Adli Bilişim Perspektifinden Virus, Worm ve Trojan Farkları: Örnekler, İpuçları ve Analiz

Adli bilişim alanında kötü amaçlı yazılımlar (malware) analiz edilirken, en sık karşılaşılan türler Virus, Worm ve Trojan olarak öne çıkar. Bu yazımızda bu üç türün farklarını, çalışma prensiplerini, örneklerini ve adli bilişim analizinde dikkat edilmesi gereken noktaları detaylı bir şekilde inceleyeceğiz.

Virus (Virüs)

Virüs, bilgisayara bulaşan ve kendi kendini çoğaltabilen bir kötü amaçlı yazılım türüdür. Virüsler genellikle dosya ekleri veya sistem dosyaları aracılığıyla yayılır.

Özellikleri:

- Dosya veya programlara eklenir.

- Sistem açıldığında aktive olur.

- Kendi başına yayılmaz, kullanıcı etkileşimi gerekir.

Örnekler:

ILOVEYOU Virus: 2000 yılında e-posta ile yayılmış ünlü bir virüs.

Michelangelo Virus: Bilgisayarın sabit diskini hedefleyen klasik bir virüs.

Adli Bilişim İpuçları:

Etkilenen dosyaların hash değerleri kontrol edilmelidir.

1MD5sum: d41d8cd98f00b204e9800998ecf8427e
2SHA256: e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Sistem logları ve çalıştırılmış program geçmişi incelenmelidir.

Worm (Solucan)

Worm, ağ üzerinden kendi kendine yayılabilen bağımsız bir kötü amaçlı yazılımdır. Worm’lar virüslerden farklı olarak, kullanıcı müdahalesi olmadan yayılabilir.

Özellikleri:

- Ağ üzerinden hızlı yayılır.

- Dosya ekine gerek duymaz.

- Sistem kaynaklarını tüketebilir, ağ tıkanıklığı oluşturabilir.

Örnekler:

Conficker Worm: 2008’de milyonlarca bilgisayarı etkileyen solucan.

Sasser Worm: Windows işletim sisteminde hızlı yayılım yapan klasik örnek.

Adli Bilişim İpuçları:

Ağ trafiği analiz edilerek bulaşma noktası tespit edilmelidir.

Firewall ve IDS logları incelenmelidir.

1tcpdump -i eth0 host 192.168.1.10
2wireshark filter: ip.addr==192.168.1.10

Trojan (Truva Atı)

Trojan, kullanıcıyı kandırarak sisteme sızan, kendini zararsız gibi gösteren bir kötü amaçlı yazılımdır. Trojans genellikle dosya veya program maskesi altında gelir.

Özellikleri:

- Kendi başına yayılmaz.

- Sistemde arka kapı (backdoor) açabilir.

- Verileri çalabilir veya sistemi uzaktan kontrol edebilir.

Örnekler:

Zeus Trojan: Bankacılık bilgilerini çalan ünlü Trojan.

Emotet: Spam e-posta yoluyla yayılıp veri çalan bir malware.

Adli Bilişim İpuçları:

Dosya davranışları izlenmeli ve sandbox analizleri yapılmalıdır.

1strings infected_file.exe
2procmon.exe - İzleme başlat

Ağ bağlantıları ve şüpheli outbound trafiğe dikkat edilmelidir.

Virus, Worm ve Trojan Karşılaştırma Tablosu

1| Özellik              | Virus                    | Worm              | Trojan                   |
2| -------------------- | ------------------------ | ----------------- | ------------------------ |
3| Kendi başına yayılma | Hayır                    | Evet              | Hayır                    |
4| Kullanıcı etkileşimi | Gerekli                  | Gerekli değil     | Gerekli                  |
5| Amaç                 | Dosya bozulması, çoğalma | Ağ yayılımı       | Veri hırsızlığı, kontrol |
6| Örnek                | ILOVEYOU, Michelangelo   | Conficker, Sasser | Zeus, Emotet             |

Adli bilişim uzmanları için Virus, Worm ve Trojan farkını anlamak kritik öneme sahiptir.

Virüs: Dosya bazlı ve kullanıcı müdahalesi ile yayılır.

Worm: Ağ üzerinden otomatik yayılır, hızlı bulaşır.

Trojan: Kandırma yoluyla sisteme girer, veri çalabilir veya sistemi kontrol eder.

#AdliBilişim  #kaynak