Memory Forensics: RAM Dump'dan Aktif Prosesleri Çıkarma

Bilgisayarın RAM'inde o anda çalışan programlar, açık dosyalar ve ağ bağlantıları saklanır. Bir saldırı soruşturması sırasında RAM dump'ı incelemek, zararlı yazılımı veya gizli prosesleri ortaya çıkarmanın en etkili yoludur.

Disk'teki veriler silinebilir, gizlenebilir veya şifrelenebilir. Ama RAM'deki veriler sistem kapalı olana kadar orada kalır. Bir incident meydana geldiğinde hemen RAM'i dump etmek, o anki sistem durumunun tam bir fotoğrafını almak demektir.

Linux sistemlerinde LiME (Linux Memory Extractor) kullanılır. Windows'ta FTK Imager veya DumpIt tercih edilir. Dump alındıktan sonra genellikle.bin veya.raw uzantılı bir dosya elde edersiniz.

Volatility, RAM dump'larını analiz etmek için standart araçtır. İlk olarak dump'ın işletim sistemi profilini belirlemek gerekir.

1volatility -f ram_dump.bin imageinfo

Bu komut çıktısında Windows 10 x64 gibi profil bilgisini göreceksiniz. Sonra aktif prosesleri listeleyin:

1volatility -f ram_dump.bin --profile=Win10x64 pslist

Örnek Çıktı:

1Offset(V) Name PID PPID Thds Hnds Sess Wow64 Start
20x8a3e4b20 System 4 0 95 550 - False 2024-01-15 10:22:18
30x8a4c2060 csrss.exe 456 4 12 310 0 False 2024-01-15 10:22:22
40x8a5d1b40 explorer.exe 2840 2816 24 891 1 False 2024-01-15 10:25:50
50x8a6e9a80 chrome.exe 3456 3400 52 1245 1 False 2024-01-15 10:30:12
60x8a7f2c60 cmd.exe 4120 2840 1 45 1 False 2024-01-15 10:35:44

Burada PID (Process ID), PPID (Parent Process ID) ve Start zamanı kritik bilgilerdir. Eğer cmd.exe explorer.exe'nin altında çalışıyorsa, kullanıcı tarafından açılmıştır. Ama eğer bilinmeyen bir process system altında çalışıyorsa, bu şüpheli olabilir.

Eğer cmd.exe veya powershell.exe gibi komut satırı araçları görürseniz, ne yaptığını öğrenin:

1volatility -f ram_dump.bin --profile=Win10x64 cmdline | grep cmd.exe

Bu, o process'in tam komut satırını gösterir. Zararlı yazılım genellikle obfuscated (gizlenmiş) komutlar çalıştırır.

Aktif proseslerin açık dosyalarını görmek için:

1volatility -f ram_dump.bin --profile=Win10x64 filescan | grep -E '\.exe|\.dll'

Memory forensics, sadece çalışan programları görmekle kalmaz; onların başlangıç zamanını, parent process'ini ve kullandığı kaynakları ortaya çıkarır. Bu bilgiler, bir saldırının nasıl başladığını ve sistem üzerinde ne yapıldığını anlamak için hayati öneme sahiptir.