Statik Zararlı Yazılım Analiz Araçları

Zararlı yazılım geliştircileri, sistemlerin istismar edilmesi  ve atlatılabilmesi için geliştirdikleri zararlıları, hiyerarşik bir yapıda geliştirmektedirler. Zararlı yazılımların davranışsal analizinin yapılması, kurduğu network bağlantılarının belirlenmesi, tersine mühendislik yöntemleri kullanılarak incelenmesi önemlidir. Bu noktada statik zararlı yazılım analizleri için geliştirilmiş olan araçlar bizlere hedef sistem hakkında analiz için gereken bilgiyi sunmaktadırlar.


Windows 95, 98, Me, Nt, 2000, Xp, 2003, Vista, 7 ve 8 sürümlerinde çalışan Dependency Walker adlı uygulama, zararlı yazılımların statik analizleri için önemli bir araçtır. Windows 32 bit ve 64 bit sistemlerde çalışan bu uygulama,  modülleri tarayarak (exe, dll, ocx, sys, etc.) tüm bağımlı modüller  hakkında hiyerarşik bir ağaç şeması oluşturur. Ayrıca ücretsiz bir uygulamadır. Dosyanın tam yolu dahil her dosya hakkında detaylı bilgilerle birlikte, gerekli dosyaları asgari kümesi görüntüler. Taban adresi, sürüm numaraları, makine tipi, hata ayıklama bilgileri ve daha fazlasını göstermektedir.


Eksik modüller, geçersiz modülleri, import / export uyumsuzlukları, dairesel bağımlılık hataları, modül eşleşmeyen makine tipleri, modül ve başlatma hataları gibi pek çok yaygın uygulama sorunları algılar. Yüklenmesiyle ilgili sistem hataları giderme ve modülleri yürütülmesi için çok yararlıdır. Windows CE için tasarlanmış olanlar da dahil olmak üzere, Windows modülü. Bu grafik uygulama olarak veya bir konsol uygulaması olarak çalıştırılabilir. Dependency Walker örtülü, açık (dinamik / çalışma dahil) modülü bağımlılıkları, her türlü, iletilen, gecikme yüklü ve enjekte işler. Ayrıntılı bir yardım dahildir. Uygulamanın ücretsiz sürümüne buradan ulaşabilirsiniz.




PEview 32-bit Portable Executable (PE) ve Bileşen Nesne Dosyası Biçimi (COFF) dosyaları yapısı ve içeriği görüntülemek için hızlı ve kolay bir yol sağlar. Bu PE / COFF dosya görüntüleyici görüntüler başlık, bölüm, dizin, import tablosu, table ve EXE içinde kaynak bilgileri, DLL, OBJ, TK, DBG, ve diğer dosya türlerini görüntülüyebilirsiniz. Uygulanın ücretsiz sürümüne buradan ulaşabilirsiniz.





PEiD PE dosyalar için en yaygın Packers, Crypters ve derleyicileri algılar. Şu anda PE dosyalarını  470 farklı imza ile algılayabilir. Peid sezgisel arayüzüne ek olarak, onun fonksiyonları da komut satırı üzerinden erişilebilir ve ayrıntılı belgeler kullanıcıların uygun komutlar ve parametreler ile yardımcı olabilir. PEiD de kullanıcıların aynı anda çalışan süreçleri keşfetmek ve tek bir fare tıklaması ile bunları sona erdirmek için izin verir.  Ayrıca bir HEX görüntüleyici ve bir görev yöneticisine sahip iken bunu özetlemek için, PEiD PE dosyaları tarama ve paketleme ve derleyicilerini belirleyebilen birçok özellik dolu bir uygulamadır. PEiD üç farklı tarama yöntemlemi , farklı bir amaç için  uygun gelmektedir. Normal bir bütün dahil imzaların için giriş noktasında kullanıcı tarafından belirtilen PE dosyalarını tarar. Uygulamanın ücretsiz sürümüne buradan ulaşabilirsiniz.

TCPView sizlere yerel ve uzak adresler ve TCP bağlantı durumu da dahil olmak üzere sisteminizdeki tüm TCP ve UDP uç noktaları ayrıntılı listeleri, gösterecek bir Windows programıdır.  Zararlı yazılım analizleri yaparken zararlının yaptığı, network davranışları hakkında bilgi toplayabilirsiniz. Uygulamanız ücretsiz sürümüne buradan ulaşabilirsiniz.

Kaynak :

►dependencywalker
► technetmicrosoft
► aldeid