Dynamisk analyse

Dynamisk analyse kører malwaren i et kontrolleret miljø og observerer dens adfærd: oprettede filer, ændringer i registreringsdatabasen, processer, der startes, og netværkstrafik.

Den afslører, hvad prøven faktisk gør, herunder adfærd, som er skjult for statisk analyse gennem pakning.

Kør kun malware i en isoleret sandbox: en virtuel maskine med et rent snapshot, som du kan vende tilbage til.

Brug et værtsbaseret netværk eller et falsk netværk, så malwaren ikke kan få adgang til internettet eller dine rigtige systemer. Analysér aldrig på en maskine, der er forbundet med et produktionsnetværk.

Tag et rent VM-snapshot, før du detonerer prøven. Vend tilbage til det efter analysen for at fjerne alle ændringer, malwaren har foretaget.

På den måde kan du køre prøven gentagne gange fra en identisk starttilstand.

Procmon (Process Monitor) registrerer fil-, registreringsdatabase- og procesaktivitet i realtid. Hvis du filtrerer efter prøvens procesnavn, kan du se præcis, hvad den berører.

Det afslører filer, der er lagt ned, oprettede registreringsdatabasenøgler og mekanismer til vedholdenhed.

Process Explorer og Process Hacker viser kørende processer, forælder-barn-relationer og injicerede tråde.

Malware starter ofte underordnede processer eller injicerer kode i legitime processer som explorer.exe for at skjule sig.

Brug Wireshark til at opsamle trafik og INetSim eller FakeNet-NG til at simulere internettjenester. Malwaren tror, at den har kontakt til sin server, mens du sikkert registrerer forespørgslerne.

Det afslører kommando- og kontrol-domæner, signaler og forsøg på dataudtræk.

Ved dynamisk analyse indsamler du Indicators of Compromise (IOC'er):

• Filhashes og navne på filer, der er lagt ned.
• Registreringsdatabasenøgler til vedholdenhed.
• C2-domæner og IP-adresser.
• Navne på mutexer.

IOC'er hjælper forsvarere med at opdage og blokere truslen.

Hold øje med, hvordan malwaren overlever genstarter. Almindelige metoder omfatter:

• Run-nøgler i registreringsdatabasen.
• Planlagte opgaver.
• Tjenester.
• Poster i mappen til opstartsprogrammer.

Placeringen for vedholdenhed er en værdifuld IOC og et mål for fjernelse.

Avanceret malware opdager sandkasser og nægter at køre. Den kan kontrollere VM-artefakter, kort oppetid, få CPU-kerner eller tilstedeværelsen af en debugger.

Nogle malwares forsinker kørsel eller kræver brugerinteraktion. At genkende disse undvigelsestricks er en del af dynamisk analyse.

Værktøjer som Cuckoo Sandbox og onlinetjenester (Any.Run, Hybrid Analysis) automatiserer detonering og genererer adfærdsrapporter.

De gør den indledende sortering hurtigere, men grundig manuel analyse opdager stadig det, som automatiseringen overser, især prøver, der forsøger at undvige analyse.

Statisk og dynamisk analyse supplerer hinanden. Statisk arbejde afslører funktioner og giver fingerpeg; dynamisk arbejde bekræfter, hvad der faktisk køres.

En analytiker skifter typisk mellem dem: En streng, der findes statisk, viser, hvad der skal holdes øje med dynamisk, og observeret adfærd peger tilbage på kode, der skal læses i disassembleren.

Du forstår nu dynamisk malwareanalyse:

• Kør prøven i en isoleret VM med et rent snapshot og simuleret netværk.
• Overvåg med Procmon, Process Explorer og Wireshark + INetSim.
• Indsaml IOC'er, og identificér mekanismer til vedholdenhed.
• Hold øje med undvigelsestricks, der modvirker analyse.

Dernæst skal du læse selve koden gennem disassemblering.