2025 apt Antivirus test
APT Simülasyon Test Raporu - 2025
Hazırlayan: Enes
Amaç: Farklı antivirüs yazılımlarına karşı hedef sistemde gerçekleştirilmiş APT (Advanced Persistent Threat) saldırı senaryolarının tespit edilebilirliğini değerlendirmek.
Test Ortamı
- İşletim Sistemi: Windows 10 Pro (21H2), 64-bit
- Test Makinesi: VM ortamında, internet bağlantılı, 4 GB RAM, 2 CPU
- Antivirüsler: Varsayılan ayarlar ile yüklü (gerçek zamanlı koruma açık)
- Test Süreci: Tüm saldırılar manuel olarak tetiklenmiş, sonuçlar anlık izleme ile kaydedilmiştir.
1. Saldırı Senaryoları
| Senaryo | Açıklama | Teknik |
|---|---|---|
| 1 | DLL dosyası aracılığıyla kötü amaçlı yük sistemde çalıştırıldı. DLL, PowerShell tabanlı AES şifreli komut alma ve sonuç gönderme mekanizması ile komut ve kontrol (C2) kanalı kurdu. Saldırgan, bu yöntemle hedef sistem üzerinde sürekli ve gizli iletişim sağladı. | Reflective DLL Injection, AES |
| 2 | VBS script ile PowerShell ters bağlantı oluşturuldu. Bu yöntemle saldırgan, hedef makineden komut yürütme imkanı elde etti. PowerShell işlemi arka planda gizli olarak çalıştırıldı ve ağ üzerinden çift yönlü komut/cevap akışı sağlandı. | LOLBin, Reverse Shell |
| 3 | Uzak Masaüstü Protokolü (RDP) arka planda başlatılarak, saldırganın hedef makinenin tam kontrolünü sağlaması amaçlandı. Bu işlem görünmez modda yürütülerek iz bırakmadan erişim sağlandı. | Registry, RDP Abuse |
| 4 | WMI Event Subscription mekanizması kullanılarak periyodik olarak kötü amaçlı PowerShell komutları çalıştıran bir arka kapı oluşturuldu. Böylece hedef sistemde kalıcı erişim sağlanırken, trafik normal WMI trafiği gibi gizlendi. | WMI Event Subscription |
| 5 | Modüler PowerShell yükleriyle Defender’ın gerçek zamanlı koruması devre dışı bırakıldı, ekran görüntüsü alma, tuş kaydı toplama ve shellcode enjekte etme gibi ileri seviye kötü amaçlı faaliyetler başlatıldı. Tüm bu eylemler uzaktan PS Remoting veya ters shell ile kontrol edildi. | Modüler PS, AMSI bypass |
| 6 | Kullanıcı girdisi üzerinden gelen komut enjeksiyon açığı istismar edilerek PowerShell komutları doğrudan hedef sistemde yürütüldü. Bu yöntemle saldırgan, hedefin güvenlik sınırlarını aşarak zararlı kod çalıştırdı. | Command Injection |
| 7 | PowerShell Remoting (WinRM) servisi etkinleştirilerek, uzak sistemler arası komut çalıştırma için güvenilir bağlantılar kuruldu. TrustedHosts ayarları genişletilerek saldırganın ağdaki diğer makinelerle kolayca iletişim kurması sağlandı. | WinRM Abuse |
2. AV Tespit Tablosu
| Senaryo | Windows Defender | Avast | AVG | Malwarebytes | Bitdefender |
|---|---|---|---|---|---|
| 1 | ❌ | ❌ | ❌ | ✅ | ✅ |
| 2 | ❌ | ✅ | ✅ | ✅ | ✅ |
| 3 | ✅ | ❓ | ❓ | ❌ | ❌ |
| 4 | ❌ | ❌ | ❌ | ❌ | ✅ |
| 5 | ❌ | ❌ | ❌ | ❌ | ✅ |
| 6 | ❌ | ❌ | ❌ | ❌ | ❌ |
| 7 | ❓ | ❓ | ❓ | ❓ | ❓ |
3. Algılama Zamanı
Tüm antivirüs yazılımları, tespit ettikleri saldırıları infaz (execution) anında algılamıştır.
- Windows Defender: İnfaz esnasında
- Avast: İnfaz esnasında
- AVG: İnfaz esnasında
- Malwarebytes: İnfaz esnasında
- Bitdefender: İnfaz esnasında
4. Tespit Başarı Sıralaması
| Antivirüs | Tam Tespit (✅) | Kısmi (❓) | Puan |
|---|---|---|---|
| Bitdefender | 4 | 1 | 4.5 |
| Malwarebytes | 2 | 1 | 2.5 |
| Windows Defender | 1 | 1 | 1.5 |
| Avast | 1 | 2 | 2.0 |
| AVG | 1 | 2 | 2.0 |
Not: Tespitler yalnızca yürütme (infaz) anında gerçekleşti. Hiçbir AV pre-execution seviyesinde tespit yapamadı.
Yorumlar
Yorum Gönder