Android Cihazlarında RAM Analizi ve Memory Dump

Android cihazlarında RAM analizi ve memory dump, çalışan uygulamaların, aktif süreçlerin ve geçici verilerin incelenmesini sağlayan kritik bir mobil adli bilişim tekniğidir. Diskte kalıcı olmayan; şifreler, oturum anahtarları, mesajlar, ağ bağlantıları ve zararlı yazılım izleri gibi veriler çoğu zaman yalnızca RAM üzerinde bulunur. Bu nedenle bellek analizi, olayın “canlı” anına dair benzersiz kanıtlar sunar.

Android’te RAM Analizinin Önemi

Android ekosisteminde RAM analizi aşağıdaki sorulara yanıt verebilir:

- Hangi uygulamalar çalışıyordu?
- Şüpheli bir servis arka planda aktif miydi?
- Ağ bağlantıları ve oturum bilgileri var mıydı?
- Zararlı yazılımın bellekteki davranışı nasıldı?

Android Bellek Mimarisi (Kısa Bakış)

Android, Linux kernel tabanlıdır ve bellek yönetimi de Linux prensiplerine dayanır.

Önemli bileşenler:

User Space RAM: Uygulama verileri

Kernel Space RAM: Sürücüler, kernel modülleri

Zygote Process: Uygulama başlatma altyapısı

ART / Dalvik Heap: Java tabanlı uygulama belleği

RAM Analizi Öncesi Gereksinimler
1. Root Erişimi

RAM dump almak için çoğu zaman root yetkisi gerekir.

2. USB Debugging (ADB)

ADB, Android cihaz ile analiz ortamı arasında köprü görevi görür.

1adb devices

Android’te Memory Dump Alma Yöntemleri
1. /dev/mem ve /proc/kcore (Eski Yöntemler)

Modern Android sürümlerinde genellikle erişim kısıtlıdır.

2. LiME (Linux Memory Extractor) ile RAM Dump

LiME, Android ve Linux sistemlerde bellek dökümü almak için en yaygın kullanılan yöntemlerden biridir.

LiME Modülünü Yükleme

1adb push lime.ko /data/local/tmp/

RAM Dump Alma (SD Card’a)

1insmod /data/local/tmp/lime.ko "path=/sdcard/memdump.lime format=lime"

Bu işlem:

- RAM içeriğini alır
- LIME formatında kaydeder

3. Process Bazlı Bellek Analizi

Belirli bir uygulamanın belleğini almak mümkündür.

Çalışan Process’leri Listeleme

1ps -A

Belirli Bir PID için Haritalama

1cat /proc/1234/maps

Bellek Segmentlerini İnceleme

1cat /proc/1234/mem

Alınan Memory Dump’un Analizi
Volatility Framework ile Analiz

Android bellek dökümleri, Linux profilleri kullanılarak analiz edilebilir.

Örnek:

- Process listesi
- Açık dosyalar
- Ağ bağlantıları
- String aramaları

Örnek Adli Senaryo

Senaryo:
Bir Android cihazda zararlı uygulama ile veri sızıntısı şüphesi var.

İzlenen adımlar:

1 - Cihaz uçak moduna alınır
2 - RAM dump alınır (LiME)
3 - Çalışan process’ler analiz edilir
4 - Ağ bağlantıları incelenir

Şüpheli string ve anahtar kelimeler aranır

Bu yöntemle disk üzerinde bulunmayan C2 adresleri veya token’lar tespit edilebilir.

İpuçları ve En İyi Uygulamalar

- RAM dump öncesi ekran kilidi ve şifre durumu not alın
- Cihazı mümkün olduğunca az etkileşimle analiz edin
- Dump alma süresince ağ bağlantılarını kesin
- Hash (SHA-256) ile dump bütünlüğünü doğrulayın
- Kernel ve Android sürümünü mutlaka belgeleyin

Sınırlamalar ve Zorluklar

- Root gereksinimi
- Modern Android güvenlik önlemleri (SELinux, AVB)
- Donanıma özgü kernel farklılıkları
- RAM boyutunun büyük olması (analiz süresi)

Android cihazlarında RAM analizi ve memory dump, mobil adli bilişimde en zor ama en değerli inceleme türlerinden biridir. Diskte iz bırakmayan veriler, ancak bellek analizi ile ortaya çıkarılabilir. LiME gibi araçlar, doğru şekilde kullanıldığında güçlü sonuçlar sağlar; ancak root, kernel uyumu ve delil bütünlüğü gibi konular dikkatle ele alınmalıdır.

#AdliBilişim  #kaynak