Adli Bilişim Rootkit Analizi: Tehditleri Tespit Etme ve İnceleme Yöntemleri

Rootkitler, modern siber güvenlik dünyasında en sinsi ve zararlı kötü amaçlı yazılımlardan biridir. Adli bilişim uzmanları için rootkit analizi, hem olay müdahalesi hem de adli kanıt toplama açısından kritik öneme sahiptir. Bu makalede, rootkit analizinin temel adımlarını, yöntemlerini ve ipuçlarını detaylı olarak inceleyeceğiz.

Rootkit Nedir?

Rootkit, sistemde gizlenerek yetkisiz erişim sağlayan kötü amaçlı yazılımlardır. Genellikle işletim sistemi çekirdeği seviyesinde çalışırlar ve antivirüs yazılımlarından kaçmak için çeşitli teknikler kullanırlar.

Rootkit Türleri

Rootkitler farklı seviyelerde çalışabilir:

1 - Kullanıcı Modu Rootkitleri (User-mode)

- Uygulama seviyesinde çalışır.

- Sistemdeki belirli süreçleri veya dosyaları gizleyebilir.

2 - Çekirdek Modu Rootkitleri (Kernel-mode)

- İşletim sistemi çekirdeğine entegre olur.

- Sistem çağrılarını manipüle ederek görünmezlik sağlar.

3 - Bootkitler

- Sistemin açılış sürecini hedefler.

- BIOS veya UEFI seviyesinde çalışarak tespit edilmesi çok zordur.

Adli Bilişim Sürecinde Rootkit Analizi

Rootkit analizi, adli bilişim sürecinde şu adımlarla yürütülür:

1. Ön Hazırlık

- Sistemin izole edilmesi ve ağ bağlantısının kesilmesi

- RAM ve disk görüntüsünün alınması

- Analiz ortamının sanal veya laboratuvar ortamında hazırlanması

1Örnek: Linux sisteminden disk görüntüsü alma
2
3sudo dd if=/dev/sda of=/mnt/forensic_image/disk_image.dd bs=4M conv=sync,noerror

2. Dosya ve Süreç Analizi

- Bilinen kötü amaçlı dosya imzalarının kontrolü

- Sistem çağrılarının izlenmesi ve olağandışı davranışların tespiti

1Örnek: Linux'ta şüpheli süreçleri listeleme
2
3ps aux | grep -i suspicious_process

3. Kernel Modülü ve Sistem Çağrısı İncelemesi

- Yüklü kernel modüllerinin doğrulanması

- Sistem çağrılarının değiştirilip değiştirilmediğinin kontrolü

1Kernel modüllerini listeleme
2
3lsmod
4
5Şüpheli modül detaylarını inceleme
6
7modinfo suspicious_module

4. Bellek Analizi (Memory Forensics)

- RAM'deki şüpheli işlemleri inceleme

- Yüklenmiş rootkitlerin hafızada gizlenip gizlenmediğini tespit etme

1Volatility ile bellek analizi örneği
2
3volatility -f memory_dump.raw pslist

Rootkit Analizinde İpuçları

1 - Sistem çağrılarını karşılaştırın: Rootkitler genellikle sistem çağrılarını değiştirir.

2 - Farklı araçlarla doğrulama yapın: Tek bir analiz aracı yanıltıcı olabilir.

3 - Şüpheli davranışları takip edin: Gizli dosyalar, anormal ağ trafiği ve bilinmeyen süreçler rootkit göstergesidir.

4 - Log dosyalarını inceleyin: Sistemdeki olağan dışı log değişiklikleri rootkit varlığına işaret edebilir.

Örnek Vaka: Bootkit Tespiti

Bir şirketin sunucusunda sürekli yeniden başlatma sorunları yaşanıyordu. Disk ve RAM görüntüleri alındı. Volatility ile bellek analizi yapıldığında, sistem çağrıları beklenmedik şekilde değiştirilmişti ve bir bootkit tespit edildi. Sistem güvenlik yamaları uygulanarak rootkit temizlendi.

Rootkitler, hem kullanıcı hem de işletim sistemi seviyesinde ciddi tehditler oluşturur. Adli bilişim uzmanları için rootkit analizi:

- Sistemin izole edilmesi ve kanıtların alınması

- Dosya ve süreç analizleri

- Kernel modülü ve sistem çağrısı kontrolü

- Bellek analizi ve şüpheli davranışların tespiti

gibi adımları içerir. Doğru yöntem ve araçlarla rootkitlerin tespiti ve temizlenmesi mümkündür.

#AdliBilişim  #kaynak