Mövzunu Açan
#0
Gelişen siber tehditler karşısında, güvenlik sistemlerini aşmak amacıyla kullanılan tekniklerden biri de Windows işletim sisteminde bulunan Anti-Malware Scan Interface (AMSI) bypass yöntemleridir. Bu sistem, kötü amaçlı yazılımların tespit edilmesini engellemek için kullanılır ve siber saldırganlar tarafından sıklıkla hedef alınır. Bu yazıda, AMSI bypass tekniklerinin nasıl çalıştığına ve tespit edilebilecek göstergelere (IOC'ler) odaklanacağız.
Öncelikle, AMSI'nin işleyiş mantığını anlamak önemlidir. AMSI, PowerShell, Windows Script Host ve diğer uygulamalar tarafından kullanılan bir API'dir. Bu API, şüpheli işlemleri analiz ederek kötü amaçlı yazılımların çalışmasını engellemeye çalışır. Ancak, siber saldırganlar, AMSI'yi atlatmak için çeşitli yöntemler geliştirmiştir.
Bu yöntemler arasında, özellikle dikkat çeken birkaç teknik vardır:
IOC'ler, AMSI bypass tekniklerini tespit etmek için kritik öneme sahiptir. Bu göstergeler arasında şunlar yer alır:
AMSI bypass yöntemleri, siber güvenlik açısından sürekli bir tehdit oluşturmaktadır. Bu nedenle, güvenlik uzmanlarının bu teknikleri ve göstergeleri anlaması, sistemlerin korunması açısından hayati önem taşır.
Öncelikle, AMSI'nin işleyiş mantığını anlamak önemlidir. AMSI, PowerShell, Windows Script Host ve diğer uygulamalar tarafından kullanılan bir API'dir. Bu API, şüpheli işlemleri analiz ederek kötü amaçlı yazılımların çalışmasını engellemeye çalışır. Ancak, siber saldırganlar, AMSI'yi atlatmak için çeşitli yöntemler geliştirmiştir.
Bu yöntemler arasında, özellikle dikkat çeken birkaç teknik vardır:
- AMSI.dll Değiştirme: Saldırganlar, AMSI.dll dosyasını değiştirerek veya yok ederek, sistemin kötü amaçlı yazılımları tespit etmesini engelleyebilir.
- Kod Enjeksiyonu: Bazı durumlarda, saldırganlar, kötü amaçlı kodu mevcut bir süreç içine enjekte ederek AMSI kontrollerini atlatabilir. Bu, genellikle daha önceki bir adımda yapılan bir yükleme ile gerçekleştirilir.
- Script ve PowerShell Obfuscation: Saldırganlar, zararlı kodlarını karmaşıklaştırarak, AMSI'nin bu kodları analiz etmesini zorlaştırabilir.
IOC'ler, AMSI bypass tekniklerini tespit etmek için kritik öneme sahiptir. Bu göstergeler arasında şunlar yer alır:
- Şüpheli Dosya Değişiklikleri: AMSI.dll veya ilgili dosyaların değiştirilmesi veya silinmesi.
- Anormal PowerShell Çalıştırmaları: PowerShell oturumlarının alışılmadık argümanlarla başlatılması.
- Kod Obfuscation Teknikleri: Şüpheli scriptlerde, sık kullanılan obfuscation tekniklerinin varlığı.
AMSI bypass yöntemleri, siber güvenlik açısından sürekli bir tehdit oluşturmaktadır. Bu nedenle, güvenlik uzmanlarının bu teknikleri ve göstergeleri anlaması, sistemlerin korunması açısından hayati önem taşır.