Behavior based malicious software detection and classification

Son yıllarda sosyal medyada fazlaca yer alan konulardan biri olan siber saldırılar görünüşe bakılacak olursa önemini arttırarak gündemde kalmaya devam edecek. Siber saldırılarda etkin şekilde kullanılan zararlı yazılımlar siber savaşın vazgeçilmezi haline gelmiştir. Zararlı yazılımlar hassas veri çalma, sistemlere bağlantı için arka kapı oluşturma, servis dışı bırakma saldırılarında kullanılan (ddos) botnetler oluşturma gibi farklı amaçların birine ya da hepsine birden hizmet edebilmekte ve saldırganlar için gerekli ortamı sağlamaktadır. Iran nükleer tesislerine düzenlenen ve daha önce tespit edilmemiş (0-day) 3 tane açıklığı barındıran stuxnet zararlı yazılımı siber saldırı dünyasında zararlı yazılımların ne derece etkin kullanıldığını göstermesi açısından güzel bir örnektir.Bilindiği gibi zararlı yazılımların incelenebilmesi için öncelikle tespit edilmesi ve sınıflandırılması gerekmektedir. İnceleme yöntemleri iki başlık altında toplanır. Bunlar statik ve dinamik analiz yöntemleridir. Bu çalışmada bahsedilen iki yöntem birleştirilerek kademeli yapıda yeni bir zararlı yazılım tespit yöntemi geliştirilmiştir. Çalışmada dinamik analiz yöntemleri kullanılarak zararlı yazılımların tespit edilmesi sağlanmıştır. Zararlı yazılımların sınıflandırılması esnasında zararlı dosyanın statik özellikleri kullanılmıştır.Statik analiz yöntemi zararlı dosyanın çalıştırılmadan sadece statik özellikleri göz önünde bulundurularak gerçekleştirilir. Bu çalışmada zararlı dosyadan elde edilen byte dizileri ile yeni bir sınıflandırma algoritması kullanılmıştır.Dinamik analiz yöntemi zararlı yazılımın davranışını incelediği için zararlı dosyanın güvenli bir ortamda çalıştırılması gerekmektedir. Dinamik analiz aşamasında ağ bağlantıları, dosya sistemi işlemleri, sistem üzerindeki aktif işlemler, vb. objeler takip edilir. Dinamik analizi gerçekleştirebilmek amacıyla çalışma kapsamında DMA adında bir araç gerçekleştirilmiştir. Kullanıcı etkileşimine sahip ve kullanımı oldukça basit olan uygulama Windows işletim sistemi üzerinde sistem tray ikon olarak çalışabilmekte ve her hangi bir zararlı aktivite tespit etmesi durumunda kullanıcıyı uyarma yeteneğine sahiptir.Günümüzde zararlı yazılımların dinamik analiz yöntemi ile tespit edilmesinin önüne geçmek için sanal makina ve hata ayıklayıcı (debugger) tespit eden yöntemler kullanılmaktadır. Çalışmada zararlı yazılımların Vmware sanallaştırma ortamında çalıştırılıp incelenmesi gerçekleştirilmiştir. Zararlı yazılımların sanal makina tespit yöntemini aşmak için Intel tarafından geliştirilen ve uygulamaları yönlendirebilme özelliğine sahip pin aracı kullanılmıştır. Bu araç yardımıyla sanal makina tespitinde kullanılan işlem, dosya, registry anahtarı sorgulama gibi yöntemler alt edilmekte ve zararlı yazılımın gerçek makinada çalıştığını zannetmesini sağlanmaktadır.Davranış analizinde incelenen çalıştırılabilir dosyanın aşağıdaki özellikleri dikkate alınmıştır:Sistem üzerindeki ağ bağlantılarındaki değişikliklerSistem üzerindeki işlemlerdeki değişikliklerRegistry dosyasındaki değişikliklerServislerde gerçekleşen değişikliklerDinamik analiz ile tespit edilen zararlı yazılımlar daha sonra n-gram tabanlı zararlı yazılım sınıflandırma metodu kullanılarak zararlı yazılımın ailesi belirlenmektedir. Bu yöntemde her zararlı yazılım n-gram vektörü (dosyada en fazla bulunan byte dizileri) ile ifade edilmekte ve sınıflandırma işlemi bu vektör üzerinden gerçekleştirilmektedir.Geliştirilen zararlı yazılım tespit ve sınıflandırma modülleri testi için herkese açık Pahadus zararlı yazılım seti kullanılmıştır ve ümit verici sonuçlar elde edilmiştir. Belirtilen zararlı yazılım kümesi üzerinde %86 oranında tespit etme başarısı elde edilmiştir. Zararlı yazılım tespitinden sonra sınıflandırma yöntemi olarak n-gram tabanlı sınıflandırma metodu kullanılmıştır. Sınıflandırma yönteminin öğrenme sürecinde (trainning phase) BILGEM zararlı yazılım yakalama sistemlerinden (honeypot) elde edilen zararlı yazılımlar kullanılmıştır. Sınıflandırma aşamasında seçilen n=4 ve L=60 çifti için başarı oranı %92 olarak elde edilmiştir.