Editörler Prof. Dr. Şeref Sağıroğlu Prof. Dr. Mustafa Alkan Sağıroğlu / Alkan grafik

1) Temel (basit) statik analiz: Temel statik analiz kötü amaçlı ya-
zılımın özellikleri ve işlevi hakkında genel bir değerlendirmede bu-
lunmak amacıyla yapılır. Bu analiz türünde kötü amaçlı yazılıma 
dışardan bakılarak genel bir değerlendirme yapılır ve analiz detay-
landırılmaz. Bu analiz sırasında anti virüs yazılımlar (Norton, McA-
fee, Karspersky, ClamAV, vb.) ve statik analiz araçları (PEiD, PEvi-
ew, BinText, Md5deep, vb.) kullanılarak hash değerleri ve kulla-
nılan string dizilimler (hata mesajları, export/import metot isimleri, 
URL’ler ve email adresleri vb.), metotlar ve dosya başlıklarından 
elde edilen bilgiler kullanılır. Çevrim içi hizmet veren “VirusTotal” 
websitesi birçok antivirüs yazılımı barındırmaktadır ve temel statik 
analizin ilk aşaması olarak kullanılabilmektedir. Antivirüs yazılım-
lar, bazı string dizilimleri ve “MD5”, “SHA-256”, vb. hashleri kötü 
amaçlı yazılım imzası olarak görmekte ve bu yazılımları etiketlemek 
ve tanımlamak için yaygın olarak kullanmaktadır [Aslan ve Samet, 
2017]. Statik analizin ikinci aşamasında temel statik analiz araçları 
kullanılarak başka bilgiler de (Analiz edilen programın kullandığı 
URL’ler, email adresleri, metotlar, paketlenip paketlenmediği bilgi-
si, vb.) elde edilmektedir. Şekil 8.6, temel statik analiz kullanılarak 
“Dyre” kötü amaçlı yazılım analiz sonucunu göstermektedir. 
Şekil 8.6. Temel statik analiz kullanılarak “Dyre” kötü amaçlı yazılım analizi 
(Analiz sonuçları kısaltılarak verilmiştir)

---

K Ö T Ü A M A Ç L I YA Z I L I M L A R V E A N A L İ Z İ
239
İlgili analiz “VirusTotal”, “PEview”, “PEiD” ve “Bintext” araçları 
kullanılarak yapılmıştır. Analiz sonucuna bakılarak antivirüs tara-
yıcılarının tespit oranı 55/68 (%80.88), kötü amaçlı yazılım imzaları 
(MD5, SHA-1), yazılımın ne zaman derlendiği, program bölüm-
lerinin diskte ve hafızada ne kadar yer kapladıkları, hangi işletim 
sistemi API’lerin çağrıldığı ve kötü amaçlı yazılımın paketlenip pa-
ketlenmediği gibi sorulara cevap verilebilmektedir. Çoğu antivirüs 
tarayıcısı “Dyre” kötü amaçlı yazılımını Truva atı olarak işaretle-
miştir.