LOLBAS Makecab.exe IOC Tespiti

Makecab.exe, Microsoft'un sıkıştırma aracı olarak bilinen bir programdır ve genellikle dosyaları sıkıştırmak için kullanılır. Ancak, bu araç kötü niyetli saldırganlar tarafından kötüye kullanılabilir. LOLBAS (Living Off the Land Binaries and Scripts) terimi, kötü niyetli aktiviteleri gerçekleştirmek için sistemde zaten mevcut olan araçların kullanılması anlamına gelir. Bu durum, saldırganların izlerini gizlemesine ve güvenlik çözümlerinden kaçmasına olanak tanır.

Makecab.exe’nin kötüye kullanımı genellikle bir tür IOC (Indicator of Compromise) olarak değerlendirilir. IOC'ler, bir sistemin veya ağın tehdit altında olduğunu gösteren veriler veya göstergelerdir. Bu bağlamda, Makecab.exe'nin belirtileri arasında aşağıdaki unsurlar yer alabilir:

• Beklenmedik Çalışma Süresi: Makecab.exe'nin beklenmedik bir süre boyunca çalışması, bir olağan dışı durumun işareti olabilir. Özellikle, bu süreçlerin arka planda yürütülmesi dikkat edilmesi gereken bir durumdur.
  
• Sıkıştırılan Dosya Türleri: Makecab.exe, genellikle .cab uzantılı dosyalar oluşturur. Ancak, kötü niyetli bir saldırıda başka uzantılara sahip dosyaların sıkıştırılması, dikkat çekici bir durum olabilir. Örneğin, .exe veya .dll dosyalarının sıkıştırılması şüpheli bir faaliyet olarak değerlendirilebilir.
  
• İzinlerin Kontrolü: Makecab.exe'nin çalıştığı dizinlerde, beklenmedik izin değişiklikleri tespit edilmelidir. Özellikle, sistem dosyalarına erişim izni verilmesi, bir tehdit göstergesi olabilir.
  
• Log Kayıtları: Sistem günlükleri, Makecab.exe'nin çalışma zamanlarını ve oluşturduğu dosyaları içermelidir. Bu kayıtların analiz edilmesi, bir IOC tespiti için kritik öneme sahiptir.

Kötü niyetli kullanımların tespiti, sistem güvenliğini sağlamak adına büyük önem taşır. Makecab.exe gibi araçların izlenmesi, potansiyel saldırıları önlemek için etkili bir strateji olabilir. Bu nedenle, sistem yöneticilerinin ve güvenlik analistlerinin bu tür IOC'leri tanımlaması ve izlemeye alması gerekmektedir.