Statik zararlı analizi, bir örneği hiç çalıştırmadan yapısını ve içeriğini inceleyerek bilgi elde etme yöntemidir. Dosya biçimi, metin sabitleri, içe aktarılan işlevler ve gömülü kaynaklar bu incelemede değerlendirilir. Örnek çalıştırılmadığı için risk düşüktür ve analiz hızlıdır. Bu iki özellik, yöntemi ilk adım olarak tercih edilir kılar. Çoğu incelemede buradan başlanır.

Yöntemin en büyük avantajı, örneğin tüm kod yollarını kapsayabilmesidir. Dinamik analizde yalnızca çalıştırılan yollar görülürken, statik analizde koşullu olarak çalışan bölümler de incelenebilir. Belirli bir tarihte ya da belirli bir ortamda devreye giren kod bu şekilde bulunur. Bu kapsam avantajı önemlidir. Dinamik analiz bu bölümleri kaçırabilir.

Statik Zararlı Analizi Nedir?

Statik zararlı analizi, örneği çalıştırmadan dosya yapısı, metin içeriği ve kod düzeyinde inceleyerek işlevi hakkında bilgi elde etme yöntemidir.

Analiz iki alt düzeye ayrılır. Temel statik analizde dosya üst verileri, metin sabitleri ve içe aktarma tablosu incelenir; kod okunmaz. Gelişmiş statik analizde ise kod ayrıştırılarak okunur. İkinci düzey uzmanlık ve zaman gerektirir. Çoğu incelemede temel düzey yeterli bilgi verir.

Hangi Bilgiler Elde Edilir?

İlk bilgi kaynağı dosya üst verileridir. Derleme zamanı, dosya boyutu, bölüm yapısı ve dijital imza durumu bu kapsamdadır. Derleme zamanının olağandışı olması ya da imzanın geçersizliği dikkat çekicidir. Bu bilgiler hızlıca çıkarılabilir. Otomatik araçlar bu adımı yapar.

İkinci kaynak metin sabitleridir. Dosya içindeki okunabilir metinler, alan adları, dosya yolları ve komut satırı parametreleri hakkında ipucu verir. Bu metinler doğrudan gösterge olarak kullanılabilir. Karartılmış örneklerde ise anlamlı metin bulunmaz. Bu durum da kendisi bir göstergedir.

Üçüncü kaynak içe aktarma tablosudur. Dosyanın hangi sistem işlevlerini kullandığı, yeteneklerini gösterir. Ağ işlevleri, şifreleme işlevleri ve süreç oluşturma işlevleri bu tabloda görünür. Tablonun beklenmedik ölçüde küçük olması paketleme işaretidir. Bu değerlendirme hızlı yapılabilir.

• Dosya üst verileri: derleme zamanı, bölümler, imza durumu
• Metin sabitleri: adresler, yollar, komutlar
• İçe aktarma tablosu: kullanılan sistem işlevleri
• Gömülü kaynaklar: ek dosyalar ve yapılandırma
• Entropi ölçümü: paketleme ve şifreleme göstergesi
• Kod ayrıştırma: mantık ve akış incelemesi

Kullanılan Araçlar

Temel statik analiz için dosya biçimi ayrıştırıcıları, metin çıkarma araçları ve özet hesaplayıcılar kullanılır. Bu araçlar ücretsiz ve yaygındır. Kullanımları kısa bir eğitimle öğrenilebilir. Bu nedenle her kurumun temel düzeyde kapasitesi olabilir. Zararlı yazılım analizi sürecinin ilk adımı budur.

Gelişmiş analiz için ayrıştırıcı ve kod çözümleyici araçlar gerekir. Bu araçlar kodu okunabilir hâle getirir ve akış grafiğini çıkarır. Kullanımları ciddi uzmanlık gerektirir. Bu düzey genellikle özel ekiplerde bulunur. Dış destek bir seçenektir.

Kural tabanlı tarama araçları da bu aşamada kullanılır. Bilinen zararlı aile kalıplarını arayan kurallar, hızlı sınıflandırma sağlar. YARA kuralları bu amaçla yaygın kullanılır. Kural setleri topluluk tarafından paylaşılır. Kendi kurallarınızı da yazabilirsiniz.

Sınırları

En büyük sınır paketleme ve karartmadır. Paketlenmiş bir örnekte metin sabitleri ve içe aktarma tablosu gizlenmiştir. Bu durumda statik analiz yalnızca paketlemenin varlığını gösterir. Asıl içerik için dinamik analize geçilmesi gerekir. Bu geçiş standart bir adımdır.

İkinci sınır, çalışma anında üretilen davranışlardır. Uzak bir kaynaktan indirilen yapılandırma ya da kod, statik incelemede görünmez. Bu içerik ancak çalıştırma sırasında ortaya çıkar. Bu nedenle iki yöntem birbirini tamamlar. Tek yöntemle eksiksiz sonuç alınamaz.

Üçüncü sınır, zaman maliyetidir. Gelişmiş statik analiz, karmaşık örneklerde günler sürebilir. Bu süre her olayda ayrılamaz. Bu nedenle analiz düzeyinin olayın kritikliğine göre seçilmesi gerekir. Karar önceden tanımlı kriterlere dayanmalıdır.

Ne Zaman Tercih Edilir?

Statik analiz, örneğin çalıştırılmasının riskli olduğu durumlarda tercih edilir. Ayrıca dinamik analizde davranış göstermeyen örneklerde de tek seçenek olabilir. Ortam kontrolleri nedeniyle çalışmayan bir örnek, ancak statik olarak incelenebilir. Bu durumda kod okuma gerekir. Uzmanlık şarttır.

Hızlı sınıflandırma ihtiyacında da statik analiz öne çıkar. Bir örneğin bilinen bir aileye ait olup olmadığı dakikalar içinde belirlenebilir. Bu bilgi, müdahale önceliğini doğrudan etkiler. Bilinen bir aile için hazır bilgi mevcuttur. Analiz süresi kısalır.

Dosya Biçimi İncelemesi

Her dosya biçiminin kendine özgü bir yapısı vardır ve bu yapı incelemenin başlangıç noktasıdır. Çalıştırılabilir dosyalarda başlık bilgileri, bölüm tablosu ve giriş noktası incelenir. Belge dosyalarında ise gömülü nesneler ve makro akışları aranır. Arşiv dosyalarında içerik listesi çıkarılır. Her biçim için ayrı araç ve yaklaşım gerekir.

Yapıdaki tutarsızlıklar güçlü göstergelerdir. Beyan edilen boyut ile gerçek boyut arasındaki fark, olağandışı bölüm adları ve geçersiz başlık alanları bu tutarsızlıklara örnektir. Bu belirtiler otomatik araçlarla yakalanabilir. Meşru dosyalarda da nadiren görülebilir. Bağlam değerlendirmesi gerekir.

Gömülü kaynakların çıkarılması da değerlidir. Bazı örnekler asıl yükü kaynak bölümünde saklar. Bu kaynakların çıkarılıp ayrıca incelenmesi gerekir. Damlalık mimarisi bu yapıyı kullanır. İç içe katmanlar bulunabilir.

Kural Tabanlı Tarama

Statik analizde en verimli araçlardan biri, kural tabanlı tarayıcılardır. Bu araçlar, dosya içinde belirli bayt dizileri ve metin kalıpları arar. Bilinen zararlı ailelerin kalıpları kurallar hâlinde derlenir. Bir eşleşme, hızlı sınıflandırma sağlar. Kural setleri topluluk tarafından paylaşılır.

Kendi kurallarınızı yazmak da mümkündür. Kurumunuza yönelik bir örnek analiz edildiğinde, çıkarılan kalıplar kural hâline getirilir. Bu kurallar ortam genelinde taranarak diğer etkilenen sistemler bulunur. Bu yaklaşım, olay müdahalesini hızlandırır. Kural yazımı öğrenilebilir bir beceridir.

Kuralların yanlış pozitif oranı test edilmelidir. Çok genel yazılmış bir kural, meşru dosyalarla eşleşir ve gürültü üretir. Bu nedenle kurallar temiz dosya kümeleri üzerinde sınanmalıdır. Sınama, kural kalitesini belirler. Bakım süreci tanımlanmalıdır.

Otomatikleştirme

Statik analizin büyük bölümü otomatikleştirilebilir. Dosya üst verilerinin çıkarılması, metin sabitlerinin listelenmesi, entropi ölçümü ve kural taraması betiklerle yapılabilir. Bu otomasyon, analistin zamanını yorumlamaya ayırmasını sağlar. Tekrarlayan işler makineye bırakılır. Verimlilik artar.

Otomatik çıktıların standart bir biçimde üretilmesi de önemlidir. Böylece farklı örneklerin sonuçları karşılaştırılabilir hâle gelir. Karşılaştırma, aile ilişkilerini ortaya çıkarır. Standart biçim, arşivlemeyi de kolaylaştırır. Uzun vadede birikim değer üretir.

Privia Security olarak olay incelemelerinde örnekleri önce statik yöntemlerle sınıflandırıyor, gerektiğinde derin analize geçiyoruz. Sonuçları olay inceleme ve olay müdahalesi raporlarında sunuyoruz.