Tuzak sistemler üzerinde toplanan zararlı dosyaların analizi
Analysis of malicious files gathered on honeypot system
Yazar: MELİKE BAŞER
Danışman: DOÇ. DR. MUHAMMED ALİ AYDIN
İstanbul Üniversitesi-Cerrahpaşa / Lisansüstü Eğitim Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Bilgisayar Mühendisliği Bilim Dalı
Derece: Yüksek Lisans, 2022
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Anti-virüs yazılımı = Anti-virus software ; Entropi = Entropy ; Tuzak = Trap ; Zararlı yazılım analizi = Malware analysis

Özet:
. Ayrıca, imza tabanlı tespit yöntemini kullanan antivirüs güvenlik sistemlerinin kendi içinde karşılaştırması da yapılmıştır. Çalışmada değerlendirme içerisine katılan 64 antivirüsten yalnızca 3 tanesi %80 üstü başarı göstermiştir. Başarı sıralamasında ilk 10 antivirüs uygulamasının başarı oranı %70'lere düşerken ilk 20 antivirüs değerlendirildiğinde başarı oranının %54' e düştüğü görülmüştür. Bu sonuçlara göre imza tabanlı tespit yöntemine dayalı güvenlik yazılımlarının güncel saldırılara karşı tek başına yetersiz kaldığı görülmektedir. İmza tabanlı tespit tekniğinin farklı tespit teknikleriyle birlikte tercih edilmesinin güvenlik için önemi ortaya koyulmuştur. Çalışma kapsamında imza tabanlı yöntemler tarafından tespit edilemeyen şüpheli dosyalara entropi analizi, kaynak kod incelemesi gibi statik analiz yöntemleri uygulanmıştır. Tez çalışması kapsamında toplanan saldırı kayıtları ve 50 şüpheli dosya diğer araştırmacıların araştırmalarında ve çalışmalarında kullanması için Github üzerinde paylaşılmıştır.

Abstract:
Cyber threats are rising as digital technologies permeate all aspects of society. Malicious software is primarily created to steal data, abuse system resources (such as power, RAM, or memory), transform a device into a remote-controlled robot, or demand ransom by encrypting system data. End users use antivirus software to protect their devices. Finding malicious software that has infected end-user devices with antiviruses and gathering it for expert assessment is an inefficient, time-consuming, and dangerous operation. Systems with honeypot traps help security researchers gather malware and learn more about the tactics used by attackers. In the study, attackers uploaded suspicious files obtained through the trap system set up on Google Cloud and were examined with antivirus software using static analysis methods and signature-based detection. The built Python script automatically requested 64 different antivirus software on the Virus Total API to perform assaults on the honeypot deployed as part of the thesis. The study assessed the reactions of antivirus software on Virus Total for suspicious files. Cyber Security researchers learned current threat patterns from incoming attacks. Additionally, internal comparisons of antivirus protection programs that employ signature-based detection were made. Only 3 of the 64 antivirus programs evaluated in the research had 15 efficiencies of greater than 80%. When the first 20 antiviruses were considered, the success ratio decreased to 54%, and the success rate for the first ten antivirus software declined to 70% in the success order. These findings show that security software relying only on signature-based detection methods is ineffective against current attacks. It has been demonstrated how crucial it is to choose a signature-based detection method and other detection methods for security. In the context of the investigation, suspicious files that were not identified by signature-based techniques were subjected to static analysis techniques, including entropy analysis and source code analysis. The attack records and 50 suspicious files collected within the scope of the thesis were shared on Github for other researchers to use in their research and studies.