Adli Bilişimde Debug ve Disassembler Kullanımı: Zararlı Yazılım ve Olay Analizi Rehberi

Adli bilişim, dijital delillerin toplanması, analiz edilmesi ve raporlanması süreçlerini kapsayan kritik bir disiplindir. Özellikle zararlı yazılım analizi, yetkisiz erişim olayları ve sistem ihlallerinde debugger ve disassembler araçları vazgeçilmezdir. Bu makalede, adli bilişimde debug ve disassembler kullanımının temelleri, pratik örnekler ve uzmanlara yönelik ipuçları ele alınacaktır.

Debugger Nedir ve Adli Bilişimde Neden Kullanılır?

Debugger (hata ayıklayıcı), bir programın çalışma zamanındaki davranışını adım adım incelemeye yarayan araçtır. Adli bilişimde debugger’lar genellikle şu amaçlarla kullanılır:

- Zararlı yazılımın çalışma mantığını anlamak

- Şifreleme veya gizleme (obfuscation) tekniklerini çözmek

- Bellekte çalışan zararlı kodu analiz etmek

- Anti-debug tekniklerini tespit etmek

Örnek: Basit Bir Debug Senaryosu

Aşağıda bir debugger’da adım adım ilerleme (step-by-step) mantığını gösteren örnek bir pseudo-assembly yer almaktadır:

1MOV EAX, 1
2ADD EAX, 2
3CMP EAX, 3
4JE SUCCESS
5JMP FAIL

Bu örnekte debugger kullanılarak EAX register’ının her adımda aldığı değer izlenebilir ve koşullu dallanmanın nasıl çalıştığı anlaşılabilir.

Disassembler Nedir ve Nerelerde Kullanılır?

Disassembler, derlenmiş bir programı assembly diline çevirerek statik analiz yapmayı sağlar. Kaynak kodun bulunmadığı durumlarda özellikle etkilidir.

Disassembler kullanım alanları:

1 - Zararlı yazılımın statik analizi

2 - Şüpheli dosyaların ilk incelemesi

3 - Fonksiyon çağrılarının ve API kullanımının tespiti

4 - Program akışının haritalandırılması

Örnek: API Çağrısı Analizi

1PUSH offset szUser32
2CALL LoadLibraryA
3CALL MessageBoxA

Bu kod parçası, programın user32.dll yüklediğini ve bir mesaj kutusu gösterdiğini açıkça ortaya koyar. Adli bilişim uzmanı için bu, davranışsal bir ipucudur.

Debugger ve Disassembler Birlikte Nasıl Kullanılır?

Gerçek dünyadaki adli bilişim vakalarında bu iki araç çoğunlukla birlikte kullanılır:

1- Disassembler ile genel yapı ve fonksiyonlar analiz edilir

2- Şüpheli bölümler işaretlenir

3 - Debugger ile bu bölümler çalışma zamanında izlenir

4- Bellek, register ve stack davranışları incelenir

Uzmanlar İçin İpuçları

- Anti-debug tekniklerine karşı breakpoint’leri dikkatli kullanın

- Şüpheli string’leri ve API çağrılarını her zaman not alın

- Sanal makine (VM) üzerinde analiz yaparak ana sistemi koruyun

- Zaman tabanlı kontroller (sleep, delay) için debugger patch’leri kullanın

Bu makalede, adli bilişimde debug ve disassembler kullanımının temel prensipleri ele alınmıştır. Debugger’lar, yazılımın çalışma zamanındaki gerçek davranışını ortaya koyarken; disassembler’lar statik yapıyı anlamayı sağlar. Özellikle zararlı yazılım ve siber olay analizlerinde bu iki yaklaşımın birlikte kullanılması, delillerin doğru yorumlanması açısından kritik öneme sahiptir.

#AdliBilişim  #kaynak