Paketleyici, bir çalıştırılabilir dosyayı sıkıştırarak ya da şifreleyerek içeriğini gizleyen araçtır. Paketlenmiş dosya çalıştırıldığında, içindeki küçük bir açma bileşeni asıl kodu belleğe çıkarır ve çalıştırır. Diskte duran dosya incelendiğinde asıl kod görünmez; yalnızca sıkıştırılmış bir veri bloğu vardır. Bu özellik, imza tabanlı tespiti etkisiz kılar. Bu nedenle zararlı yazılımlarda yaygın olarak kullanılır.

Aracın kendisi zararlı değildir. Paketleyiciler başlangıçta dosya boyutunu küçültmek ve ticari yazılımları tersine mühendislikten korumak için geliştirilmiştir. Meşru yazılımlarda da kullanılırlar. Bu nedenle bir dosyanın paketlenmiş olması tek başına zararlı olduğunu göstermez. Değerlendirme, ek göstergelerle birlikte yapılmalıdır.

Paketleyici Nedir?

Paketleyici, bir çalıştırılabilir dosyanın kodunu sıkıştırıp şifreleyerek diskte gizleyen ve çalışma anında belleğe açan yardımcı programdır.

Paketlenmiş bir dosyanın yapısı iki bölümden oluşur. Birinci bölüm, açma işlemini yapan küçük bir kod parçasıdır. İkinci bölüm ise sıkıştırılmış ya da şifrelenmiş asıl koddur. Çalıştırma sırasında birinci bölüm ikinciyi belleğe açar ve denetimi ona devreder. Bu akış, statik analizde asıl kodun görünmemesine yol açar.

Neden Kullanılır?

Zararlı yazılım geliştiricileri açısından temel amaç, imza tabanlı tespitten kaçınmaktır. Aynı zararlı kod farklı ayarlarla paketlendiğinde her seferinde farklı bir dosya özeti üretir. Böylece bilinen özet listeleri işe yaramaz. Bu yöntem, düşük maliyetle tespit atlatma sağlar. Yaygın kullanılmasının nedeni budur.

İkinci amaç, analizi zorlaştırmaktır. Tersine mühendislik yapan bir araştırmacı, önce paketi açmak zorunda kalır. Bu ek adım, analiz süresini uzatır ve bazı durumlarda özel araç gerektirir. Ticari paketleyicilerde bu koruma daha da güçlüdür. Analiz maliyeti saldırganın işine yarar.

Üçüncü amaç, dosya boyutunun küçültülmesidir. Bu amaç daha çok meşru kullanım senaryolarında geçerlidir. Küçük dosya, dağıtımı kolaylaştırır. Zararlı yazılımlarda da ikincil bir fayda olarak görülür. Ancak asıl motivasyon tespit atlatmadır.

• İmza tabanlı tespitten kaçınma
• Tersine mühendislik analizini zorlaştırma
• Dosya boyutunu küçültme
• Aynı kodun farklı özet değerleriyle dağıtılması
• Ticari yazılımlarda fikrî mülkiyet koruması

Kripterlerden Farkı

Paketleyici ve kripter terimleri sıkça birbirinin yerine kullanılır. Paketleyici genellikle sıkıştırmaya, kripter ise şifrelemeye odaklanır. Kripterler özellikle tespit atlatma amacıyla geliştirilir ve ticari olarak satılır. Bazı hizmetler, dosyanın bilinen güvenlik ürünleri tarafından tespit edilip edilmediğini de test eder. Bu hizmetler suç ekonomisinin bir parçasıdır.

Bu araçların bir kısmı, çıktının her seferinde farklı olmasını sağlar. Aynı zararlı kod, aynı araçla iki kez paketlendiğinde farklı sonuç üretir. Bu özellik, özet tabanlı tespiti tamamen işlevsiz kılar. Savunma bu nedenle davranış analizine dayanmalıdır. Dosya kimliğine dayanan yaklaşımlar yetersizdir.

Nasıl Tespit Edilir?

Paketlenmiş bir dosyanın kendisi, belirli yapısal işaretler taşır. Bölüm adlarının standart dışı olması, yüksek entropi değeri ve içe aktarma tablosunun beklenmedik ölçüde küçük olması bu işaretlere örnektir. Bu göstergeler otomatik araçlarla ölçülebilir. Yüksek entropi, sıkıştırma ya da şifrelemenin göstergesidir. Ancak tek başına zararlı olduğunu kanıtlamaz.

İkinci yöntem, kullanılan paketleyicinin imzasının tanınmasıdır. Yaygın paketleyiciler karakteristik başlangıç kodları bırakır. Bu imzalar veri tabanlarında derlenmiştir ve otomatik olarak eşleştirilebilir. Bilinen bir paketleyici tespit edildiğinde, uygun açma aracı kullanılabilir. Özel paketleyicilerde ise elle çalışma gerekir.

Üçüncü ve en güvenilir yöntem, dinamik analizdir. Dosya izole bir ortamda çalıştırılır ve paket açıldıktan sonra bellek görüntüsü alınır. Bu görüntüde asıl kod görünür hâle gelir. Dinamik zararlı analizi bu yaklaşımı kullanır. Ortam kontrolleri bu analizi zorlaştırabilir.

Savunma Açısından Anlamı

Paketleme yaygın olduğu için, savunmanın dosya kimliğine dayanmaması gerekir. Davranış tabanlı tespit, kodun ne olduğuna değil ne yaptığına bakar ve paketlemeden etkilenmez. Bu nedenle modern uç nokta çözümleri bu yaklaşımı benimser. Yalnızca imza tabanlı çalışan çözümler yetersiz kalır. Ürün seçiminde bu kriter dikkate alınmalıdır.

Bellekte açılan kodun taranması da etkili bir yöntemdir. Paket açıldıktan sonra asıl kod bellekte görünür hâle gelir ve imza eşleşmesi mümkün olur. Bu yetenek, uç nokta çözümlerinin önemli bir özelliğidir. Etkinleştirilmiş olup olmadığı kontrol edilmelidir. Performans etkisi değerlendirilmelidir.

Uygulama denetimi ise en kesin çözümdür. Yalnızca onaylı ve imzalı yazılımların çalışmasına izin verilen bir ortamda, paketlenmiş bilinmeyen bir dosya hiç çalışamaz. Uygulama beyaz listesi bu korumayı sağlar. Uygulama kademeli yapılmalıdır. Önce denetim modunda izlenir.

Analiz Sürecinde Dikkat Edilecekler

Paketlenmiş bir örneği analiz ederken, açma işleminin izole ortamda yapılması zorunludur. Ortamın gerçekçi olması, ortam kontrollerinin atlanmasını sağlar. Kullanıcı dosyaları, tarayıcı geçmişi ve makul kaynak tanımı bu gerçekçiliği sağlar. Varsayılan analiz ortamları kolayca tanınır. Yapılandırma özenle yapılmalıdır.

Bellek görüntüsünün doğru anda alınması da önemlidir. Paket açıldıktan hemen sonra alınan görüntü asıl kodu içerir. Çok erken ya da çok geç alınan görüntüler eksik olabilir. Otomatik araçlar bu anı yakalayabilir. Elle analizde deneyim gerekir.

Elde edilen asıl kod üzerinden göstergeler çıkarılır. Bu göstergeler tespit kurallarına dönüştürülür ve ortam genelinde aranır. Uzlaşma göstergeleri bu şekilde üretilir. Analiz, savunmaya doğrudan katkı sağlar. Döngü bu şekilde tamamlanır.

Entropi Ölçümü ve Sınırları

Entropi, bir veri bloğundaki rastgeleliğin ölçüsüdür ve paketleme tespitinde sık kullanılır. Sıkıştırılmış ya da şifrelenmiş veriler yüksek entropi değeri üretir. Normal derlenmiş kodun entropisi ise daha düşüktür. Bu fark, otomatik tarama araçlarında bir gösterge olarak kullanılır. Ancak ölçüm tek başına karar verdirmez.

Yüksek entropi meşru dosyalarda da görülebilir. Sıkıştırılmış kaynak içeren kurulum dosyaları, gömülü görseller ve dijital imzalar bu değeri yükseltir. Bu nedenle entropi yalnızca bir ön eleme aracıdır. Diğer göstergelerle birlikte değerlendirilmelidir. Tek başına kullanıldığında yanlış pozitif üretir.

Ölçümün bölüm bazında yapılması daha anlamlı sonuç verir. Kod bölümünün entropisinin olağandışı yüksek olması, veri bölümünden çok daha güçlü bir işarettir. Bu ayrıntı, analiz araçlarında dikkate alınır. Değerlendirme dosya yapısı bilgisiyle birlikte yapılır. Bağlam belirleyicidir.

Kurumsal Ortamda Politika

Kurumsal ortamda paketlenmiş bilinmeyen dosyaların çalıştırılmasının engellenmesi mümkündür. Uygulama denetimi politikaları, imzalı ve onaylı olmayan dosyaları reddeder. Bu kontrol paketlemeyi tamamen anlamsız kılar. Uygulama, envanter çalışmasıyla başlar. Onaylı yazılım listesi çıkarılır.

Geçiş sırasında denetim modu kullanılır. Bu modda engelleme yapılmaz, yalnızca hangi dosyaların engelleneceği kaydedilir. Kayıtlar incelenerek meşru yazılımlar listeye eklenir. Ardından engelleme moduna geçilir. Bu sıralama kesinti riskini azaltır.

Politika sonrasında da bakım gerekir. Yeni yazılımların listeye eklenmesi için bir süreç tanımlanmalıdır. Süreç basit tutulduğunda benimsenme artar. Karmaşık süreçler baypas arayışına yol açar. Denge önemlidir.

Privia Security olarak uç nokta tespit yeteneklerinin paketleme ve gizleme tekniklerine karşı etkinliğini SOC olgunlaştırma kapsamında ölçüyoruz.