Thread Starter
#0
AgentTesla, siber güvenlik alanında popüler bir zararlı yazılım olarak bilinir. Bu yazılım, ana olarak kullanıcıların hassas bilgilerini çalmak amacıyla tasarlanmıştır. YARA, kötü amaçlı yazılımların tespiti ve sınıflandırılması için kullanılan bir araçtır. Bu yazıda, AgentTesla tespitine yönelik YARA kurallarının nasıl oluşturulacağı ve bu kuralların ne tür bilgiler içerebileceği üzerinde duracağız.
YARA kuralları, belirli bir yazılımın veya zararlı kod parçalarının tanımlanmasına yardımcı olan, içerik tabanlı bir tespit mekanizmasıdır. AgentTesla gibi zararlı yazılımların YARA kurallarını oluştururken, aşağıdaki unsurlara dikkat edilmelidir:
Örnek bir YARA kuralı şu şekilde görünebilir:
Bu kuralda, AgentTesla'nın belirli anahtar kelimelerini aramak için bir dizi string tanımlanmıştır. Koşul, bu stringlerden herhangi birinin mevcut olması durumunda kuralın tetiklenmesini sağlar.
YARA kuralları, zararlı yazılımların otomatik olarak tespit edilmesinde önemli bir rol oynamaktadır. AgentTesla'nın hızlı ve etkili bir şekilde tanımlanmasına yardımcı olan bu kurallar, siber güvenlik uzmanlarının işlerini kolaylaştırmaktadır.
YARA kuralları, belirli bir yazılımın veya zararlı kod parçalarının tanımlanmasına yardımcı olan, içerik tabanlı bir tespit mekanizmasıdır. AgentTesla gibi zararlı yazılımların YARA kurallarını oluştururken, aşağıdaki unsurlara dikkat edilmelidir:
- Metadata: YARA kurallarının başında genellikle yazının adı, yazar bilgisi ve açıklama bulunur. Bu bölüm, kuralın ne için kullanıldığını ve hangi zararlı yazılımı hedef aldığını belirtir.
- Strings: Kuralın içeriğinde, AgentTesla'nın tanımlanmasına yardımcı olacak belirli stringler yer alır. Bu stringler, zararlı yazılımın içindeki benzersiz karakter dizilerini içerir. Örneğin, belirli bir URL veya dosya adı stringi kullanılabilir.
- Condition: Kuralın geçerliliğini belirleyen bölüm. Örneğin, bir dosyada belirli stringlerin varlığına bağlı olarak kuralın tetiklenip tetiklenmeyeceği burada tanımlanır. “any of them” veya “all of them” gibi koşullar kullanılabilir.
Örnek bir YARA kuralı şu şekilde görünebilir:
CODE
123456789101112131415
rule AgentTesla
{
meta:
author = "Güvenlik Uzmanı"
description = "AgentTesla zararlı yazılımı tespiti"
strings:
$a = "AgentTesla"
$b = "keylogger"
$c = "C2 server"
condition:
any of ($a, $b, $c)
}
Bu kuralda, AgentTesla'nın belirli anahtar kelimelerini aramak için bir dizi string tanımlanmıştır. Koşul, bu stringlerden herhangi birinin mevcut olması durumunda kuralın tetiklenmesini sağlar.
YARA kuralları, zararlı yazılımların otomatik olarak tespit edilmesinde önemli bir rol oynamaktadır. AgentTesla'nın hızlı ve etkili bir şekilde tanımlanmasına yardımcı olan bu kurallar, siber güvenlik uzmanlarının işlerini kolaylaştırmaktadır.