Adli Bilişimde İleri Düzey Tersine Mühendislik (Advanced Reverse Engineering) Yöntemleri ve Uygulama

Adli bilişim, dijital delillerin toplanması, analizi ve sunulması sürecinde kritik bir rol oynar. Tersine mühendislik ise, bir yazılımın veya cihazın çalışma şeklini anlamak ve potansiyel güvenlik açıklarını keşfetmek amacıyla yapılan bir analiz yöntemidir. Adli bilişimde ileri düzey tersine mühendislik (Advanced Reverse Engineering), özellikle karmaşık dijital suçların çözülmesinde ve dijital kanıtların çıkarılmasında önemli bir araçtır.

Bu makalede, adli bilişim alanında ileri düzey tersine mühendislik tekniklerine dair temel kavramlar, kullanılan araçlar ve yöntemler üzerinde durulacak ve örneklerle açıklamalar yapılacaktır.

İleri Düzey Tersine Mühendislik Nedir?

Tersine mühendislik, bir ürünün veya yazılımın iç işleyişini analiz ederek, kaynak koda ulaşmayı, hataları ve güvenlik açıklarını bulmayı amaçlayan bir süreçtir. Adli bilişimde, bu yöntem genellikle:

Zararlı yazılım analizi: Virüs, trojan veya ransomware gibi zararlı yazılımların çalışmasını anlamak.

Kriptografi çözümü: Şifreleme algoritmalarının çözülmesi.

Dijital izlerin çıkarılması: Silinmiş dosyaların ve verilerin geri getirilmesi.

Bu süreç, genellikle derlenmiş bir yazılımın kaynak kodu olmadan gerçekleştirilir ve yazılımın çalışma mantığı hakkında bilgi edinilmesini sağlar.

Tersine Mühendislik Süreci

Tersine mühendislik süreci, birkaç adımdan oluşur:

1 - İlk analiz: Yazılımın veya cihazın genel yapısının analizi yapılır. Bu adımda, hangi tür dosya ve formatların kullanılacağına karar verilir.

2 - İzleme ve Tracing: Yazılımın çalışma zamanında ne gibi işlemler gerçekleştirdiği izlenir. Bu işlem için genellikle debugger (hata ayıklayıcı) araçları kullanılır.

3 - Kod çözme: Derlenmiş veya şifrelenmiş yazılımlar, kod çözme teknikleriyle analiz edilir.

4 - Sonuçların yorumlanması: Elde edilen bulgular, dijital delil olarak birleştirilir ve analistlerin raporlamasına sunulur.

Kullanılan Araçlar ve Teknikler

İleri düzey tersine mühendislik için birçok farklı araç ve teknik bulunmaktadır. Bazı popüler araçlar:

IDA Pro: Yazılımları analiz etmek için en popüler araçlardan biridir. Hem statik hem de dinamik analiz yapılmasına olanak tanır.

Ghidra: ABD Ulusal Güvenlik Ajansı (NSA) tarafından geliştirilmiş bir tersine mühendislik aracıdır. Ücretsizdir ve açık kaynaklıdır.

OllyDbg: Bir debugger aracıdır ve özellikle Windows uygulamaları için kullanılır.

Radare2: Çok çeşitli platformlarda çalışan bir açık kaynaklı tersine mühendislik aracıdır.

Tersine Mühendislikte Yaygın Olarak Kullanılan Teknikler:

Statik analiz: Programın çalışma zamanını gözlemlemeden, yazılımın kodu üzerinde yapılan analizdir.

Dinamik analiz: Program çalıştırılırken yapılan analizdir. Bu teknik, yazılımın davranışlarını gözlemlemek için kullanılır.

Zararlı yazılım analizi: Zararlı yazılımların izini sürme ve onları anlamlandırma sürecidir.

Çalışma zamanı izleme: Yazılımın çalışma süresindeki işlemleri gözlemleyerek analiz yapılır.

Adli Bilişimde İleri Düzey Tersine Mühendislik Örnekleri
Örnek 1: Zararlı Yazılım Analizi

Bir hacker, bir kurbanın bilgisayarına bir zararlı yazılım bulaştırmış olsun. Adli bilişim uzmanları, yazılımı tersine mühendislik yoluyla analiz ederek şunları yapabilir:

- Zararlı yazılımın hangi dosyaları etkilediğini belirler.

- Yazılımın çalıştırdığı sistem çağrılarını izler.

- Zararlı yazılımın veri çalmak veya şifreli dosyalar oluşturmak gibi işlemleri nasıl gerçekleştirdiğini çözer.

# Örnek Python kodu: Zararlı yazılımın şifrelediği dosyayı geri almak için şifre çözme algoritması

1# Örnek Python kodu: Zararlı yazılımın şifrelediği dosyayı geri almak için şifre çözme algoritması
2
3from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
4from cryptography.hazmat.backends import default_backend
5
6def decrypt_data(encrypted_data, key, iv):
7cipher = Cipher(algorithms.AES(key), modes.CBC(iv), backend=default_backend())
8decryptor = cipher.decryptor()
9decrypted_data = decryptor.update(encrypted_data) + decryptor.finalize()
10return decrypted_data
11
12# Test verisi
13encrypted_data = b"encrypted_message_here"
14key = b"your_secret_key"
15iv = b"initialization_vector"
16
17# Şifre çözme
18decrypted_message = decrypt_data(encrypted_data, key, iv)
19print(decrypted_message)

Örnek 2: Çalışma Zamanı İzleme

Bir yazılımın çalışma zamanını izlemek için OllyDbg gibi araçlar kullanılır. Programın hangi sistem kaynaklarını kullandığı, hangi dosya ve ağ erişimlerine sahip olduğu gözlemlenir. Aşağıda, yazılımın bellek erişimlerini izlemek için kullanılan temel bir yaklaşım örneği verilmiştir.

1# OllyDbg üzerinden bellek izleme başlatılır
2> ollydbg target_program.exe

İpuçları ve Öneriler

Gizliliğe dikkat edin: Tersine mühendislik işlemleri sırasında gizliliği ihlal etmeyecek şekilde hareket edin. Çalıştığınız yazılımın veya cihazın hukuki statüsünü mutlaka göz önünde bulundurun.

Sürekli öğrenin: Tersine mühendislik, sürekli değişen bir alan olduğu için yeni araçlar ve teknikler hakkında sürekli olarak bilgi edinmek önemlidir.

Yedekleme yapın: Tersine mühendislik işlemleri sırasında orijinal dosyaların bir yedeğini almayı unutmayın. Yanlışlıkla veri kaybı yaşanabilir.

Karmaşık yazılımlar için daha fazla araç kullanın: Daha karmaşık yazılımlar ve şifreleme teknikleri için, birden fazla tersine mühendislik aracını bir arada kullanmak faydalı olabilir.

#AdliBilişim #kaynak