Dynamische analyse

Dynamische analyse voert malware uit in een gecontroleerde omgeving en observeert het gedrag ervan: aangemaakte bestanden, wijzigingen in het register, gestarte processen en netwerkverkeer.

Hiermee ontdek je wat het voorbeeld daadwerkelijk doet, ook gedrag dat door inpakken verborgen blijft voor statische analyse.

Voer malware alleen uit in een geïsoleerde sandbox: een virtuele machine met een schone snapshot waarnaar je kunt terugkeren.

Gebruik een host-only- of ne netwerkverbinding, zodat de malware het internet of je echte systemen niet kan bereiken. Analyseer malware nooit op een machine die met een productienetwerk is verbonden.

Maak voordat je het voorbeeld activeert een schone snapshot van de VM. Zet de VM na de analyse terug naar die snapshot om alle wijzigingen van de malware te wissen.

Zo kun je het voorbeeld herhaaldelijk uitvoeren vanuit een identieke beginstatus.

Procmon (Process Monitor) registreert bestands-, register- en procesactiviteit in real time. Als je filtert op de procesnaam van het voorbeeld, zie je precies wat het aanraakt.

Zo ontdek je gedropte bestanden, aangemaakte registersleutels en persistentiemechanismen.

Process Explorer en Process Hacker tonen actieve processen, ouder-kindrelaties en geïnjecteerde threads.

Malware start vaak onderliggende processen of injecteert code in legitieme processen zoals explorer.exe om zich te verbergen.

Gebruik Wireshark om verkeer vast te leggen en INetSim of FakeNet-NG om internetdiensten te simuleren. De malware denkt dat ze haar server heeft bereikt, terwijl je de verzoeken veilig registreert.

Zo worden command-and-control-domeinen, bakens en pogingen tot gegevensdiefstal zichtbaar.

Tijdens dynamische analyse verzamel je Indicators of Compromise (IOC's):

• Bestandshashes en namen van gedropte bestanden.
• Registersleutels voor persistentie.
• C2-domeinen en IP-adressen.
• Namen van mutexen.

IOC's helpen verdedigers de bedreiging te detecteren en te blokkeren.

Let erop hoe de malware een herstart overleeft. Veelgebruikte methoden zijn:

• Run-sleutels in het register.
• Geplande taken.
• Diensten.
• Items in de opstartmap.

De persistentielocatie is een waardevolle IOC en een doelwit voor verwijdering.

Geavanceerde malware detecteert sandboxen en weigert uit te voeren. Ze controleert mogelijk op VM-sporen, een korte uptime, weinig CPU-kernen of de aanwezigheid van een debugger.

Sommige malware stelt de uitvoering uit of vereist interactie van de gebruiker. Het herkennen van deze trucs voor ontwijking hoort bij dynamische analyse.

Hulpprogramma's zoals Cuckoo Sandbox en onlinediensten (Any.Run, Hybrid Analysis) automatiseren het activeren van malware en maken gedragsrapporten.

Ze versnellen de eerste beoordeling, maar een zorgvuldige handmatige analyse ontdekt nog steeds wat automatisering mist, vooral bij malware die analyse probeert te ontwijken.

Statische en dynamische analyse vullen elkaar aan. Statisch onderzoek onthult mogelijkheden en geeft aanwijzingen; dynamisch onderzoek bevestigt wat er daadwerkelijk wordt uitgevoerd.

Een analist wisselt er meestal tussen: een tekenreeks die statisch is gevonden, bepaalt wat dynamisch moet worden bekeken, en waargenomen gedrag verwijst terug naar code die in de disassembler moet worden gelezen.

Je begrijpt nu de dynamische malwareanalyse:

• Voer het voorbeeld uit in een geïsoleerde VM met een schone snapshot en gesimuleerd netwerk.
• Houd het gedrag in de gaten met Procmon, Process Explorer en Wireshark + INetSim.
• Verzamel IOC's en identificeer mechanismen voor persistentie.
• Let op trucs voor ontwijking van analyse.

Vervolgens lees je de code zelf met disassembly.