Analisi dinamica

L'analisi dinamica esegue il malware in un ambiente controllato e ne osserva il comportamento: file creati, modifiche al registro, processi generati e traffico di rete.

Rivela ciò che il campione fa realmente, compreso il comportamento nascosto all'analisi statica dal packing.

Esegua il malware solo in una sandbox isolata: una macchina virtuale con uno snapshot pulito a cui poter tornare.

Usi una rete solo host o fittizia, in modo che il malware non possa raggiungere Internet o i sistemi reali. Non analizzi mai il malware su una macchina connessa a una rete di produzione.

Prima di detonare il campione, crei uno snapshot pulito della VM. Al termine dell'analisi, vi ritorni per eliminare tutte le modifiche apportate dal malware.

In questo modo può eseguire più volte il campione partendo ogni volta dallo stesso stato iniziale.

Procmon (Process Monitor) registra in tempo reale l'attività relativa a file, registro e processi. Filtrando per il nome del processo del campione, vede esattamente a quali elementi accede.

Questo rivela i file rilasciati, le chiavi di registro create e i meccanismi di persistenza.

Process Explorer e Process Hacker mostrano i processi in esecuzione, le relazioni padre-figlio e i thread iniettati.

Spesso il malware genera processi figlio o si inietta in processi legittimi come explorer.exe per nascondersi.

Usi Wireshark per acquisire il traffico e INetSim o FakeNet-NG per simulare i servizi Internet. Il malware crede di aver raggiunto il proprio server, mentre lei registra le richieste in sicurezza.

Questo porta alla luce i domini di comando e controllo, i beacon e i tentativi di esfiltrazione.

Dall'analisi dinamica raccoglie gli Indicators of Compromise (IOC):

• Hash dei file e nomi dei file rilasciati.
• Chiavi di registro usate per la persistenza.
• Domini e indirizzi IP C2.
• Nomi dei mutex.

Gli IOC aiutano i difensori a rilevare e bloccare la minaccia.

Verifichi come il malware sopravvive ai riavvii. I metodi comuni includono:

• Chiavi Run nel registro.
• Attività pianificate.
• Servizi.
• Voci nella cartella di avvio.

La posizione della persistenza è un IOC di grande valore e un obiettivo di rimozione.

Il malware sofisticato rileva le sandbox e si rifiuta di eseguirsi. Potrebbe verificare la presenza di artefatti della VM, un uptime ridotto, pochi core della CPU o un debugger.

Alcuni malware ritardano l'esecuzione o richiedono l'interazione dell'utente. Riconoscere questi trucchi di evasione fa parte dell'analisi dinamica.

Strumenti come Cuckoo Sandbox e servizi online (Any.Run, Hybrid Analysis) automatizzano la detonazione e producono report sul comportamento.

Accelerano il triage, ma un'attenta analisi manuale individua ancora ciò che l'automazione non rileva, soprattutto nei campioni che adottano tecniche di evasione.

L'analisi statica e quella dinamica si completano a vicenda. L'analisi statica rivela le capacità e fornisce indizi; quella dinamica conferma ciò che viene effettivamente eseguito.

In genere, un analista passa dall'una all'altra: una stringa trovata staticamente indica che cosa osservare dinamicamente, mentre il comportamento osservato rimanda al codice da leggere nel disassembler.

Ricordi il principale passaggio di sicurezza prima di detonare un malware.

Ora comprende l'analisi dinamica dei malware:

• Esegua il campione in una VM isolata con uno snapshot pulito e una rete simulata.
• Monitori l'attività con Procmon, Process Explorer e Wireshark + INetSim.
• Raccolga gli IOC e identifichi i meccanismi di persistenza.
• Presti attenzione ai trucchi di evasione anti-analisi.

Ora leggerà direttamente il codice tramite il disassemblaggio.