Adli Bilişimde Malware Türleri ve Çalışma Mantığı

Adli bilişim (digital forensics), siber olayların analiz edilmesi, delillerin toplanması ve hukuki süreçlerde kullanılmasını kapsayan kritik bir disiplindir. Bu alanda en sık karşılaşılan tehditlerin başında zararlı yazılımlar (malware) gelir. Malware’lerin türlerini ve çalışma mantığını anlamak, hem saldırıların tespitinde hem de adli analiz sürecinde büyük önem taşır.

Malware Nedir?

Malware, kullanıcıya veya sisteme zarar vermek amacıyla geliştirilen tüm yazılımların genel adıdır. Bu yazılımlar; veri çalmak, sistemi kontrol altına almak, izinsiz erişim sağlamak veya hizmetleri engellemek gibi amaçlarla çalışır.

Adli Bilişim Açısından Malware Türleri
1. Virüsler

Virüsler, başka dosyalara veya programlara kendini ekleyerek yayılır.

Çalışma Mantığı:

- Meşru bir dosyaya bulaşır

- Dosya çalıştırıldığında aktif hale gelir

- Sistem dosyalarını değiştirebilir veya silebilir

2. Solucanlar (Worms)

Solucanlar, ağ üzerinden kendi kendine yayılabilen malware türleridir.

Örnek:

- USB

- Açık portlar

- Güvenlik açığı bulunan servisler

1// Ağ üzerinden yayılmayı temsil eden basit mantık
2while(network.isOpen()){
3infect(nextSystem);
4}

3. Truva Atları (Trojan)

Kullanıcıya faydalı gibi görünen ancak arka planda zararlı faaliyetler yürüten yazılımlardır.

Yaygın Kullanım Amaçları:

- Arka kapı (Backdoor) oluşturma

- Tuş kaydı (Keylogging)

- Uzaktan erişim

4. Ransomware (Fidye Yazılımları)

Dosyaları şifreleyerek kullanıcıdan fidye talep eder.

Adli Bilişimde Önemi:

- Şifreleme algoritmaları incelenir

- C2 (Command & Control) sunucuları tespit edilir

- Kripto para hareketleri analiz edilir

1encrypt(file){
2key = generateKey();
3file.lock(key);
4}

5. Spyware (Casus Yazılımlar)

Kullanıcı faaliyetlerini gizlice izler ve veri toplar.

Topladığı Veriler:

- Klavye girişleri

- Tarayıcı geçmişi

- Ekran görüntüleri

Malware’lerin Genel Çalışma Mantığı

1 - Sisteme giriş (vektör analizi)

2 - Kalıcılık sağlama (registry, servis, görev zamanlayıcı)

3 - Gizlenme (obfuscation, packing)

4 - Komuta sunucusu ile iletişim

5 - Zararlı faaliyetin icrası

Adli Bilişim Uzmanları İçin İpuçları

- Disk imajı almadan analiz yapmayın

- Hash değerlerini mutlaka doğrulayın

- Canlı sistem analizinde RAM dump alın

- Network trafiğini (PCAP) inceleyin

- Zaman çizelgesi (timeline) oluşturun

Örnek Senaryo

Bir kurumda ani dosya şifrelenmesi yaşanmıştır. Yapılan adli analizde:

- Şüpheli bir e‑posta eki

- Powershell üzerinden çalışan bir script

- Bilinmeyen IP adresine giden trafik

tespit edilmiştir. Bu bulgular, olayın bir ransomware saldırısı olduğunu kanıtlamıştır.

#kaynak #AdliBilişim