Adli Bilişimde Reverse Engineering Temelleri: Zararlı Yazılım ve Dijital Delil Analizi

Adli bilişim (Digital Forensics), dijital sistemler üzerinde meydana gelen olayların teknik ve hukuki olarak analiz edilmesini amaçlar. Reverse Engineering (Tersine Mühendislik) ise bu alanın en kritik disiplinlerinden biridir. Özellikle zararlı yazılım (malware) analizi, lisans ihlalleri ve şüpheli uygulamaların davranışlarının anlaşılmasında önemli rol oynar.

Bu makalede adli bilişim bağlamında reverse engineering’in temelleri, kullanılan yöntemler, araçlar ve pratik ipuçları ele alınacaktır.

Reverse Engineering Nedir?

Reverse Engineering, derlenmiş bir yazılımın (binary/executable) analiz edilerek:

- Çalışma mantığının anlaşılması

- Gizli fonksiyonların ortaya çıkarılması

- Zararlı davranışların tespit edilmesi

amaçlarını taşır.

Adli bilişimde tersine mühendislik genellikle olay sonrası analiz (post-incident analysis) için kullanılır.

Adli Bilişimde Reverse Engineering’in Kullanım Alanları
1. Zararlı Yazılım Analizi

- Trojan, ransomware, spyware gibi tehditlerin davranışlarını inceleme

- C2 (Command & Control) sunucularının tespiti

2. Dijital Delil İncelemesi

- Şüpheli uygulamaların veri sızdırıp sızdırmadığının analizi

- Log silme veya iz gizleme mekanizmalarının keşfi

3. Lisans ve Fikri Mülkiyet İncelemeleri

- Yazılımın kopyalanıp kopyalanmadığının tespiti

Temel Reverse Engineering Yöntemleri
1. Statik Analiz

- Program çalıştırılmadan yapılan analizdir.

- Disassembly (Assembly koduna çevirme)

- String analizi

- Import/Export tablolarının incelenmesi

Örnek bir string analizi:

1suspicious.exe içinde geçen metinler:
2"http://malicious-server.com
3"
4"cmd.exe /c"
5"keylogger_start"

2. Dinamik Analiz

Yazılım çalıştırılarak davranışlarının gözlemlenmesidir.

- API çağrıları

- Dosya sistemi değişiklikleri

- Ağ trafiği

Yaygın Kullanılan Araçlar
Statik Analiz Araçları

1 - IDA Pro

2 - Ghidra

3 - Radare2

Dinamik Analiz Araçları

1 - x64dbg / OllyDbg

2 - Process Monitor

3 - Wireshark

Örnek bir debugger adımı:

100401023 CALL CreateFileA
200401028 TEST EAX, EAX
30040102A JZ error_handler

Örnek Senaryo: Şüpheli EXE Dosyası İncelemesi

1 - Dosya hash değeri alınır (MD5/SHA256)

2 - String analizi yapılır

3 - Ghidra ile fonksiyonlar incelenir

4 - Sandbox ortamında çalıştırılır

5 - Ağ bağlantıları ve registry değişiklikleri gözlemlenir

İpuçları (Pratik Tavsiyeler)

- Küçük fonksiyonlardan başlayarak analiz yapın

- Şüpheli API çağrılarını not alın

- Anti-debug ve obfuscation tekniklerine dikkat edin

- Her zaman orijinal dosyanın kopyası üzerinde çalışın

Bu makalede adli bilişim kapsamında reverse engineering’in:

- Tanımı

- Kullanım alanları

- Temel analiz yöntemleri

- Araçları ve pratik uygulamaları

ele alınmıştır. Tersine mühendislik, dijital delillerin anlaşılması ve siber tehditlerin ortaya çıkarılması açısından vazgeçilmez bir yetkinliktir. Doğru yöntemler ve disiplinli analiz ile güçlü ve hukuka uygun sonuçlar elde edilebilir.

#AdliBilişim  #kaynak