Metamorfik zararlı yazılım, her yeni kopyasında kendi kodunu yeniden yazan ve böylece tamamen farklı bir yapı üreten zararlı yazılım türüdür. Şifreleme kullanmaz; bunun yerine kodun kendisini dönüştürür. Sonuçta iki kopya arasında ortak bir bayt dizisi bulunmaz ve bellekte açılan kod da farklıdır. Bu özellik, hem disk hem bellek taramasını etkisiz kılar. Tespit yalnızca davranış üzerinden mümkün olur.

Teknik, uygulaması en zor gizleme yöntemlerinden biridir. Kodun işlevini koruyarak yeniden yazılması, gelişmiş bir dönüşüm motoru gerektirir. Bu motor, kodu ayrıştırmalı, eşdeğer dönüşümler uygulamalı ve yeniden birleştirmelidir. Bu karmaşıklık nedeniyle pratikte nadir görülür. Yine de kavramsal olarak savunma sınırlarını gösterir.

Metamorfik Zararlı Yazılım Nedir?

Metamorfik zararlı yazılım, her kopyasında kendi kodunu işlevini koruyarak yeniden yazan ve böylece hem diskte hem bellekte farklı bir yapı sunan zararlı yazılımdır.

Dönüşüm motoru, kodu bir dizi eşdeğer işlem üzerinden yeniden üretir. Aynı sonucu veren farklı komut dizilimleri seçilir, komut sırası değiştirilir ve kayıt kullanımı yeniden atanır. Bu dönüşümler kodun davranışını değiştirmez. Ancak yapısını tamamen farklılaştırır. Sonuç, aynı işi yapan farklı bir program olur.

Hangi Dönüşümler Kullanılır?

Birinci dönüşüm, komut değişimidir. Aynı sonucu üreten farklı komutlar birbirinin yerine kullanılır. Bir değeri sıfırlamanın birden çok yolu vardır ve her kopyada farklı biri seçilebilir. Bu değişim, imza eşleşmesini bozar. Uygulaması görece basittir.

İkinci dönüşüm, kayıt yeniden atamasıdır. Kodun kullandığı işlemci kayıtları farklı biçimde eşleştirilir. İşlev aynı kalır ama üretilen bayt dizisi değişir. Bu dönüşüm de imza tabanlı tespiti bozar. Analiz araçları bunu normalleştirebilir.

Üçüncü dönüşüm, komut sırasının değiştirilmesidir. Birbirine bağımlı olmayan komutların sırası değiştirilebilir. Bu değişiklik sonucu etkilemez. Ancak kod akışını farklılaştırır. Bağımlılık analizi bu dönüşümü sınırlar.

Dördüncü dönüşüm, ölü kod eklemedir. Sonucu kullanılmayan komutlar eklenerek kod uzatılır ve yapısı bozulur. Bu komutlar analiz sırasında ayıklanabilir. Yine de otomatik eşleşmeyi zorlaştırır. Basit ama etkili bir yöntemdir.

• Eşdeğer komutların birbirinin yerine kullanılması
• İşlemci kayıtlarının yeniden atanması
• Bağımsız komutların sırasının değiştirilmesi
• Ölü kod ve sonuçsuz komut ekleme
• Alt yordamların bölünmesi ve birleştirilmesi
• Kontrol akışının yeniden düzenlenmesi

Polimorfik Yazılımdan Farkı

Polimorfik zararlı yazılımda asıl kod gövdesi sabittir ve yalnızca şifrelenerek gizlenir. Bellekte açıldığında tüm kopyalarda aynı kod görünür. Metamorfik yazılımda ise bellekte açılan kod da her kopyada farklıdır. Bu fark, bellek taramasını da etkisiz kılar. Tespit yalnızca davranışa dayanır.

Bu fark, analiz yaklaşımını da değiştirir. Polimorfik örneklerde asıl gövde çıkarılıp incelenebilir. Metamorfik örneklerde ise her kopya ayrı bir program gibi incelenmelidir. Bu durum analiz maliyetini belirgin biçimde artırır. Otomatik normalleştirme araçları kısmen yardımcı olur.

Pratikte metamorfik teknik nadiren tam olarak uygulanır. Çoğu örnek, polimorfik ve metamorfik tekniklerin bir karışımını kullanır. Bu karışım, uygulama maliyetini düşürürken tespit zorluğunu korur. Sınıflandırma bu nedenle kesin değildir. Değerlendirme örnek bazında yapılır.

Nasıl Tespit Edilir?

Tek güvenilir yöntem davranış analizidir. Kod nasıl yazılırsa yazılsın, çalıştığında aynı sistem çağrılarını yapar ve aynı kaynaklara erişir. Bu davranışlar tespit kuralı hâline getirilebilir. Kural, kodun yapısından tamamen bağımsızdır. Bu bağımsızlık, yöntemi dayanıklı kılar.

İkinci yöntem, kod normalleştirmedir. Analiz araçları, eşdeğer dönüşümleri geri alarak kodu standart bir biçime getirir. Bu biçim üzerinde karşılaştırma yapılabilir. Yöntem, bilinen dönüşüm türleri için etkilidir. Yeni dönüşümlerde başarısız olur.

Üçüncü yöntem, sezgisel yapı analizidir. Aşırı sayıda ölü kod, olağandışı komut dağılımı ve gereksiz karmaşıklık bu analizde işaret olarak değerlendirilir. Bu göstergeler yanlış pozitif üretebilir. Diğer sinyallerle birlikte kullanılmalıdır. Tek başına karar verdirmez.

Savunma Yaklaşımı

Bu teknik, dosya kimliğine dayanan savunmanın sınırlarını en net biçimde gösterir. Hiçbir imza veri tabanı, her kopyası farklı olan bir kodu tanıyamaz. Bu nedenle savunma tamamen davranış ve bağlam üzerine kurulmalıdır. Kayıt kapsamı bu savunmanın temelidir. Kayıt olmadan davranış görülemez.

Uygulama denetimi ise sorunu kökten çözer. Bilinmeyen bir çalıştırılabilir dosyanın çalışamadığı bir ortamda, kodun kaç farklı biçime girdiği önemsizdir. Uygulama beyaz listesi bu korumayı sağlar. Uygulama operasyonel hazırlık gerektirir. Kademeli geçiş planlanmalıdır.

Ayrıca sömürü azaltma özellikleri de değerlidir. Kodun çalışmasını zorlaştıran işletim sistemi korumaları, kodun görünümünden bağımsız çalışır. Bu özelliklerin etkinleştirilmesi ek bir katman sağlar. Uyumluluk testi gerekir. Etkinleştirme sonrası kalıcı kazanç elde edilir.

Son olarak, uç nokta çözümlerinin bellek ve davranış izleme yeteneklerinin etkin olması gerekir. Yalnızca dosya tarayan bir yapılandırma bu tehdide karşı işlevsizdir. Yapılandırmanın gözden geçirilmesi önerilir. Varsayılan ayarlar her zaman yeterli değildir. Ürün yeteneklerinin tamamı kullanılmalıdır.

Uygulama Zorluğu ve Yaygınlığı

Metamorfik teknik teorik olarak çok güçlüdür ancak uygulaması zordur. Kodun işlevini koruyarak yeniden yazılması, hata riski yüksek bir işlemdir. Küçük bir hata, zararlı yazılımın çalışmamasına yol açar. Bu risk, saldırganlar için maliyetlidir. Bu nedenle tam metamorfik örnekler nadirdir.

Pratikte görülen örneklerin çoğu kısmi dönüşüm uygular. Kodun yalnızca belirli bölümleri yeniden yazılır, geri kalanı sabit kalır. Bu yaklaşım, uygulama maliyetini düşürürken tespit zorluğunun bir bölümünü korur. Sabit kalan bölümler tespit için fırsat sunar. Analiz bu bölümleri hedefler.

Ayrıca dönüşüm motorunun kendisi de bir imza bırakabilir. Motorun kullandığı dönüşüm kalıpları tanınabilir hâle gelir. Bu tanıma, aile düzeyinde tespit sağlar. Tek tek kopyalar farklı olsa da aile tanınabilir. Analiz bu düzeyde çalışır.

Yorumlanan Dillerde Metamorfizm

Betik dillerinde metamorfik dönüşüm çok daha kolaydır. Kaynak kod metin olarak bulunduğu için yeniden yazılması basittir. Değişken adları, ifade biçimleri ve akış yapısı kolayca değiştirilebilir. Bu nedenle betik tabanlı örneklerde bu teknik daha sık görülür. Tespit de buna göre zorlaşır.

Buna karşılık betik motorlarının kayıt yeteneği güçlü bir savunma sunar. Çalıştırılan betiğin kaydedilmesi, dönüşümden bağımsız olarak davranışı görünür kılar. Bu kayıt, en etkili tespit kaynağıdır. Etkinleştirilmesi önceliklidir. Kayıt hacmi yönetilebilir.

Ayrıca betiklerin imzalı olma zorunluluğu getirilebilir. İmzasız betiklerin çalıştırılmaması, dönüşümün hiç işe yaramamasını sağlar. Bu politika kurumsal ortamda uygulanabilir. Geliştirme ekipleri için istisna tanımlanır. İstisnalar denetlenir.

Analiz Stratejisi

Metamorfik örneklerin analizinde tek tek kopyaları incelemek verimsizdir. Bunun yerine dönüşüm motorunun anlaşılması hedeflenir. Motor anlaşıldığında, ürettiği tüm kopyaların ortak özellikleri çıkarılabilir. Bu ortak özellikler tespit kuralı hâline getirilir. Yaklaşım aile düzeyinde çalışır.

Normalleştirme araçları da bu analizde kullanılır. Araç, eşdeğer dönüşümleri geri alarak kodu standart biçime getirir. Farklı kopyalar aynı standart biçime indirgenebilir. Bu indirgeme, karşılaştırmayı mümkün kılar. Yöntem bilinen dönüşümler için etkilidir.

Davranış profilinin çıkarılması da değerlidir. Kopyalar farklı olsa da davranışları aynıdır. Bu profil, tespit kuralının temelini oluşturur. Dinamik zararlı analizi bu profili üretir. Sonuçlar kural setine beslenir.

Kurumsal Karşılık ve Öncelik

Bu tehdit, çoğu kurum için doğrudan bir öncelik oluşturmaz çünkü nadir görülür. Ancak ortaya koyduğu ilke geneldir: dosya kimliğine dayanan savunma kırılgandır. Bu ilkenin kabul edilmesi, savunma yatırımının yönünü belirler. Davranış ve bağlam odaklı yatırımlar tercih edilir. İlke, tüm tehdit türlerinde geçerlidir.

Pratikte kurumların yapması gereken, uç nokta çözümlerinin tam kapasitede yapılandırılmasıdır. Bellek tarama, davranış izleme ve süreç soy ağacı kaydı etkin olmalıdır. Bu yapılandırma, hem bu tehdide hem daha yaygın tehditlere karşı koruma sağlar. Yatırımın karşılığı geniş kapsamda alınır. Yapılandırma denetimi dönemsel yapılır.

Ayrıca kayıt saklama süresinin yeterli olması gerekir. Geriye dönük arama yeteneği, geç fark edilen bulaşmalarda kapsam belirlemeyi mümkün kılar. Log yönetimi stratejisi bu ihtiyacı dikkate almalıdır. Süre kararı yalnızca uyumla verilmemelidir. Tespit ihtiyacı da girdi olmalıdır.

Privia Security olarak uç nokta koruma yapılandırmalarının gerçek tespit kabiliyetini SOC olgunlaştırma çalışmaları kapsamında ölçüyoruz.