Adli Bilişimde Yürütülebilir Dosya Analizi (PE/ELF): Kapsamlı Rehber ve Uygulamalı Örnekler
Adli bilişimde yürütülebilir dosya analizi, zararlı yazılımların davranışlarını anlamak, olay müdahalesi yapmak ve delil üretmek için kritik bir disiplindir. Bu makalede Windows PE (Portable Executable) ve Linux ELF (Executable and Linkable Format) dosya formatlarının yapısı, analiz yöntemleri ve pratik örnekler ele alınmaktadır.
1. Yürütülebilir Dosya Formatlarına Genel Bakış
1.1 PE (Portable Executable)
PE formatı Windows işletim sistemlerinde kullanılan standarttır. .exe, .dll gibi dosyalar bu yapıdadır. Dosya; başlıklar, bölümler (sections) ve veri dizilerinden oluşur.
1.2 ELF (Executable and Linkable Format)
ELF formatı Linux ve Unix tabanlı sistemlerde kullanılır. Program başlıkları, bölüm başlıkları ve sembol tabloları içerir.
2. Statik Analiz Yöntemleri
Statik analiz, dosya çalıştırılmadan yapılan incelemedir.
Kullanılan Araçlar:
- PE için: PE-bear, CFF Explorer
- ELF için: readelf, objdump, strings
Örnek – ELF dosyasında başlıkları inceleme:
1readelf -h sample_binaryÖrnek – PE dosyasında string analizi:
1strings suspicious.exe | more3. Dinamik Analiz Yöntemleri
Dinamik analiz, dosyanın kontrollü bir ortamda (sandbox/VM) çalıştırılarak davranışlarının gözlemlenmesidir.
İzlenen Unsurlar:
- Dosya sistemi değişiklikleri
- Ağ trafiği
- Registry (Windows)
- Sistem çağrıları
Örnek – Linux’ta sistem çağrısı izleme:
1strace -o log.txt ./sample_binary4. Adli Analizde Örnek Senaryo
Senaryo: Şüpheli bir e-posta eki olarak gelen invoice.exe dosyası.
Adımlar:
1 - Hash alma (MD5/SHA256)
2 - PE başlıklarının incelenmesi
3 - Import edilen API’lerin kontrolü
4 - Sandbox ortamında çalıştırma
5 - Ağ bağlantılarının kaydı
5. İpuçları ve En İyi Uygulamalar
- Analize statik yöntemlerle başlayın, sonra dinamiğe geçin.
- Orijinal delili asla doğrudan çalıştırmayın.
- Zaman damgaları (timestamps) ile oynanmış olabilir; tek başına güvenmeyin.
- Hem PE hem ELF için section isimlerindeki anormalliklere dikkat edin.
Bu makalede adli bilişimde yürütülebilir dosya analizi kapsamında PE ve ELF formatları, statik ve dinamik analiz teknikleriyle birlikte ele alındı. Uygulamalı örnekler ve ipuçlarıyla, zararlı yazılım analizi sürecinde nelere dikkat edilmesi gerektiği vurgulandı. Doğru araçlar ve metodolojiyle yapılan analizler, olay müdahalesinde hızlı ve güvenilir sonuçlar sağlar.
0 yorum