleri nm ile listeleyip dış kütüphane çağrılarını çıkarırsın.
1. Yürütülebilir dosya anatomisi: PE ve ELF. Sıradaki ders15 dk · 50 XP
  Bir ikili dosyayı çalıştırmadan başlığını okuyup PE mi ELF mi olduğunu, bölüm izinlerini ve paketleme izini tanımayı öğrenirsin. Windows tarafında PE biçimi, Linux tarafında ELF biçimi işler; ikisini de aynı mantıkla okursun. Bu derste Altay Kargo'ya e-postayla düşen şüpheli bir dosyayı, tek satır kod çalıştırmadan yalnız baytlarını okuyarak değerlendirirsin.
  8 etkinlik: Terminal · Sınıflandırma · Çıktı tahmini · Sıralama
2. x86-64 kayıtçılar ve temel komutlar. Kilitli: önceki dersleri bitirince açılır14 dk · 50 XP
  İşlemcinin kısa belleği olan kayıtçıları ve mov, lea, cmp, test ile atlama komutlarını disassembly satırında okumayı öğrenirsin. x86-64 mimarisinde on altı genel amaçlı kayıtçı vardır ve her birinin alışılmış bir rolü olur. Bu derste komut kümesinin günlük işini gören küçük çekirdeğini tanır ve satırları elle izlemeyi öğrenirsin.
  7 etkinlik: Terminal · Kod okuma · Çıktı tahmini · Eşleştirme
3. Yığın ve çağrı düzeni. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  Yordam çağrısının yığın üstünde nasıl işlediğini, argümanların hangi kayıtçıyla geçtiğini ve call ile ret'in ne yaptığını öğrenirsin. Argümanların hangi kayıtçıyla geçtiği işletim sistemine göre değişir; Linux ile Windows ayrı düzen kullanır. Bu derste push, call ve ret komutlarının yığında ne yaptığını adım adım izler ve bir çerçeveyi elle çözersin.
  7 etkinlik: Terminal · Kod okuma · Sınıflandırma · Çıktı tahmini
4. Derleyici ne yapar: kaynaktan makine koduna. Kilitli: önceki dersleri bitirince açılır13 dk · 45 XP
  Kaynak kodun makine koduna giden dört durakta neyin kaybolduğunu, neyin kaldığını ve geri derleyicinin neyi veremediğini öğrenirsin. Zincirin her adımı bilgi atar; ad, yorum ve biçim yolda kaybolur, davranış kalır. Bu derste tersine mühendisliğin neden kayıp bilgiyi tamamlamak değil, izden anlam kurmak olduğunu görürsün.
  7 etkinlik: Terminal · Sınıflandırma · Çıktı tahmini · Sıralama
5. Lab · İkilinin başlığını okumak. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo'nun güvenlik ekibi bir e-posta ekinden çıkan suphe.exe dosyasını sana gönderdi. Dosyayı çalıştırmadan, yalnız başlığını ve bölüm tablosunu okuyarak ilk değerlendirmeni yapman isteniyor.
  Kanıt dosyalı lab · isteğe bağlı
Bu modülün sonunda
- Parola denetiminde strcmp, test ve jne satırından doğru yolu çıkarırsın.
- LoadLibrary ile GetProcAddress ikilisinden gizlenen çağrıyı fark edersin.
- UPX ile paketlenmiş dosyayı tanır ve upx -d ile açarsın.
1. Dosyayı çalıştırmadan tanımak. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Dosyayı çalıştırmadan türüne, özetine ve içindeki dizelere bak. Bunlardan dosyanın ne olabileceğine dair ilk ipuçlarını çıkar. Tek bir ipucunu kesin sonuç sayma. Özet değeri, tür tespiti ve dizeler on dakikada bir ilk resim verir. Bu derste file, sha256sum ve strings çıktısını birlikte okumayı öğrenirsin.
  6 etkinlik: Terminal · Sınıflandırma · Çıktı tahmini · Çoktan seçmeli
2. Disassembler ile akış okumak. Kilitli: önceki dersleri bitirince açılır11 dk · 55 XP
  Disassembler makine kodunu assembly satırlarına çevirir; sen de bir yordamı baştan okumak yerine çapa atıp doğru yere atlamayı öğrenirsin. Ghidra, IDA, radare2 ve rizin aynı işi farklı arayüzle yapar. Bu derste karşılaştırma ile atlamayı birlikte okumayı ve geri derleyiciyi assembly ile doğrulamayı öğrenirsin.
  6 etkinlik: Terminal · Kod okuma · Çıktı tahmini · Sıralama
3. Kütüphane çağrılarından niyet çıkarmak. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  İçe aktarma tablosu bir programın işletim sisteminden istediği her hizmeti listeler; bu listeyi okuyarak niyeti çalıştırmadan çıkarırsın. Çağrıları tek tek değil küme olarak okur, davranışa ve MITRE ATT&CK taktiklerine bağlarsın. Bu derste gizlenen çağrıyı tanımayı ve kısa tablonun ne anlattığını öğrenirsin.
  6 etkinlik: Terminal · Kod okuma · Sınıflandırma · Eşleştirme
4. Paketlenmiş dosyayı tanımak. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Paketleyici asıl kodu sıkıştırıp gizler; sen de paketlemeyi entropi, bölüm tablosu ve kısa içe aktarma listesinden tanımayı öğrenirsin. Statik analiz paketli dosyada yalnız açıcıyı görür, asıl kodu göremez. Bu derste belirtileri birlikte okumayı ve standart paketlemeyi upx -d ile açmayı öğrenirsin.
  6 etkinlik: Terminal · Kod okuma · Sınıflandırma · Tahmin
5. Lab · Paketi Aç. Kilitli: modülün derslerini bitirince açılır100 XP
  Olay ekibi kurbandan bir dosya çıkardı ve sana bıraktı. Dosyayı çalıştıramazsın, yalnız okursun.
  Kanıt dosyalı lab · zorunlu
Ek lab: Betiği Çalıştırmadan Oku. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- Laboratuvarı ağ, araç, anlık görüntü ve örnek sırasıyla kurarsın.
- Kalıcılık kuran dosya kopyası ve Run anahtarı satırlarını işaretlersin.
- Kaydedilmiş trafikten DNS sorgularını tshark ile listelersin.
1. Güvenli analiz ortamı ve izolasyon. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  Dinamik analiz örneği gerçekten çalıştırdığı için önce yalıtılmış ağlı, anlık görüntülü ve taklit servisli bir laboratuvar kurarsın. Yalıtılmış sanal makine, anlık görüntü ve taklit ağ servisi üç temel parçadır. Bu derste laboratuvarı kurma sırasını ve kırmızı çizgileri öğrenirsin.
  6 etkinlik: Terminal · Sınıflandırma · Sıralama · Çoklu seçim
2. Hata ayıklayıcı ile adım adım yürütme. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP
  Hata ayıklayıcı programı istediğin satırda durdurur, kayıtçıları ve belleği gösterir, çözülmüş veriyi doğrudan okumana yol açar. Windows tarafında x64dbg, Linux tarafında pwndbg eklentili gdb standarttır. Bu derste kesme noktasını doğru yere koymayı öğrenirsin.
  7 etkinlik: Terminal · Kod okuma · Çıktı tahmini · Eşleştirme
3. Süreç ve dosya sistemi izleme. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Örneği çalıştırdığında sistemde bıraktığı dosya, kayıt defteri ve süreç izlerini Process Monitor ve strace ile olay olay kaydedersin. Windows'ta Process Monitor ile Process Hacker, Linux'ta strace bu işi görür. Bu derste gürültü içinden anlamlı satırı ayıklamayı öğrenirsin.
  6 etkinlik: Terminal · Kayıt tarama · Sınıflandırma · Eşleştirme
4. Ağ davranışını gözlemek. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Örnek ağda kime bağlanıyor, ne gönderiyor ve ne sıklıkla soruyor, bunları tshark ile çıkarır ve bulguları engelleme kuralına çevirirsin. Wireshark ile tshark trafiği kaydeder, taklit servis karşılığını üretir. Bu derste alan adı sorgusundan kalp atışı desenine kadar izleri okumayı öğrenirsin.
  6 etkinlik: Terminal · Kayıt tarama · Kod çözme · Çıktı tahmini
5. Lab · Dinamik analizde davranış avı. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo'nun yalıtılmış laboratuvar makinesinde orneksinav.exe adlı bir örnek çalıştırıldı. Ekip senden üç kaydı birlikte okuyup örneğin ne yaptığını çıkarmanı istiyor.
  Kanıt dosyalı lab · isteğe bağlı
Bu modülün sonunda
- Run anahtarına değer yazan satırı kodda bulursun.
- Süreç boşaltmayı bellek ile disk uyuşmazlığından tanırsın.
- Base64 ile gizlenmiş komuta adresini çözersin.
1. Kalıcılık yöntemleri. Kilitli: önceki dersleri bitirince açılır8 dk · 50 XP
  Kalıcılık, zararlı kodun makine yeniden başladıktan sonra da çalışmaya devam etmesidir. Windows'ta Run anahtarı, zamanlanmış görev ve servis üç ana yoldur. Bu derste yöntemi, gerektirdiği yetkiyi ve bıraktığı izi birlikte okumayı öğrenirsin.
  6 etkinlik: Terminal · Kod okuma · Sınıflandırma · Boşluk doldurma
2. Süreç enjeksiyonu ve kod yükleme. Kilitli: önceki dersleri bitirince açılır9 dk · 55 XP
  Süreç enjeksiyonu, kodu başka bir sürecin belleğinde çalıştırmaktır. Amaç güvenilen bir adın arkasına saklanmak ve savunmadan kaçınmaktır. Bu derste dört klasik tekniği adlarıyla ve izleriyle tanırsın.
  6 etkinlik: Terminal · Sınıflandırma · Sıralama · Eşleştirme
3. Komuta kanalı ve yapılandırma çıkarma. Kilitli: önceki dersleri bitirince açılır9 dk · 55 XP
  Komuta kanalı, zararlı kodun saldırgandan emir aldığı yoldur. Adres, protokol ve aralık değerleri çoğu zaman gömülü bir yapılandırma bloğunda durur. Bu derste o bloğu statik ve dinamik yollarla çıkarmayı öğrenirsin.
  6 etkinlik: Terminal · Kod çözme · Sınıflandırma · Çıktı tahmini
4. Fidye yazılımı davranış örüntüsü. Kilitli: önceki dersleri bitirince açılır8 dk · 50 XP
  Fidye yazılımı gizlenmeyi bir noktadan sonra bırakır ve görünür olmayı seçer. Davranış zinciri bellidir: tara, süz, yedekleri sil, şifrele, not bırak. Bu derste bu zinciri günlük satırlarından tanımayı öğrenirsin.
  6 etkinlik: Terminal · Kayıt tarama · Sınıflandırma · Sıralama
5. Lab · Zinciri Çöz. Kilitli: modülün derslerini bitirince açılır100 XP
  Bir yükleyici örneğinin geri derleyici çıktısı, çözme döngüsünün assembly listesi ve gömülü yapılandırma bloğunun hex dökümü elinde.
  Kanıt dosyalı lab · zorunlu
Bu modülün sonunda
- Hata ayıklayıcı kontrolünü kesme noktası koyup geçersiz kılarsın.
- YARA kuralında eksik iki nokta üst üste hatasını bulursun.
- Analiz raporunu yönetici özetinden göstergelere uzanan beş bölümle kurarsın.
1. Sanal makine ve hata ayıklayıcı tespiti. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Zararlı yazılımın sanal makine, kum havuzu ve hata ayıklayıcı kontrollerini tanır, laboratuvarda aşar ve rapora yazarsın. Kontroller iki soruya iner: ortam sanal mı, süreç bir hata ayıklayıcının altında mı. Bu derste bu kontrolleri tanımayı, aşmayı ve savunma tarafında tespit etmeyi öğrenirsin.
  7 etkinlik: Terminal · Kod okuma · Sınıflandırma · Çıktı tahmini
2. Kod karartma ve şifreli dizeler. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Karartmanın neden analizi yavaşlattığını, XOR, Base64, onaltılık ve ROT13 ile gizlenmiş dizeleri nasıl çözeceğini öğrenirsin. Dize şifreleme, API karması ve ölü kod ekleme en sık görülen üç yöntemdir. Bu derste basit kodlamaları statik olarak çözer, floss aracını ve dinamik yakalamayı kullanırsın.
  7 etkinlik: Terminal · Kod çözme · Çıktı tahmini · Çoktan seçmeli
3. IOC ve YARA kuralı yazmak. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP
  Davranışı somut bir göstergeye çevirmeyi, dayanıklı gösterge seçmeyi ve derlenen geçerli bir YARA kuralı yazmayı öğrenirsin. YARA kuralları dosya ve bellek üstünde desen arar ve bir örnek yerine bütün aileyi yakalar. Bu derste kural yapısını, yanlış pozitif testini ve gösterge paylaşımını uygularsın.
  7 etkinlik: Düzenli ifade · Kod okuma · Sınıflandırma · Sıralama
4. Analiz raporu ve paylaşım etiği. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  Rapor iskeletini kurmayı, davranış zincirini kanıta bağlamayı ve zararlı örnek paylaşımının yasal sınırlarını öğrenirsin. İki okuyucu vardır: kararı veren yönetici ve kuralı yazan savunma uzmanı. Bu derste raporu eyleme çeviren bir yapı kurar, TCK ve 6698 sayılı Kanun sınırında paylaşırsın.
  7 etkinlik: Kısa yazım · Sınıflandırma · Sıralama · Çoktan seçmeli
5. Lab · Rapor ve Kural. Kilitli: modülün derslerini bitirince açılır100 XP
  İkili, sanal makinede uysal duruyor ve hata ayıklayıcıda hemen çıkıyor. Nedenini kodda bulacaksın.
  Kanıt dosyalı lab · zorunlu

Bilgi sınavı ve belge

Yolun dörtte üçünü bitirince sınav açılır. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

ALTAYSECAkademi

BELGE NO

ALT-XXXXXXXXXX

ASTM-201 · ORTA SEVİYE

AltaySec Tersine Mühendislik Temel Bilgi Belgesi

Bu belge, aşağıda adı belirtilen katılımcının program kapsamındaki Yol Bilgisi Sınavı'nı başarıyla tamamladığını onaylar.

Ad Soyad

AltaySec adına düzenlenir Doğrulanabilir

Program: ASTM-201 · AltaySec Tersine Mühendislik Temel Bilgi Belgesi
Sınav: 25 soru · 40 dakika
Geçme notu: 75 / 100
Açılma şartı: Yolun dörtte üçünü bitirmek. Yerleştirme testiyle atlanan dersler sayılmaz
Deneme hakkı: 24 saatte en fazla üç
Belge: Belge numarasıyla doğrulama sayfasında sorgulanır

Sınav hesapla açılır. Sorular yolun modüllerine dengeli dağılır. Belge akredite bir kurum diploması değildir, kapsamı bu müfredattır. Belge doğrulama

Kariyer rotaları

Bu yol, kariyer haritasındaki 1 rolün önerilen rotasında yer alır. Rota, rolün izlemeni önerdiği yol sırasıdır.

Zararlı Yazılım Analisti
Şüpheli bir dosyanın ne yaptığını, nasıl kalıcı olduğunu ve kiminle konuştuğunu çıkarırsın. Bulgun tespit kuralına, IOC listesine ve olay müdahale kararına dönüşür.
1. Siber Güvenlik Temelleri
2. Mavi Takım
3. Tersine Mühendislik ve Zararlı Analizi

Pekiştir

Yolun konularını derslerin dışında da çalıştıran sayfalar.

Sertifika hazırlık

Bu yolun derslerine dayanan uluslararası sertifika soruları

Kopya kâğıtları

Komut ve sorgu özetleri, yazdırılabilir

Sigma ve YARA kural iskeletiTespit mühendisliği

Okuma listesi

Konuya giriş ve derinleşme için blog rehberleri

Uygulama modları

Öğrendiğini zaman baskısı ve gerçekçi veriyle sına

CTF ArenaDosyayı indir, soruyu çöz, flag gönder.

Sık sorulanlar

Tersine Mühendislik ve Zararlı Analizi yolu ne kadar sürer?

Derslerin toplamı 4 saat. Labları da çözersen yaklaşık 6,5 saat. Haftada beş saat ayırırsan yaklaşık 1 haftada biter; kendi hızında ilerlersin.

Ön koşul var mı?

Zorunlu değil. Dersler ağ, web ve Linux temellerini bildiğini varsayar; bu yüzden önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz.

Ücretli mi?

Hayır. Dersler, lablar ve bilgi sınavı ücretsizdir. Belge de ücretsizdir. Kart bilgisi istenmez.

Belgeyi nasıl alırım?

Yolun dörtte üçünü bitirince ASTM-201 sınavı açılır: 25 soru, 40 dakika, geçme notu 75. Sınav hesapla açılır. Yerleştirme testiyle atlanan dersler bu eşiğe sayılmaz. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

Lablar nasıl çözülür?

Her modül bir labla kapanır: 3 zorunlu lab kanıt dosyası üzerinden soru-cevapla çözülür; isteğe bağlı lablar bir vakanın kanıt dosyalarını inceletir.

Bu yolla birlikte izlenenler

Aynı kariyer rotalarında bu yolun yanında en sık geçen yollar.