Volatility ile Memory Forensics CTF Çözümü

Son yıllarda siber güvenlik alanında popülerleşen Capture The Flag (CTF) yarışmaları, katılımcıların farklı becerilerini test etmelerine olanak tanımaktadır. Bu yarışmalardan biri olan Memory Forensics CTF, bellek analizi ve forensik tekniklerin önemini öne çıkarmaktadır. Bu yazıda, Volatility adlı popüler bir bellek analizi aracı kullanarak bir CTF görevini nasıl çözebileceğimizi inceleyeceğiz.

İlk olarak, Volatility'nin temel özelliklerine değinelim. Volatility, bellek görüntülerini analiz etmek için kullanılan açık kaynaklı bir araçtır. Windows, Linux ve MacOS gibi farklı işletim sistemlerine yönelik çeşitli eklentiler sunmaktadır. Bu sayede, bellek alanındaki süreçleri, ağ bağlantılarını ve dosya sistemini inceleme imkanı sağlar.

CTF görevine başlayabilmek için, öncelikle bellek görüntüsünü (dump) elde etmemiz gerekmektedir. Bu görüntü genellikle bir .raw veya .dmp dosyası olarak sağlanır. Volatility'yi kullanarak bu dosyayı analiz etmeye başlayabiliriz. İlk adım olarak, bellek görüntüsünün hangi işletim sistemine ait olduğunu belirlemek önemlidir. Bunun için aşağıdaki komutu kullanabiliriz:



Bu komut, bellek görüntüsüne dair temel bilgiler sunar. Belirlenen işletim sistemi ve profil bilgisi, sonraki adımlar için kritik öneme sahiptir.

İkinci aşamada, bellek içerisinde çalışan süreçleri incelemek için pslist eklentisini kullanabiliriz:



Bu komut, bellek görüntüsünde aktif olarak çalışan tüm süreçlerin listesini verir. Burada dikkat edilmesi gereken en önemli noktalar, şüpheli süreçlerin ve anormal davranışların tespitidir. Özellikle, bilinen zararlı yazılımların süreç isimleri veya ana modülleri ile karşılaştırmak faydalı olacaktır.

Son olarak, ağ bağlantılarını inceleyerek olası verilerin dışarıya sızdırıldığını tespit edebiliriz. Bunu yapmak için netscan eklentisini kullanabiliriz:



Bu komut, bellek görüntüsündeki tüm ağ bağlantılarını ve dinleme portlarını listeler. Buradan elde edilen bilgilerle, saldırganların hangi IP adresleri ile iletişim kurduğunu ve hangi bağlantıların aktif olduğunu görebiliriz.

Sonuç olarak, Volatility ile bellek forensik analizi yapmak, CTF gibi yarışmalarda kritik bir beceri olarak öne çıkmaktadır. Doğru araçlar ve tekniklerle, bellek görüntülerinden değerli bilgiler elde edilebilir. Bu tür görevler, siber güvenlik alanında bilgi ve deneyim kazanmak için önemli fırsatlar sunmaktadır.