Statik Analiz

static-analysis difficulty: orta

Statik analiz, örneği çalıştırmadan format, sembol, string ve kontrol akışını çıkarır. Packed örnekte önce packer tespiti; aksi halde Ghidra/IDA’da fonksiyon haritası ve şüpheli API kullanımı.

Ön koşullar

- Örnek hash’lendi ve izole kopyada
- file, strings, rabin2/objdump, DIE veya pe-sieve/yara
- Ghidra veya IDA (veya Binary Ninja); .NET için dnSpy/ILSpy

İş akışı

1. Triage — file, boyut, imza, bölüm isimleri.

2. Packer — DIE / entropy; yüksek entropy → unpack gerekebilir.

3. Strings & imports — URL, path, crypto, process injection API.

4. Decompiler — giriş noktası, WinMain/main, şüpheli dallar.

5. Notlar — adres + bulgu; dinamik doğrulama listesi çıkar.

Hızlı triage

file ./sample.bin

sha256sum ./sample.bin

strings -a -n 8 ./sample.bin | head -n 200

strings -a -e l ./sample.bin | head -n 100

rabin2 -I ./sample.bin

rabin2 -i ./sample.bin

objdump -x ./sample.bin | head

Packing tespiti

İşaretler:
- Bölüm adları UPX0/UPK/… veya anlamsız isimler

- Çok az import (LoadLibrary/GetProcAddress döngüsü)
- Yüksek entropy (.text veya overlay)
- Entry point packer stub’ında

# Detect It Easy CLI varsa
diec ./sample.bin

# radare2 entropy ipucu
rabin2 -z ./sample.bin | head

UPX ise çoğu zaman:

upx -d -o sample_unpacked.bin ./sample.bin

Custom packer’da Unpacking iş akışına geç.

Imports — ne aranır

API ailesi	İpucu
VirtualAlloc / VirtualProtect	Shellcode / decrypt stub
CreateRemoteThread / NtMapViewOfSection	Injection
WinHttp / InternetOpen	C2 / download
CryptDecrypt / BCrypt	Runtime decrypt
IsDebuggerPresent / NtQueryInformationProcess	Anti-debug
ptrace / prctl (ELF)	Anti-debug / sandbox

rabin2 -i ./sample.bin | rg -i "VirtualAlloc|WinHttp|ptrace|LoadLibrary"

Ghidra / IDA — genel bakış

Ghidra:
1. New project → Import → Analyze (default analyzers)
2. Symbol Tree → Imports / Exports
3. Listing + Decompile; XREF ile string’den koda git
4. Bookmarks ile C2 / crypto fonksiyonlarını işaretle

IDA:
1. Auto-analysis bitince Imports penceresi

2. Shift+F12 strings; XREF (x)

3. F5 decompiler (Hex-Rays varsa)

4. Graph view ile dallanma

⚡

strings · filtreli arama

embedded tool

DosyaPattern

Generated commandcopy

strings -a -n 6 ./sample.bin | rg -i 'http'

http, .onion, api., password, token gibi kalıplarla tekrarla.

strings · filtreli arama

strings -a -n 6 ./sample.bin | rg -i 'http'

strings -a -n 6 ./sample.bin | rg -i 'password|token|apikey|Bearer'

Zincir

file + DIE → UPX değil, az import
  → strings’te URL yok (şifreli)
  → dinamik: breakpoint VirtualAlloc → dump
  → tekrar Ghidra