BIOS Manipülasyonları ve Kalıcılık Teknikleri: İşletim Sisteminin Altında Saklanan Tehditler

BIOS (ve modern karşılığı olan UEFI öncesi firmware bileşenleri), bir sistemin ilk çalışan ve en zor temizlenen katmanıdır. İşletim sistemi silinse, disk değişse bile BIOS seviyesinde yapılan manipülasyonlar kalıcı izler bırakabilir. Bu nedenle BIOS manipülasyonları; ileri seviye kalıcılık, anti-forensics, APT vakaları ve donanım temelli tehditler açısından adli bilişimde özel bir öneme sahiptir.

BIOS Nedir ve Neden Kritik?

BIOS (Basic Input/Output System):

- Donanımı başlatır
- Önyükleme zincirini tetikler
- Firmware flash bellekte saklanır
- OS’ten bağımsızdır

Modern sistemlerde BIOS’un yerini büyük ölçüde UEFI almış olsa da, BIOS mantığı ve riskleri hâlâ geçerlidir.

BIOS Manipülasyonu Nedir?

BIOS manipülasyonu; firmware içeriğinin yetkisiz biçimde değiştirilmesi, ek modül eklenmesi veya mevcut fonksiyonların bozulmasıdır. Amaç çoğunlukla kalıcılık, gizli kontrol ve tespitten kaçmadır.

BIOS Seviyesinde Kalıcılık Teknikleri
1. Firmware Flash’a Zararlı Kod Enjeksiyonu

- BIOS, SPI flash bellek üzerinde tutulur
- Zararlı kod doğrudan buraya yazılır
- OS yeniden kurulumları etkisiz kalır

2. Boot Süreci Manipülasyonu

- Boot sırası değiştirilir
- Sahte veya modifiye boot bileşeni eklenir
- OS yüklenmeden önce kod çalışır

Bu yöntem:

- Keylogging
- Memory injection
- Güvenlik bypass

için idealdir.

3. Donanım Bileşeni Üzerinden Kalıcılık

- Ağ kartı firmware’i
- Disk controller firmware’i
- Thunderbolt / PCIe bileşenleri

4. BIOS Güncelleme Mekanizmasının Kötüye Kullanımı

- Sahte firmware güncellemesi
- İmzalanmamış BIOS flash
- Güncelleme rollback saldırıları

Adli Bilişim Açısından Neden Önemli?

- Disk ve OS analizleri temiz görünebilir
- Aynı sistem tekrar tekrar ele geçirilebilir
- Ağ trafiği OS dışı kaynaklı olabilir
- “Temiz kurulum” iddiası çürütülebilir

BIOS Manipülasyonu Nasıl Tespit Edilir?
1. Davranışsal Göstergeler (İlk Alarm)

- OS her kurulumdan sonra tekrar kompromize oluyor
- Secure Boot / Boot Guard tutarsızlığı
- Donanım değişmeden sorun devam ediyor

2. Firmware Versiyon ve Hash Karşılaştırması

- Üretici firmware hash’i ile karşılaştır
- Aynı model “temiz” sistem referans al

1dmidecode -t bios

Bu komut:

- BIOS sürümü
- Tarih
- Vendor bilgisi gibi temel izleri verir.

3. Firmware Dump Alma (Yalnızca Read-Only)

1flashrom -p internal -r bios_dump.bin

⚠️ Uyarı:
Bu işlem risklidir, izole ortamda yapılmalıdır.

4. BIOS İçerik Analizi

1binwalk bios_dump.bin

Şüpheli göstergeler:

- Beklenmeyen modüller
- Fazladan sıkıştırılmış bloklar
- Tanımsız binary’ler

Adli Senaryo Örneği

Olay:
Bir şirket bilgisayarı her format sonrası kısa sürede tekrar ele geçiriliyor.

Analiz Süreci:

- Disk imajı temiz
- OS logları normal
- Ağ trafiği OS yüklenmeden başlıyor
- BIOS dump’ta ek modül tespit edildi

Sonuç:

- BIOS manipülasyonu ile kalıcılık
- OS bağımsız kontrol kanıtlandı

Anti-Forensics ve Zorluklar
BIOS Analizinin Zorlukları

- Donanıma özel yapı
- Standart araç eksikliği
- Hatalı okuma donanımı bozabilir
- Analist hatası geri dönüşsüz olabilir

Adli Analistler İçin Pratik İpuçları
Disk Analizi Temizse Şüpheyi Derinleştir

- Israrcı bulaşma varsa firmware düşün

Donanım Modelini Net Belgele

- BIOS analizi donanıma bağımlıdır

Referans Firmware Sakla

- Aynı model temiz firmware karşılaştırması altın değerdedir

Firmware İşlemlerini Ayrı Logla

- Hukuki süreçte şeffaflık sağlar

Hukuki ve Adli Değer

Mahkemelerde:

- Uzman raporu şarttır
- Analiz yöntemi tekrarlanabilir olmalıdır
- Donanım modeli ve firmware sürümü açıkça belirtilmelidir

#AdliBilişim #kaynak