CRYPTER (Şifreleyici ve Gizleyici)

Crypter, bir zararlı yazılımın (Stub) imzasını ve kod yapısını değiştirerek, güvenlik yazılımları (Antivirüs, EDR, XDR) tarafından tespit edilmesini engelleyen bir yazılım katmanıdır. Temel görevi, bir dosyayı FUD (Fully Undetected) hale getirerek korumalı sistemlere sızmasını sağlamaktır.

Crypter Nedir? Siber Hırsızlığın Görünmezlik Pelerini

Modern siber dünyada, bir Infostealer'ın kodlanmış olması yeterli değildir. Antivirüs firmaları, bilinen tüm zararlı yazılım ailelerinin imzalarını (hash değerlerini) anlık olarak veritabanlarına ekler. Crypter, bu savunma duvarını aşmak için kullanılan bir "kamuflaj" teknolojisidir. Bir Crypter, orijinal Stub dosyasını alır, onu karmaşık algoritmalarla (AES, XOR vb.) şifreler ve üzerine "Stub'ı bellekte çözecek" yeni bir kod katmanı ekler.


Crypter Türleri ve Atlatma Teknikleri

Saldırganlar, hedefin savunma seviyesine göre iki ana Crypter türünden birini seçer:

  1. Scantime Crypter: Dosyanın sadece disk üzerindeki yapısını bozar. Dosya sağ tıkla tarandığında "temiz" görünür. Ancak dosya çift tıklandığında ve Stub bellekte açıldığında (unpacked), antivirüsün davranışsal motoru tarafından yakalanabilir.
  2. Runtime Crypter: Çok daha tehlikelidir. Zararlıyı sadece diskte değil, çalışma anında (RAM'de) da gizli tutmaya çalışır. Process Hollowing veya Injection tekniklerini kullanarak meşru bir Windows sürecinin (Örn: svchost.exe) içine sızar. Güvenlik yazılımı, meşru bir sistem dosyasının çalıştığını sanırken, aslında o dosyanın içinde Crypter tarafından çözülmüş olan Infostealer çalışmaktadır.


Proaktif Savunma: Crypter Tehdidine Karşı Ne Yapılmalı?

Geleneksel "dosya tarama" yöntemleri Crypter kullanan bir saldırıyı durduramaz. Bu noktada zafiyet analizlerinin odak noktası "davranışsal analiz" olmalıdır. Bir dosyanın ismi ne olursa olsun, eğer aniden tarayıcı geçmişini okumaya veya dışarıdaki bilinmeyen bir IP adresine şifreli veri göndermeye başlarsa, bu bir Crypter-Zararlı ikilisinin işaretidir. Dark Radar, siber suç forumlarında satılan "Private Crypter" servislerini ve bunların kullandığı yeni algoritmaları takip ederek, kurumların en sinsi "FUD" yazılımlara karşı bile hazırlıklı olmasını sağlar.