Statische Analyse

Bei der statischen Analyse wird ein Malware-Sample ausgeführt. Sie untersuchen den Inhalt, die Struktur und die Metadaten der Datei, um herauszufinden, was sie möglicherweise tut.

Das ist sicherer, als unbekannten Code auszuführen, und in der Regel der erste Schritt jeder Malware-Untersuchung.

Auch die statische Analyse sollte in einer isolierten Umgebung stattfinden: einer dedizierten Analyse-VM ohne vertrauliche Daten, idealerweise mit deaktivierter Netzwerkverbindung.

Analysieren Sie Malware niemals auf Ihrem Hauptrechner. Eine versehentliche Ausführung oder ein bösartiges Archiv könnte ihn kompromittieren.

Berechnen Sie zunächst den Hash der Datei (MD5, SHA-1, SHA-256). Der Hash ist ein Fingerabdruck, mit dem das Sample identifiziert und in Threat-Intelligence-Datenbanken nachgeschlagen werden kann.

Wenn Sie nur den Hash an VirusTotal übermitteln, müssen Sie das Sample selbst nicht hochladen.

Der Befehl strings extrahiert druckbaren Text aus einer Binärdatei. Dadurch können URLs, IP-Adressen, Dateipfade, Registry-Schlüssel und Fehlermeldungen sichtbar werden.

Diese Artefakte geben Hinweise auf die Fähigkeiten der Malware und ihre Command-and-Control-Infrastruktur.

Vertrauen Sie nicht auf die Dateierweiterung. Verwenden Sie file und untersuchen Sie die Magic Bytes, um das tatsächliche Format zu bestätigen.

Eine Windows-Executable beginnt mit MZ (dem PE-Format), eine ELF-Linux-Binärdatei mit 0x7F ELF. Die Kenntnis des Dateityps bestimmt die weiteren Analyseschritte.

Windows-Executables verwenden das Format Portable Executable (PE). Die Header beschreiben die Sektionen, den Einstiegspunkt und Zeitstempel.

Tools wie PEview, pefile oder PE-bear analysieren diese Struktur für Sie.

Die Import Address Table (IAT) listet die API-Funktionen auf, die das Programm aus anderen DLLs aufruft. Sie ist eine der ergiebigsten Quellen für Hinweise auf das Verhalten.

Imports wie InternetOpenUrl, CreateProcess oder RegSetValue deuten auf Netzwerkkommunikation, Ausführung und Persistenz hin.

PE-Dateien sind in Sektionen wie .text (Code), .data und .rsrc (Ressourcen) unterteilt.

Eine hohe Entropie in einer Sektion deutet häufig auf Packing oder Verschlüsselung hin. Das lässt vermuten, dass der eigentliche Code bis zur Laufzeit verborgen ist.

Wenn ein Sample nur sehr wenige lesbare Strings und fast keine Imports enthält, ist es wahrscheinlich gepackt. Gepackte Malware entpackt sich zur Laufzeit im Speicher.

Das bedeutet, dass die statische Analyse allein nicht alles offenlegen wird. Später benötigen Sie dynamische Analyse und Unpacking.

YARA-Regeln beschreiben Muster aus Strings oder Bytes, um Malware-Familien zu klassifizieren und zu erkennen. Wenn Sie ein Sample gegen einen Regelsatz prüfen, lassen sich bekannte Bedrohungen schnell identifizieren.

Analysten schreiben außerdem benutzerdefinierte Regeln auf Grundlage von Artefakten, die sie bei der statischen Analyse finden.

Dokumentieren Sie während der gesamten statischen Analyse jedes Artefakt: Hashes, verdächtige Strings, Imports und Anomalien in Sektionen. Daraus entstehen IOCs, die Ihre nächsten Schritte bestimmen.

Gute Notizen ermöglichen außerdem die Zuordnung des Samples zu bekannten Familien und verhindern, dass Sie bei einer späteren Untersuchung dieselbe Arbeit wiederholen.

Rufen Sie sich ins Gedächtnis, worauf eine hohe Entropie einer Sektion normalerweise hindeutet.

Sie verstehen nun die statische Malware-Analyse:

• Untersuchen Sie ein Sample ohne es auszuführen in einer isolierten VM.
• Berechnen Sie Hashes, extrahieren Sie Strings und bestätigen Sie den Dateityp.
• Analysieren Sie PE-Header, Imports (IAT) und Sektionen; hohe Entropie deutet auf Packing hin.
• Verwenden Sie YARA, um bekannte Familien zu klassifizieren.

Als Nächstes beobachten Sie das Verhalten von Malware mit dynamischer Analyse.