Mobil Malware ve Kötü Amaçlı Yazılım Analizi: Android ve iOS Tehditlerine Karşı Adli İnceleme

Mobil malware (kötü amaçlı yazılım), akıllı telefon ve tabletleri hedef alan; veri hırsızlığı, casusluk, dolandırıcılık ve uzaktan kontrol gibi faaliyetler yürüten yazılımları ifade eder. Mobil cihazların kişisel ve kurumsal verilerle dolu olması, bu platformları saldırganlar için cazip hale getirir. Bu makale, mobil malware analizini adli bilişim perspektifiyle ele alarak yöntemleri, örnekleri ve en iyi uygulamaları sunar.

Mobil Malware Türleri
1. Casus Yazılımlar (Spyware)

- Mesajlar, aramalar, konum ve mikrofon erişimi
- Gizli veri toplama

2. Bankacılık Zararlıları

- Kimlik avı (phishing) ekranları
- SMS/OTP ele geçirme

3. Reklam Yazılımları (Adware)

- İstenmeyen reklamlar
- Cihaz performansını düşürme

4. Truva Atları (Trojan)

-  Masum uygulama gibi görünür
- Arka planda zararlı faaliyet

5. Uzaktan Erişim Araçları (RAT)

- Cihazın tam kontrolü
- Kamera, mikrofon, dosya erişimi

Mobil Platformlara Göre Tehdit Yüzeyi
Android

- APK tabanlı dağıtım
- Yan yükleme (sideloading) riski
- Geniş izin modeli

iOS

- Kapalı ekosistem
- Jailbreak sonrası artan risk
- Profil ve konfigürasyon kötüye kullanımı

Mobil Malware Analizi Yaklaşımları
1. Statik Analiz

Uygulama çalıştırılmadan yapılan incelemedir.

Android (APK) için:

- Manifest inceleme
- İzinler (Permissions)
- Sertifika ve imza

1aapt dump permissions app.apk

Şüpheli izinler:

- READ_SMS
- RECORD_AUDIO
- ACCESS_FINE_LOCATION

2. Dinamik Analiz

Uygulama çalışırken davranışların gözlemlenmesidir.

- Ağ trafiği
- Dosya oluşturma
- API çağrıları
- Şüpheli servisler

1adb logcat

Bu komut:

- Uygulama loglarını
- Hata ve davranış ipuçlarını

gösterir.

3. Davranışsal Analiz

Statik ve dinamik bulguların birleştirilmesiyle yapılır.

Örnek davranışlar:

- Arka planda SMS gönderimi
- Kullanıcı etkileşimi olmadan ağ bağlantısı
- Sürekli çalışan servisler

Ağ (Network) Analizi

Mobil malware çoğu zaman C2 (Command & Control) sunucularıyla iletişim kurar.

İncelenenler:

- IP adresleri
- Domain’ler
- HTTPS sertifikaları
- Zamanlanmış bağlantılar

1netstat -an

Kalıcılık (Persistence) Mekanizmaları

Mobil zararlılar, cihaz yeniden başlatılsa bile çalışmayı hedefler.

Yöntemler:

- Android: BOOT_COMPLETED receiver
- iOS (jailbreak): LaunchDaemon / profile abuse
- Sürekli servisler

1pm list packages

Mobil Adli Bilişimde Malware İnceleme Senaryosu
Senaryo:

Bir çalışanın telefonunda veri sızıntısı şüphesi var.

İzlenen adımlar:

1 - Cihaz izole edilir (uçak modu)
2 - Yüklü uygulamalar listelenir
3 - Şüpheli APK/IPA tespit edilir
4 - Statik analizle izinler ve kod incelenir
5 - Dinamik analizle ağ ve davranış gözlemlenir
6 - SQLite ve log artefaktlarıyla korelasyon yapılır

Mobil Malware Analizinde Sık Görülen Artefaktlar

- SQLite veritabanları (loglar, komutlar)
- Cache ve temporary dosyalar
- SharedPreferences / plist
- RAM içi string’ler
- Ağ izleri

İpuçları ve En İyi Uygulamalar

- Analizi canlı kullanıcı cihazında yapmaktan kaçının
- Emülatör ve test cihazı kullanın
- Hash ile örnek bütünlüğünü doğrulayın
- Uygulama sürümünü ve build bilgisini belgeleyin
- Yalnızca teknik değil davranışsal yorum yapın

Sınırlamalar ve Zorluklar

- Kod gizleme (obfuscation)
- Şifreli C2 trafiği
- Root/Jailbreak tespitleri
- Donanıma özgü davranışlar
- Anti-emulation teknikleri

Mobil malware ve kötü amaçlı yazılım analizi, modern dijital adli bilişimin vazgeçilmez alanlarından biridir. Android ve iOS ekosistemlerinin farklı güvenlik yaklaşımları, analiz yöntemlerini doğrudan etkiler. Etkili bir inceleme; statik, dinamik ve davranışsal analizlerin birlikte uygulanmasını, ağ ve veri artefaktlarıyla desteklenmesini gerektirir. Doğru metodolojiyle mobil tehditlerin etkisi, kapsamı ve kaynağı net biçimde ortaya konabilir.

#AdliBilişim  #kaynak