qPAnalyzer, adı değiştirilmiş ve özel tersine mühendislik araçlarını nasıl tespit ediyor?

Masaüstü yazılımı korurken bilinen araçları engellemek işin kolay kısmıdır. Bu araçların process adları ve pencere başlıkları herkesçe bilinir; neredeyse her kara liste onları zaten içerir. Zor olan geri kalan her şeydir: yeni bir adla çalışan bilinen bir araç, birinin tek bir ürün için yazdığı özel bir program, geçen hafta yayınlanmış bir araç. Yalnızca isimlere bakan tersine mühendislik aracı tespiti bunların hiçbirini yakalayamaz.

Bu yazıda isim eşleştirmenin neden bir noktada yetersiz kaldığını, qPAnalyzer'ın adı değiştirilmiş ve özel araçları adlarına değil ne olduklarına bakarak nasıl tespit ettiğini, yanlış pozitifleri ödeme yapan müşterilerden nasıl uzak tuttuğunu ve bulgularını orantılı aksiyonlara nasıl dönüştürebileceğinizi anlatıyoruz.

İsme dayalı tespit, adı değiştirilmiş araçları neden kaçırır?

Statik bir kara liste, çalışan şeyleri bir listeyle karşılaştırır: process adları, pencere başlıkları, pencere sınıf adları. Bu yöntem herkese açık ve değiştirilmemiş araçlarda iyi çalışır. Ancak yapısından kaynaklanan üç kör noktası vardır.

• –Adı değiştirilmiş araçlar. İsimlere göre çalışan bir liste yalnızca isimleri bilir. Adı değiştirdiğinizde eşleşme ortadan kalkar.
• –Özel araçlar. Tek bir hedef için yazılmış programlar hiçbir herkese açık listede yer almaz.
• –Yeni araçlar. Yeni sürümler ve fork'lar, herhangi bir listenin güncellenebileceğinden daha hızlı ortaya çıkar.

Tersi yöndeki hata da en az bu kadar ciddidir. Tanımadığınız her process'i düşmanca kabul ederseniz, uygulamanız yanında sıradan bir yazılım çalıştıran müşterilerinizde kapanır. İyi bir tespit sistemi analiz araçlarına karşı katı, geri kalan her şeye karşı esnek olmalıdır; bunun için de daha uzun bir liste değil, sağlıklı bir muhakeme gerekir.

Listeyi uzatmak da sorunu çözmez. Her girdinin bulunması, doğrulanması ve güncel tutulması gerekir; varyantları yakalamaya çalışan geniş kalıplar ise meşru yazılımları da yakalamaya başlar. Bir noktada soru “Bunun adı ne?” olmaktan çıkıp “Bu ne ve ne yapıyor?” olmalıdır.

qPAnalyzer nedir?

qPAnalyzer, PapelShip'in yapay zekâ destekli çalışma zamanı tehdit tespitidir. Son kullanıcının makinesinde, uygulamanızın yanında çalışır; tersine mühendislik araçlarını ve şüpheli etkinlikleri yazılımınıza ulaşmadan önce işaretler. qPapel Auth v5.5 ile mevcut koruma akışının içinde ayrı bir analiz katmanı olarak geldi ve diğer korumalar gibi Uzaktan ayarlar bölümünden açılır.

Videoyu izleyin

Model basit: İstemcide tespit et, sunucuda karar ver, her şeyi tek yerden incele. qPAnalyzer analizi tehdidin bulunduğu yerde yapar. Lisans ve yasaklama kararlarınız PapelShip'in sunucularında kalır. Bulgular, anahtarlarınızı ve satışlarınızı yönettiğiniz panelde görünür.

• –Bilgisayarlar sayfası: Her makineyi güvenlik tarama sonuçları, şüpheli etkinlikleri ve Son yasaklananlar paneliyle birlikte gösterir.
• –Threat Vault: Tüm bulguları ürün bazında filtrelenebilir şekilde listeler ve yanlış pozitifler için tek tıklık bir işlem sunar.
• –Şüpheli ekran görüntüleri: Etkinlik şüpheli göründüğünde alınan ekran görüntüleri ayrı bir sayfada toplanır.
• –Güvenlik içgörüleri ve uyarılar: Tespitler, gerçekleştikleri anda lisanslarınız ve satışlarınızla birlikte görünür.

qPAnalyzer daha önce hiç görmediği bir aracı nasıl işaretler?

qPAnalyzer bir isme güvenmek yerine, kozmetik olarak değiştirilmesi çok daha zor olan özelliklere bakar. Arayüz yerleşim kalıplarını, pencere handle'larını ve bellek imzalarını inceler; böylece bir araç, çalıştırılabilir dosyasının adı ne olursa olsun tanınabilir.

Ortam kontrolleri

qPAnalyzer, yazılımınız çalışırken son kullanıcının makinesinde anti-debug ve anti-tamper kontrolleri yürütür. Hypervisor sinyalleri, donanım breakpoint'leri, process debug bayrakları ve kernel debugger varlığı bunlara örnektir. Her kontrol ya geçer ya kalır; kalan kontroller puanı besler.

Pencere ekran görüntüsü analizi

Bir pencere şüpheli göründüğünde qPAnalyzer o pencerenin ekran görüntüsünü alır ve analiz motoru görsel arayüzü inceler. Analiz araçları, process adları ne olursa olsun genellikle analiz aracı gibi görünür: bellek görünümleri, disassembly panelleri ve register listeleri. Pencere ekran görüntüsü analizi qPAnalyzer taramalarına her zaman dahildir.

Kalibre edilmiş bir tehdit puanı

Motor %0 ile %100 arasında bir tehdit puanı atar ve kanıtları panelinize kaydeder. Puan, evet/hayır şeklindeki bir karardan daha kullanışlıdır; çünkü zayıf bir sinyale güçlü bir sinyalden farklı davranmanızı sağlar.

Puanı güvenilir kılan, sinyallerin bir araya getirilmesidir. Tek bir ipucunun masum bir açıklaması olabilir: Bir geliştiricinin kendi işi için bilgisayarında debugger kurulu olabilir ya da bir pencere kısa bir süre başka bir şeye benzeyebilir. Ancak aynı anda, uygulamanızın yanında, aynı yönü gösteren birden fazla bağımsız sinyali açıklamak çok daha zordur.

Yanlış pozitifleri düşük tutmak: beyaz listeler ve “Tehdit değil”

Müşterilerinizin sıradan yazılımlarını işaretleyen bir tespit sistemi, hiç olmamasından daha kötüdür; çünkü size onu görmezden gelmeyi, müşterilerinize de çekip gitmeyi öğretir. qPAnalyzer, sonuçları temiz tutmanız için size üç kontrol sunar.

Beyaz listedeki özel talimatlar göründüğünden daha önemlidir. Yayıncılara yönelik bir araç, bir donanım yardımcı programı ya da niş bir sektör yazılımı, bir ürünün kitlesi için tamamen normalken başka bir ürünün kitlesi için olağandışı olabilir. qPAnalyzer'a kitlenizi anlatmak, katı olması gereken yerde katı kalmasını sağlamanın yoludur.

Tespitten aksiyona: puanlar, gecikmeler ve kanıtlar

Tespit, işin yalnızca yarısıdır. Bir bulguyla ne yaptığınız, sistemin gelirinizi mi koruyacağını yoksa yalnızca gürültü mü üreteceğini belirler. PapelShip'in risk motoru tüm sinyalleri tek bir puanda birleştirir; uyarı, kısıtlama, kapatma ve yasaklama eşiklerini ise siz belirlersiniz.

1. 01

   Eşikleri ürün bazında belirleyin

   Hangi puanın uyarı vereceğine, hangisinin özellikleri kısıtlayacağına, hangisinin uygulamayı kapatacağına ve hangisinin anahtarı yasaklayacağına karar verin. Düşük fiyatlı bir araçla yüksek değerli bir ürünün politikaları birbirinden çok farklı olabilir.

2. 02

   Gecikmeli aksiyonları kullanın

   Gecikmeli aksiyon modunda yaptırımlar rastgele bir gecikmeden sonra devreye girer. Korumanızı yoklayan biri, tepkiyi hangi adımın tetiklediğini kolayca anlayamaz.

3. 03

   Kanıtları saklayın

   Şüpheli ekran görüntüsü özelliği, şüpheli etkinlik tespit edildiği anda ekranda olanı kaydeder. Ekran görüntüleri paneldeki kendi sayfalarında görüntülenebilir.

4. 04

   Yalnızca anahtara değil, cihaza da müdahale edin

   Bilgisayarlar sayfası her makineyi, tarama sonuçlarını ve yasakların ne zamandır sürdüğünü doğru şekilde gösteren Son yasaklananlar panelini sunar; böylece tekrar eden ihlaller kolayca göze çarpar.

5. 05

   Rutin işleri otomatikleştirin

   Otomatik kurallar sayesinde bir aksiyonu bir kez tanımlarsınız, gerisi kendiliğinden çalışır; net vakalar birinin müdahalesini beklemez.

Ne kadar katı olmanız gerektiği ne sattığınıza bağlıdır. Geniş bir kitleye hitap eden düşük fiyatlı bir yardımcı program daha çok kayıt tutup daha az aksiyon alabilir. Yüksek değerli bir ürün ya da hilenin diğer müşterilere zarar verdiği bir ürün, daha sıkı eşikleri haklı çıkarır. Her iki durumda da karar sizindir ve panelden istediğiniz zaman değiştirilebilir.

Yasaklar sunucuda verildiği için bir sonraki kontrolde her yerde geçerli olur. Yayınlanacak yeni bir derleme ya da beklenecek bir güncelleme yoktur. Sunucu tarafındaki sırları binary'nin dışında tutmanın arkasında da aynı ilke vardır: İstemci raporlar, sunucu karar verir.

qPAnalyzer, kara listeler ve sunucu kontrollerinin yanında nerede duruyor?

qPAnalyzer korumanızın geri kalanının yerini almaz; diğer katmanların bıraktığı boşluğu kapatır. Process ve pencere kara listeleri, iyi bilinen araçları neredeyse hiç maliyet olmadan durdurmaya devam eder. Yazılımınızı kimin, hangi cihazda çalıştırabileceğine yine qPapel Auth karar verir. qPAnalyzer ise bu ikisinin göremediğini izler.

qPAnalyzer, binary'de alınmaya değer pek bir şey olmadığında en etkili hâline ulaşır. Değerli string'leriniz ve dosyalarınız sunucuda kalıp yalnızca doğrulanmış oturumlara gönderiliyorsa, işaretlenen bir oturum bunları almayı bırakır. Böylece tespit, istemcideki bir kontrole bağlı kalmak yerine sunucu tarafından uygulanan doğrudan bir sonuç doğurur.

Konunun genel çerçevesi için tersine mühendislik korumasının neden statik kara listelerin ötesine geçmesi gerektiğini okuyun. Tüm katmanları sırasıyla görmek için C++ ve C# için yazılım koruma katmanları yazısına göz atın.

qPAnalyzer'ı ürününüzde nasıl devreye alırsınız?

1. 01

   Kütüphaneyi güncelleyin

   qPAnalyzer, qPapel Auth v5.5 veya üzerini gerektirir. Resmî Example projesindeki en güncel Lib ve Include dosyalarını ve İndirmeler sayfasındaki en güncel qPapelAuth64.dll dosyasını kullanın.

2. 02

   Uzaktan ayarlarda etkinleştirin

   qPAnalyzer'ı ürün için açın. Bu ayarı daha sonra değiştirmek için yeni bir derleme gerekmez.

3. 03

   Gözlem moduyla başlayın

   Bulguları kapatma veya yasaklama yapmadan kaydedin. Birkaç gün boyunca Bilgisayarlar sayfasını ve Threat Vault'u takip edin.

4. 04

   Beyaz listeyi ayarlayın

   Kitlenizin kullandığı meşru araçları ekleyin ve onları tanımlayan özel talimatlar yazın.

5. 05

   Aksiyonları açın

   Uyarı, kısıtlama, kapatma ve yasaklama eşiklerinizi belirleyin, gecikmeli aksiyonları etkinleştirin ve işaretlenen makineleri düzenli olarak inceleyin.

qPAnalyzer, aylık 14,99 € olan PapelShip+ planına dahildir; bu plan kripto ve kartlı ödemelerde %0 komisyon da sunar. qPAnalyzer ürün sayfası panel görünümlerini gösterir, fiyatlandırma sayfası da planları karşılaştırır.

Statik bir listenin göremediğini görün

Bilinen araçları engellemek işin temelidir. En çok önem taşıyan araçlar ise kendini belli etmeyenlerdir: adı değiştirilmiş, özel ya da düpedüz yeni olanlar. qPAnalyzer bu araçların ne olduğuna ve nasıl davrandığına bakar, bulduklarını puanlar ve son kararı size bırakır.

Gözlem modunda etkinleştirin, kitlenize göre ayarlayın, ardından orantılı aksiyonları puana bırakın. Böylece ödeme yapan müşterilerinizi şüpheliye dönüştürmeden, daha önce sahip olmadığınız bir görünürlük elde edersiniz.