Şüpheli Android uygulaması ön incelemesi
Savunma ekibinin gözünden şüpheli bir APK'yı çalıştırmadan değerlendirirsin: izinleri, bileşenleri, bilinen aileleri ele veren işaretleri, ağ göstergelerini çıkarır, karar ve müdahale notu yazarsın.
Seviye 301 · 22 ders · 18 pratik lab
Dersler
İlk bakış
- Ön incelemenin amacı ve güvenli çalışma kuralları
- Özet değerleri, imzacı ve itibar denetimi
- Uyarı işaretleri: erişilebilirlik, SMS, cihaz yöneticisi, kaplama
- apkid ile paketleyici ve derleyici izlerini tanımak
- Kısa görev: beş APK'yı on dakikada temiz, şüpheli, zararlı diye ayır
Davranışı koddan okumak
- androguard ile çağrı grafiği ve API kullanımı
- Bankacılık truva atlarının tanıdık desenleri: kaplama ve SMS okuma
- Casus ve takip yazılımı desenleri
- Yükleyici izleri: ikinci aşama ve dinamik kod yükleme
- Yapılandırma ve komuta sunucusu adreslerini statik çıkarmak
- Kısa görev: bir örneğin ne yaptığını koddan beş maddeyle özetle
Göstergeler ve tespit
- Gösterge çıkarmak: alan adı, IP, paket adı, sertifika özeti
- APK için YARA kuralı yazmak
- Hazır kum havuzu raporunu ve trafik yakalamasını okumak
- Davranışı ATT&CK Mobile tekniklerine eşlemek
- Kısa görev: bir örnek ailesini yakalayan ve temiz uygulamaya takılmayan YARA kuralı yaz
Karar ve müdahale
- Göstergelerle filoda arama: hangi cihazda kurulu
- Sınırlama adımları: kaldırma, hesap sıfırlama, cihaz karantinası
- Ön inceleme raporu yazmak
- Olaydan sonra çalışana ne söylenir: açık ve suçlamayan dil
- Kısa görev: gösterge listesiyle MDM dökümünde etkilenen cihazları bul
Bitirme
- Bitirme görevi: çalışanlara SMS ile gelen sahte kargo uygulamasını incele ve müdahale notu yaz
Pratik lablar
- Bir APK'nın özetini ve imzacısını çıkar: Örneğin SHA-256 özetini ve imza sertifikası bilgisini kaydet.
- İzin birleşiminden uyarı işaretlerini çıkar: Bir örneğin izin ve bileşenlerinden erişilebilirlik, SMS ve kaplama birleşimini göster ve ne anlama geldiğini yaz.
- Beş APK'yı temiz, şüpheli, zararlı diye ayır: Her örnek için özet, imzacı, izin ve paketleyici izlerine dayanarak gerekçeli hüküm yaz.
- Örneğin hangi hassas API'leri çağırdığını listele: androguard ile SMS, kişiler ve konum API'lerinin kullanımını çıkar.
- Kaplama davranışını koddan göster: Etkisiz eğitim örneğinde hedef uygulama listesini ve kaplama penceresi açan sınıfı bul.
- Örneğin davranışını beş maddede özetle: Kalıcılık, veri toplama, iletişim ve gizlenme davranışlarını kod kanıtlarıyla özetle.
- Örnekteki alan adlarını ve IP'leri çıkar: Kod ve kaynaklardan ağ göstergelerini listele.
- Yapılandırma dosyasından sunucu adresini çöz: assets içindeki kodlanmış yapılandırmayı çöz ve komuta adresini gösterge listesine ekle.
- Kum havuzu raporu ile statik bulguları birleştir: Hazır rapor ve trafik yakalamasındaki göstergeleri statik olanlarla birleştirip tekrarsız bir liste üret.
- Hazır bir YARA kuralını örnek kümesinde çalıştır: Kuralın hangi dosyalarla eşleştiğini listele.
- Bir örnek ailesi için YARA kuralı yaz: Üç etkisiz örnekte ortak dizgileri bul ve hepsini yakalayan kuralı yaz.
- Kuralı temiz uygulamalara karşı sına ve daralt: Kuralı yirmi temiz APK üzerinde çalıştır, yanlış eşleşmeyi gider ve son hâlini belgeleyerek teslim et.
- Davranışları ATT&CK Mobile tekniklerine eşle: Verilen beş davranışı teknik kimlikleriyle eşleştir.
- Bir sayfalık ön inceleme raporu yaz: Hüküm, kanıt, göstergeler ve önerilen adımları içeren raporu hazırla.
- Sahte kargo uygulaması için müdahale notu yaz: Kuzeyyıldızı Kargo çalışanlarına SMS ile gelen etkisiz örneği incele; hüküm, göstergeler, sınırlama ve çalışan bilgilendirme metnini teslim et.
- Paket adıyla filoda arama yap: MDM dökümünde verilen paket adının kurulu olduğu cihazları bul.
- Sertifika özetiyle yeniden adlandırılmış kopyaları bul: Farklı paket adıyla ama aynı imzacıyla kurulu uygulamaları dökümden çıkar.
- Etkilenen cihazlar için sınırlama planı yaz: Göstergelerle eşleşen cihazları listele, öncelik sırasına koy ve kaldırma, hesap sıfırlama ve karantina adımlarını planla.
Kurs hakkında
Savunma ekibinin gözünden şüpheli bir APK'yı çalıştırmadan değerlendirirsin: izinleri, bileşenleri, bilinen aileleri ele veren işaretleri, ağ göstergelerini çıkarır, karar ve müdahale notu yazarsın.
Ne öğreneceksin
- İlk bakış
- Davranışı koddan okumak
- Göstergeler ve tespit
- Karar ve müdahale
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.