YAYGIN GÖRÜLEN DOSYA ENJEKSİYON ZARARLILARININ ANALİZİ VE SİSTEMATİK OLARAK TESPİTİ

Yıl 2018, , 478 - 489, 20.07.2018

Alper Ecemiş , Ecir Uğur Küçüksille Mehmet Ali Yalçınkaya

https://doi.org/10.28948/ngumuh.443149

Cited By: 1

Öz

Zararlı yazılım, işletim sistemlerinin işleyişini bozmak, veri
hırsızlığı yapmak, dosyaları kullanılmaz hale getirmek, kişisel bilgisayar
sistemlerine erişmek ve istenmeyen reklamları göstermek amacı ile kullanılan yazılımdır.
AV-TEST Enstitüsü, her gün dünya üzerindeki farklı bölgelerden gelen 250,000'in
üzerinde ki yeni zararlı yazılımı kayıt altına almaktadır. Zararlı yazılım
türlerinden birisi de dosya enjeksiyon zararlılarıdır. Dosya enjeksiyon
zararlıları işletim sistemleri üzerindeki çalıştırılabilir veya çalışmakta olan
dosyalara enjeksiyon yaparak kullanıcıların istismarına neden olan zararlı
yazılımlardır. Kurban bilgisayardaki dosyaları şifrelemek, zararlı sunucu
bağlantısı kurmak, çalışmakta olan dosyalara bulaşıp sistemin yavaşlamasına
sebebiyet vermek, çıkarılabilir sürücülere bulaşmak, bilgisayar donanımını
kullanarak fiziksel hasarlara yol açmak etkileri arasındadır. Yapılan
çalışmada, dünya üzerinde yaygın olarak görülen ve önem arz eden 10 farklı türde
dosya enjeksiyon zararlısının Windows ve Linux tabanlı sanal laboratuvarlar
üzerinde statik ve dinamik analizi gerçekleştirilmiş, elde edilen ortak
özelliklere göre dosya enjeksiyon zararlılarını tespit etmek için bir algoritma
önerilmiştir. Bu algoritma aracılığıyla statik ve dinamik analiz yapılarak
girdi olarak verilen dosyanın zararlı olup olmadığı tespit edilebilmiştir.

Anahtar Kelimeler

Dosya enjeksiyon zararlıları, zararlı yazılım, zararlı yazılım analizi, siber güvenlik

WIDELY SEEN FILE INJECTION MALWARE ANALYSIS AND SYSTEMATIC DETECTION

Öz

Malware is used as a software that aims to break the processing of operating system, doing data theft, making the folders useless, reaching the private computer system and showing the unwanted advertisement. Above 250,000 new malware is recorded everyday by the Institute of AV-TEST from a different region of the world. File injection malware is considered one of the harmful malware in the world. File injection malware is defined as a malware that is used to abuse the users by injecting a virus into the executable or already executed folders on the operating system. The effects of this kind of malware can be stated as putting a password to the folders in the victim computer, installing harmful server connection, spreading the effect on running folders to slow down the operating system, effecting removable drives, causing physical damage using computer hardware. In this case, 10 different types of file injection malwares which are widely seen and important in the world determined. The structural and behavioural analysis of the file injection malware was then carried out in virtual laboratories established on Windows and Linux operating systems. A new algorithm is proposed to detect the file injection malwares by capturing the common behavioural properties. Through this algorithm, it is possible to determine whether the input file is harmful by performing static and dynamic analysis.

Anahtar Kelimeler

File injection malwares, malware, malware analysis, cyber security

Kaynakça

• [1] SYMANTEC, “Internet Security Threat Report Volume 22”, Amerika, 2017.
• [2] CANBEK, G., SAĞIROĞLU, Ş. “Kötücül ve Casus Yazılımlar : Kapsamlı Bir Araştırma”, Gazi Üniv. Müh. Mim. Fak. Dergisi, 22, 1, 121-136, 2007.
• [3] MICROSOFT, “Security Intelligence Report Volume 22”, Amerika, 2017.
• [4] http://www.virusradar.com/en/Win32_Sality/map, (erişim tarihi 10.02.2018).
• [5] http://www.virusradar.com/en/Win32_Ramnit/map, (erişim tarihi 11.02.2018).
• [6] http://www.virusradar.com/en/Win32_Bundpil/map, (erişim tarihi 14.02.2018).
• [7] http://www.virusradar.com/en/Win32_Spy.Zbot/map (erişim tarihi 14.02.2018).
• [8] http://www.virusradar.com/en/Win32_Dridex/map (erişim tarihi 16.02.2018).
• [9] http://www.virusradar.com/en/Win32_Ramnit/map (erişim tarihi 19.02.2018).
• [10] http://www.virusradar.com/en/Win32_Kryptik/map (erişim tarihi 19.02.2018).
• [11] http://www.virusradar.com/en/Win32_Virut/map (erişim tarihi 19.02.2018).
• [12] http://www.virusradar.com/en/Exploit.CVE-2017-0147/map (erişim tarihi 20.02.2018).
• [13] SYMANTEC, “Internet Security Threat Report Ransomware 2017, Amerika, 2017.
• [14] RİECK, K.,TRİNİUS, P., WİLLEMS, C., HOLZ, T., “Automatic Analysis Of Malware Behavior Using Machine Learning”. Journal of Computer Security, 19(4), 639-668, 2011.
• [15] EHRENFELD, J. M., “Wannacry, Cybersecurity And Health İnformation Technology: A Time To Act”. Journal of medical systems, 41(7), 104, 2017.
• [16] MOSER, A., KRUEGEL, C., KİRDA, E., “Limits Of Static Analysis For Malware Detection”. Computer security applications conference ACSAC 2007. Miami, USA, 104,10-14 Aralık 2007.
• [17] SNOW, K. Z., KRİSHNAN, S., MONROSE, F., PROVOS, N., “SHELLOS: Enabling Fast Detection and Forensic Analysis of Code Injection Attacks”. USENIX Security Symposium, San Francisco, USA, 183-200, 8-12 Ağustos 2011.
• [18] VİLLANİ, A., BALZAROTTİ, D., Dİ PİETRO, R., “The İmpact Of Gpu-Assisted Malware On Memory Forensics: A Case Study”. Annual Digital Forensics Research Conference, Philadelphia, USA. 9-13 Ağustos 2015.
• [19] GAZET, A., “Comparative Analysis Of Various Ransomware Virii”. Journal in computer virology, 6(1), 77-90, 2010.
• [20] CABAJ, K., GAWKOWSKİ, P., GROCHOWSKİ, K., OSOJCA, D.,“Network Activity Analysis Of Cryptowall Ransomware”. Przeglad Elektrotechniczny, 91(11), 201-204, 2015.
• [21] https://tr.wikipedia.org/wiki/Malware (erişim tarihi 19.02.2018).
• [22] LYDA, R., HAMROCK, J., Using Entropy Analysis To Find Encrypted And Packed Malware. IEEE Security & Privacy, 5(2), 2007.
• [23] https://github.com/katjahahn/PortEx (erişim tarihi 18.02.2018)
• [24] https://www.hex-rays.com/products/ida (erişim tarihi 18.02.2018)
• [25] https://docs.microsoft.com/en-us/sysinternals (erişim tarihi 16.02.2018)
• [26] https://sourceforge.net/projects/regshot (erişim tarihi 15.01.2018)
• [27] https://processhacker.sourceforge.io (erişim tarihi 13.01.2018)
• [28] https://www.apimonitor.com (erişim tarihi 12.01.2018)
• [29] https://x64dbg.com (erişim tarihi 14.01.2018)
• [30] https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/gflags (erişim tarihi 14.01.2018)
• [31] https://cuckoosandbox.org (erişim tarihi 12.01.2018)
• [32] https://github.com/zararliyazilimanalizi/supheliaktiviteler2/blob/master/suphelistring.txt (erişim tarihi 23.02.2018).
• [33] https://github.com/zararliyazilimanalizi/supheliaktiviteler2/blob/master/supheliwindowscagrilari.txt (erişim tarihi 25.02.2018).