Dynamische Analyse

Bei der dynamischen Analyse wird die Malware in einer kontrollierten Umgebung ausgeführt und ihr Verhalten beobachtet: erstellte Dateien, Änderungen an der Registry, gestartete Prozesse und Netzwerkverkehr.

Sie zeigt, was das Sample tatsächlich tut, einschließlich des Verhaltens, das durch Packing vor der statischen Analyse verborgen wird.

Führen Sie Malware ausschließlich in einer isolierten Sandbox aus: einer virtuellen Maschine mit einem sauberen Snapshot, auf den Sie zurücksetzen können.

Verwenden Sie ein Host-only- oder ein simuliertes Netzwerk, damit die Malware weder das Internet noch Ihre realen Systeme erreichen kann. Analysieren Sie niemals auf einem Rechner, der mit einem Produktionsnetzwerk verbunden ist.

Erstellen Sie vor dem Ausführen des Samples einen sauberen Snapshot der VM. Setzen Sie die VM nach der Analyse darauf zurück, um alle von der Malware vorgenommenen Änderungen zu beseitigen.

So können Sie das Sample wiederholt aus einem identischen Ausgangszustand ausführen.

Procmon (Process Monitor) zeichnet Datei-, Registry- und Prozessaktivitäten in Echtzeit auf. Wenn Sie nach dem Prozessnamen des Samples filtern, sehen Sie genau, worauf es zugreift.

Dadurch werden abgelegte Dateien, erstellte Registry-Schlüssel und Persistenzmechanismen sichtbar.

Process Explorer und Process Hacker zeigen laufende Prozesse, Eltern-Kind-Beziehungen und injizierte Threads an.

Malware startet häufig Kindprozesse oder injiziert sich in legitime Prozesse wie explorer.exe, um sich zu verstecken.

Verwenden Sie Wireshark, um Datenverkehr aufzuzeichnen, und INetSim oder FakeNet-NG, um Internetdienste zu simulieren. Die Malware glaubt, ihren Server erreicht zu haben, während Sie die Anfragen sicher protokollieren.

So werden Command-and-Control-Domains, Beacons und Exfiltrationsversuche sichtbar.

Bei der dynamischen Analyse sammeln Sie Indicators of Compromise (IOCs):

• File-Hashes und Namen abgelegter Dateien.
• Registry-Schlüssel für die Persistenz.
• C2-Domains und IP-Adressen.
• Namen von Mutexen.

IOCs helfen Verteidigern, die Bedrohung zu erkennen und zu blockieren.

Achten Sie darauf, wie die Malware Neustarts übersteht. Häufige Methoden sind:

• Run-Schlüssel in der Registry.
• Geplante Tasks.
• Dienste.
• Einträge im Autostartordner.

Der Ort der Persistenz ist ein besonders wertvolles IOC und ein wichtiges Ziel für die Entfernung.

Ausgefeilte Malware erkennt Sandboxes und weigert sich, ausgeführt zu werden. Sie prüft möglicherweise auf VM-Artefakte, eine kurze Betriebszeit, wenige CPU-Kerne oder das Vorhandensein eines Debuggers.

Manche Malware verzögert die Ausführung oder erfordert eine Benutzerinteraktion. Das Erkennen solcher Umgehungstricks gehört zur dynamischen Analyse.

Tools wie Cuckoo Sandbox und Onlinedienste (Any.Run, Hybrid Analysis) automatisieren die Ausführung und erstellen Verhaltensberichte.

Sie beschleunigen die Triage, doch eine sorgfältige manuelle Analyse entdeckt weiterhin, was der Automatisierung entgeht, insbesondere bei ausweichender Malware.

Statische und dynamische Analyse ergänzen sich. Die statische Analyse zeigt Fähigkeiten und gibt Hinweise; die dynamische Analyse bestätigt, was tatsächlich ausgeführt wird.

Analysten wechseln typischerweise zwischen beiden Methoden: Ein statisch gefundener String bestimmt, worauf dynamisch zu achten ist, und beobachtetes Verhalten verweist zurück auf den Code, der im Disassembler gelesen werden sollte.

Rufen Sie sich den wichtigsten Sicherheitsschritt vor dem Ausführen von Malware ins Gedächtnis.

Sie verstehen nun die dynamische Malware-Analyse:

• Führen Sie das Sample in einer isolierten VM mit einem sauberen Snapshot und einem simulierten Netzwerk aus.
• Überwachen Sie es mit Procmon, Process Explorer und Wireshark + INetSim.
• Sammeln Sie IOCs und identifizieren Sie Persistenzmechanismen.
• Achten Sie auf Umgehungstricks zur Analyse.

Als Nächstes lesen Sie den Code selbst anhand des Disassemblings.