Zararlı Yazılım Türleri: Kapsamlı Bir Taksonomi

Günlük dilde "virüs" kelimesi genelde tüm zararlı yazılımlar için kullanılsa da, adli/teknik bir bakış açısıyla her tür, kendine özgü bir yayılma ve çalışma mekanizmasına sahiptir. Bu makale, bu ayrımları netleştirmeyi amaçlar.

Yayılma Mekanizmasına Göre Sınıflandırma

• Virüs: Kendi kendine yayılamaz — meşru bir dosyaya (host) kendini ekleyerek, o dosya çalıştırıldığında yayılır. Yayılması için insan etkileşimi (dosyayı çalıştırma, paylaşma) gerekir.
• Solucan (Worm): Bir host dosyaya ihtiyaç duymadan, genelde bir ağ zafiyetini istismar ederek KENDİ KENDİNE, insan müdahalesi olmadan sistemden sisteme yayılabilir — bu, worm'leri virüslerden çok daha hızlı yayılabilir kılar.
• Truva Atı (Trojan): Meşru bir yazılım gibi görünüp kullanıcıyı kandırarak çalıştırılır; kendiliğinden yayılmaz, sosyal mühendisliğe dayanır.

Amaç ve Davranışa Göre Sınıflandırma

• Ransomware (Fidye Yazılımı): Kurbanın dosyalarını şifreleyip, şifre çözme anahtarı karşılığında fidye talep eder. Modern varyantlar genelde "çifte gasp" (double extortion) yapar — veriyi hem şifreler hem de önceden çalıp, ödeme yapılmazsa ifşa etmekle tehdit eder.
• Rootkit: Kendi varlığını ve/veya diğer zararlı bileşenlerin varlığını işletim sisteminden gizlemeye özel olarak odaklanan bir zararlı yazılım türü. Çalıştığı ayrıcalık seviyesine göre alt türlere ayrılır: user-mode rootkit (uygulama seviyesinde API'leri kancalar/hook'lar), kernel-mode rootkit (çekirdek seviyesinde çalışır, çok daha derin ve tespit edilmesi zor gizleme sağlar), bootkit (önyükleme (boot) sürecine bile bulaşarak işletim sistemi yüklenmeden önce devreye girer).
• Spyware: Kullanıcı bilgisi/rızası olmadan bilgi toplayıp (tuş vuruşları, ekran görüntüleri, tarama geçmişi) dışarı gönderir.
• Botnet İstemcisi: Ele geçirilen makineyi, saldırganın merkezi olarak kontrol ettiği büyük bir "zombi ağının" (botnet) bir üyesi hâline getirir — genelde DDoS saldırıları veya spam gönderimi için kullanılır.

Fileless Malware: Disksiz Tehditler

Modern bir eğilim olarak "fileless" (dosyasız) zararlı yazılımlar, geleneksel diske yazılmış çalıştırılabilir dosyalar yerine, meşru sistem araçlarını (PowerShell, WMI gibi) kötüye kullanarak tamamen bellekte çalışır — "living off the land" (araziden geçinme) olarak da bilinen bu yaklaşım, geleneksel dosya tabanlı antivirüs imza taramasını büyük ölçüde etkisiz hâle getirir çünkü diskte taranacak zararlı bir dosya yoktur.

Pratik Senaryo

Bir kurumsal ağda, bir kullanıcı e-postadaki bir eki açıyor (bu bir Trojan'dır — meşru bir fatura gibi görünüyordu). Çalıştığında, sistemde bir dosya bırakmadan doğrudan PowerShell üzerinden komutlar çalıştırıyor (fileless davranış) ve ağdaki bir zafiyeti kullanarak komşu bilgisayarlara da kendini kopyalamaya başlıyor (bu noktada worm benzeri bir yayılma davranışı sergiliyor). Son aşamada, ele geçirdiği tüm makinelerde dosyaları şifreleyip fidye notu bırakıyor (ransomware davranışı). Bu senaryo, modern zararlı yazılımların genelde tek bir kategoriye net şekilde sığmadığını, birden fazla tekniği bir arada kullanan hibrit tehditler olduğunu gösteriyor.

Bu makale, zararlı yazılım taksonomisinin orta-ileri seviye bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.