Fidye yazılımları analizleri ve korunma yöntemleri
Ransomware analysis and protection methods
Yazar: BURAK ÖZÇAKMAK
Danışman: PROF. DR. ŞEREF SAĞIROĞLU
Gazi Üniversitesi / Fen Bilimleri Enstitüsü / Bilgi Güvenliği Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2018
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Bu tez çalışmasında; siber saldırılardaki payı giderek artan fidye yazılımları, fidye yazılım metodolojileri, tehdit boyutu, verdiği zararlar, kullanılan teknik ve teknolojiler gözden geçirilmiş, WannaCry zararlı yazılımı ile birlikte 0. Gün açıklıkları kullanarak çok daha geniş bir kitleyi etkileyebilen forma dönüşen ve hemen akabinde dünya çapında etkisi olan diğer bir fidye saldırısı olan Petya detaylı araştırılmış ve incelenmiştir. Bu iki fidye saldırısına ait kod parçacıkları, verdikleri zararlar, exploit geliştirme döngüsü, saldırganların kullandığı sistematik ve kullanılan metodolojiler gözden geçirilmiştir. Fidye saldırılarının anlaşılması ve belirli bir sistem içerisinde test edilmesi için kontrollü test ortamı oluşturulmuş, bu ortamda sistemleri etkileyebilen bir zararlı yazılım geliştirilmiş, zararlı yazılımın geliştirilme ve incelenme aşaması detaylı açıklanmıştır. WannaCry ve Petya zararlı yazılımları üzerinde statik ve dinamik analizler yapılarak, bu yazılımlara ait yaklaşımlar incelenmiştir. Zararlı analiz basamaklarının belirlenmesi için WannaCry ve Petya zararlı yazılımları; tersine mühendislik yöntemi kullanılarak incelenmiş, Derin Web (Deep Web) araştırmaları yapılarak TOR üzerindeki gerçek fidye yazılım servisleri tespit edilmiş ve saldırı mekanizması tespit edilerek belirtilen fidye saldırılarının hangi exploit kodları kullandığı belirlenmiştir. Bu saldırıların analizleri kurulan bir ağ yapısı içerisinde yapılmıştır. Sonuç olarak; bu tez çalışmasında WannaCry ve Petya zararlı yazılımlarına yönelik tersine mühendislik ve teknik analiz çalışmaları yapılmış, fidye saldırılarının ayırtedici özellikleri ele alınmış ve etki bırakmış fidye saldırılarının sınıflandırması gerçekleştirilmiş, exploit geliştirme ve irdeleme adımları incelenmiş,  gerçekleştirilen teknik analizlerden elde edilen çıkarımlar temel alınarak bu tür saldırılardan korunmak için kişisel, kurumsal ve ulusal ölçekte önerilerde bulunulmuştur. Ayrıca kurumsal önlemler başlığı altında saldırılardan korunmak için bir ağ topolojisi üzerinden çözüm önerileri sunulmuş, ülkemizde benzer saldırıların olması durumunda hangi önlemlerin alınması gerektiği hususunda da görüşlere yer verilmiştir.

Abstract:
In this thesis study, ransomware which is steadily increasing part of cyber attack and also threat dimension, attack damage, useful technology and technical capacity was examined. The WannaCry, a ransom attack that turns into a form that can affect a much wider mass, and which immediately follows worldwide, is explored and studied with other important ransomware attack Petya.The code fragments belonging to these two ransom attacks, the damage they inflicted, the cycle of exploit development, systematic and methodologies used by attackers are examined. A controlled testing environment has been developed to understand the ransomware and to test them in a specific system. Moreover, a harmful software which can affect the systems has been developed and the development process of malicious software has been explained in detail. Also, WannaCry and Petya are analyzed statically and dynamically and analysis techniques for malicious software and the approaches of these software are examined. However, WannaCry and Petya malicious software analyzed with reverse engineering method to determine malicious analysis steps. The Deep Web researches have been carried out to determine the actual ransomware services on TOR and to detect the attack mechanism of the exploit codes of the identified ransom attacks. Analyzes of these attacks have been carried out in a network test structure established. As a result, in this thesis study, in order to prevent from these types of attacks the reverse engineering and technical analysis studies for WannaCry and Petya malicious software are achieved, the distinguishing features of the ransomware are studied the steps of exploiting and investigating the exploited ransomware are examined, exploit development and scrutinizing steps are investigated in national scale. The suggestions are also proposed under heading of institutional measures. A network topology solution has been proposed. In this way, opinions are presented about what measures should be taken in case of similar attacks in our country.