Polimorfik zararlı yazılım, her kopyasında farklı bir görünüme sahip olan ancak işlevi değişmeyen zararlı yazılım türüdür. Değişim, kodun şifrelenmesi ve her seferinde farklı bir anahtarla üretilmesiyle sağlanır. Şifre çözme bileşeni de her kopyada farklı biçimde yazılır. Sonuçta iki kopyanın dosya özeti ve içeriği birbirinden tamamen farklı olur. Buna karşılık çalıştıklarında aynı işlevi yerine getirirler.

Bu tekniğin amacı, imza tabanlı tespitten kaçınmaktır. Bir güvenlik ürünü belirli bir dosya özetini ya da bayt dizisini tanıyorsa, farklı görünen bir kopya bu tanımaya takılmaz. Klasik antivirüs yaklaşımının zayıf noktası tam olarak burasıdır. Bu nedenle savunma, davranış analizine kaymıştır. Teknik, bu kaymanın nedenlerinden biridir.

Polimorfik Zararlı Yazılım Nedir?

Polimorfik zararlı yazılım, her yeni kopyasında şifreleme anahtarını ve çözücü bileşenini değiştirerek farklı bir imza üreten, ancak işlevi sabit kalan zararlı yazılımdır.

Yapı iki bölümden oluşur. Birinci bölüm, şifrelenmiş asıl kod gövdesidir. İkinci bölüm ise bu gövdeyi çözen küçük bir bileşendir. Her yeni kopyada anahtar değişir ve çözücü bileşen farklı biçimde üretilir. Böylece iki kopya arasında ortak bir bayt dizisi kalmaz.

Nasıl Çalışır?

Yeni bir kopya üretilirken önce rastgele bir anahtar seçilir. Asıl kod gövdesi bu anahtarla şifrelenir. Ardından bu anahtarı kullanarak çözme yapacak bir bileşen üretilir. Bileşen her seferinde farklı komut sıralarıyla yazılır; aynı işi yapan farklı kod dizilimleri kullanılır. Böylece çözücü bileşen de imza bırakmaz.

Çalıştırma anında çözücü bileşen devreye girer ve asıl kodu belleğe açar. Bu andan itibaren bellekte duran kod, tüm kopyalarda aynıdır. Bu ortaklık, tespit için bir fırsat sunar. Bellek taraması bu aşamada sonuç verir. Disk taraması ise sonuçsuz kalır.

Kopya üretimi genellikle bir motor tarafından yapılır. Bu motor, zararlı yazılımın kendi içinde bulunabileceği gibi dağıtım altyapısında da olabilir. Motorun kendisi de karakteristik izler bırakabilir. Bu izler tespit için kullanılabilir. Analiz motorun tanınmasını hedefler.

• Her kopyada farklı şifreleme anahtarı kullanılması
• Çözücü bileşenin her seferinde farklı biçimde üretilmesi
• Eşdeğer komut dizilimleriyle kod çeşitlendirme
• Ölü kod ve gereksiz komut ekleme
• Bellekte açılan asıl kodun sabit kalması

Metamorfik Yazılımdan Farkı

Polimorfik yazılımda asıl kod gövdesi sabittir; yalnızca şifreleme ve çözücü değişir. Metamorfik zararlı yazılım ise kodun kendisini yeniden yazar. Metamorfik yaklaşımda bellekte açılan kod da her kopyada farklıdır. Bu fark, tespit açısından belirleyicidir. Polimorfik yazılımlar bellek taramasıyla yakalanabilirken metamorfik olanlar yakalanamaz.

Metamorfik yaklaşım teknik olarak çok daha karmaşıktır. Kodun işlevini koruyarak yeniden yazılması, gelişmiş bir dönüşüm motoru gerektirir. Bu nedenle pratikte daha az görülür. Polimorfik teknik ise yaygın ve kolay uygulanabilirdir. Maliyet-fayda dengesi bu tercihi açıklar.

Savunma açısından iki teknik de aynı sonucu doğurur: imza tabanlı tespit işe yaramaz. Bu nedenle ayrım, pratik savunma kararlarını fazla değiştirmez. Her iki durumda da davranış analizi gereklidir. Ayrım daha çok analiz aşamasında önemlidir. Kullanılacak yöntemi belirler.

Nasıl Tespit Edilir?

Birinci yöntem, bellek taramasıdır. Kod belleğe açıldıktan sonra asıl gövde görünür hâle gelir ve imza eşleşmesi mümkün olur. Bu yetenek, modern uç nokta çözümlerinde bulunur. Etkinleştirilmiş olup olmadığı kontrol edilmelidir. Performans etkisi değerlendirilmelidir.

İkinci yöntem, davranış analizidir. Kod ne kadar farklı görünürse görünsün, çalıştığında aynı işlemleri yapar. Aynı dosyalara erişir, aynı kayıt defteri anahtarlarını yazar ve aynı ağ bağlantılarını kurar. Bu davranışlar tespit kuralı hâline getirilebilir. Yöntem, tüm görünüm değişikliklerinden bağımsız çalışır.

Üçüncü yöntem, sezgisel analizdir. Şifrelenmiş gövde ve çözücü bileşen yapısı, kendisi bir gösterge olarak kullanılabilir. Yüksek entropi ve olağandışı kod yapısı bu göstergelere örnektir. Bu yöntem yanlış pozitif üretebilir. Diğer göstergelerle birlikte değerlendirilmelidir.

Savunma Yatırımının Yönü

Bu tekniğin varlığı, imza tabanlı savunmanın tek başına yeterli olmadığını gösterir. Yatırım, davranış tabanlı tespit ve kayıt kapsamına yönlendirilmelidir. Süreç oluşturma, dosya erişimi ve ağ bağlantısı kayıtları bu tespitin temelidir. Bu kayıtlar toplanmadan davranış analizi yapılamaz. Kayıt planı önceliklidir.

Uygulama denetimi de kesin bir çözümdür. Bilinmeyen bir çalıştırılabilir dosyanın hiç çalışamadığı bir ortamda, görünümünün değişmesi anlamsızdır. Bu kontrol, tüm görünüm değiştirme tekniklerini etkisiz kılar. Uygulama zorluğu operasyonel kısıtlardan kaynaklanır. Kademeli geçiş önerilir.

Ayrıca kullanıcıların yerel yönetici hakkına sahip olmaması, çalıştırma yeteneğini sınırlar. En az yetki ilkesi bu bağlamda da temel kontroldür. Bu kontrol, birçok tehdit türüne karşı ortak fayda sağlar. Öncelik sıralamasında üst sırada yer alır. Uygulaması kademeli yapılabilir.

Tarihsel Gelişim

Bu teknik, imza tabanlı antivirüs yaklaşımının yaygınlaşmasına verilen bir yanıt olarak ortaya çıkmıştır. İlk örnekler basit şifreleme kullanıyordu ve çözücü bileşen sabitti. Güvenlik ürünleri bu sabit bileşeni tanımaya başlayınca, çözücü de değişken hâle getirildi. Bu karşılıklı gelişim, savunma ile saldırı arasındaki yarışın tipik bir örneğidir. Bugün de sürmektedir.

Zaman içinde savunma tarafı da yaklaşım değiştirmiştir. Yalnızca imza eşleştirmek yerine, davranış izleme ve bellek analizi eklenmiştir. Bu değişim, tekniğin etkisini azaltmıştır. Ancak tamamen ortadan kaldırmamıştır. Yalnızca imza tabanlı çalışan ortamlarda hâlâ etkilidir.

Günümüzde bu teknik çoğunlukla otomatik üretim hatlarında kullanılır. Dağıtım altyapısı, her hedefe farklı bir kopya üretir. Bu otomasyon, teknik yetkinlik gerektirmeden uygulanabilir hâle getirmiştir. Hazır hizmetler bu üretimi sunar. Erişilebilirlik yaygınlığı artırmıştır.

Tespit Kural Setinin Tasarımı

Bu tehdide karşı kural seti tasarlanırken davranışa odaklanılmalıdır. Dosya özeti ve bayt dizisi kuralları kısa ömürlüdür. Süreç davranışı, dosya erişim örüntüsü ve ağ iletişimi kuralları ise kalıcıdır. Acı piramidi bu tercihin gerekçesini açıklar. Kural seti bu perspektifle gözden geçirilir.

Kuralların etkinliği ölçülmelidir. Hangi kuralın kaç gerçek tespit ürettiği izlenir. Hiç tespit üretmeyen kurallar ya kaldırılır ya da neden çalışmadığı araştırılır. Bu bakım, kural setinin sağlıklı kalmasını sağlar. Ölçüm olmadan set şişer.

Ayrıca kural setinin kontrollü testlerle doğrulanması gerekir. Bilinen tekniklerin çalıştırılması, hangi kuralların tetiklendiğini gösterir. Sonuçlar kapsama tablosuna işlenir. Boşluklar somut hâle gelir. Test dönemsel tekrarlanır.

Uç Nokta Ürün Seçimi

Bu tehdit, uç nokta ürün seçiminde hangi yeteneklerin aranacağını gösterir. Bellek tarama, davranış izleme, süreç soy ağacı kaydı ve uzaktan inceleme yeteneği temel beklentilerdir. Yalnızca dosya tarayan çözümler yetersiz kalır. Değerlendirme kriterleri bu yeteneklere göre belirlenir. Deneme sürecinde test edilmelidir.

Ürünün yapılandırması da önemlidir. Birçok yetenek varsayılan olarak kapalı gelir ya da düşük hassasiyette çalışır. Kurulum sonrası yapılandırma gözden geçirilmelidir. Uç nokta güvenliği çözümünün tam kapasitesi kullanılmalıdır. Varsayılanlara güvenilmemelidir.

Privia Security olarak uç nokta tespit kabiliyetinin görünüm değiştirme tekniklerine karşı etkinliğini SOC olgunlaştırma kapsamında ölçüyoruz.