UEFI ve Firmware Seviyesinde Adli Analiz: İşletim Sisteminin Altındaki Kalıcı İzler

UEFI ve firmware katmanı, bir sistemin en alt ve en kalıcı bileşenlerindendir. İşletim sistemi yeniden kurulduğunda, diskler biçimlendirildiğinde hatta değiştirildiğinde bile firmware içindeki izler yaşamaya devam edebilir. Bu nedenle modern adli bilişim vakalarında UEFI/firmware analizi; ileri seviye kalıcılık, anti-forensics, APT saldırıları ve bootkit/rootkit tespiti için kritik bir rol oynar.

UEFI ve Firmware Nedir?
UEFI (Unified Extensible Firmware Interface)

UEFI, klasik BIOS’un yerini alan modern önyükleme altyapısıdır.
Başlıca özellikleri:

- Modüler yapı
- NVRAM değişkenleri
- Secure Boot desteği
- EFI System Partition (ESP) kullanımı

Firmware

Firmware; anakart, disk, ağ kartı, GPU gibi donanımların kendi mikro yazılımlarıdır.
Çoğu firmware:

- Flash bellekte saklanır
- OS’ten bağımsız çalışır
- Güncellenebilir (ve kötüye kullanılabilir)

Adli Bilişim Açısından Neden Önemli?

- Disk temizlenmiş olsa bile kalıcı zararlı kod bulunabilir
- Secure Boot zinciri kırılmış olabilir
- Donanım üzerinden gizli ağ trafiği üretilebilir
- Olayın kök nedeni OS değil, firmware olabilir

UEFI Mimarisi: Nerelerde İz Bırakır?
Başlıca Artefact Alanları

- EFI System Partition (ESP)
- UEFI NVRAM değişkenleri
- Boot Manager kayıtları
- Secure Boot anahtarları (PK, KEK, db, dbx)
- Firmware modülleri (DXE, PEI)

UEFI Seviyesinde Yaygın Tehditler
1. UEFI Bootkit’ler

- Boot sürecine enjekte olur
- OS yüklenmeden önce çalışır
- Disk silinse bile kalır

2. Secure Boot Bypass

- Sahte imzalı bootloader
- Güven zincirinin kırılması
- Yetkisiz EFI uygulamaları

3. Firmware Rootkit’ler

- SPI flash’a yazılır
- OS içinden görünmez
- Kalıcılığı çok yüksektir

Adli Analiz: Nereden Başlanmalı?
1. EFI System Partition (ESP) Analizi

ESP genellikle FAT32 formatındadır ve disk imajı içinde yer alır.

1fsstat disk.img

1fls -r disk.img | grep EFI

Şüpheli durumlar:

- Beklenmeyen .efi dosyaları
- Standart dışı dizinler
- Tarih uyumsuzlukları

2. EFI Uygulamalarının İncelenmesi

EFI dosyaları aslında PE formatındadır.

1file bootx64.efi

1strings suspicious.efi | less

Anlamsız ama teknik string’ler, gömülü fonksiyonlar göstergesi olabilir.

3. UEFI NVRAM Değişkenleri

NVRAM değişkenleri:

- Boot sırası
- Secure Boot durumu
- Özel vendor değişkenleri

1efivar -l

Firmware Dump ve Analizi
Firmware Alma (Read-Only Amaçlı)

Firmware dump işlemleri yüksek risklidir ve yalnızca izole ortamda yapılmalıdır.

1flashrom -p internal -r firmware.bin

Firmware İçerik Analizi

1binwalk firmware.bin

Bu analizle:

- Gömülü modüller
- Sıkıştırılmış bölümler
- Şüpheli binary’ler

tespit edilebilir.

Adli Senaryo Örneği

Olay:
Bir sistem her OS kurulumundan sonra kısa sürede yeniden ele geçiriliyor.

Analiz:

- Disk imajı temiz
- ESP içinde ek .efi dosyası
- NVRAM’da bilinmeyen boot girdisi
- Firmware dump’ta modifiye DXE modülü

Sonuç:

- UEFI bootkit tespit edildi
- OS bağımsız kalıcılık kanıtlandı

Anti-Forensics ve Zorluklar
Yaygın Zorluklar

- Firmware’e erişim sınırlı
- Donanım üreticiye özel yapı
- Analiz araçları sınırlı
- Hatalı okuma cihazı bozabilir

Adli Analistler İçin Pratik İpuçları
ESP’yi Standartla Karşılaştır

- Aynı donanım modelinin temiz sistemini referans al

Secure Boot Anahtarlarını Kontrol Et

- Yetkisiz anahtar eklenmiş mi?

Disk + Firmware Ayrımını Yap

- Disk temizliği ≠ sistem temizliği

Her Şeyi Belgele

- Firmware işlemleri geri dönüşsüz olabilir

Hukuki ve Adli Değer

Mahkemelerde:

- Uzman raporu şarttır
- Analiz tekrarlanabilir olmalıdır

Donanım modeli ve sürüm açıkça belirtilmelidir

#AdliBilişim #kaynak