Analiza dynamiczna

Analiza dynamiczna uruchamia malware w kontrolowanym środowisku i obserwuje jego zachowanie: tworzone pliki, zmiany w rejestrze, uruchamiane procesy i ruch sieciowy.

Pokazuje, co próbka rzeczywiście robi, w tym zachowania ukryte przed analizą statyczną przez pakowanie.

Uruchamiaj malware wyłącznie w izolowanej piaskownicy: maszynie wirtualnej z czystym snapshotem, do którego można powrócić.

Użyj sieci tylko dla hosta lub fałszywej sieci, aby malware nie mogło połączyć się z internetem ani z rzeczywistymi systemami. Nigdy nie analizuj go na komputerze połączonym z siecią produkcyjną.

Przed uruchomieniem próbki wykonaj czysty snapshot maszyny wirtualnej. Po analizie przywróć go, aby usunąć wszystkie zmiany wprowadzone przez malware.

Dzięki temu możesz wielokrotnie uruchamiać próbkę z identycznego stanu początkowego.

Procmon (Process Monitor) rejestruje w czasie rzeczywistym operacje na plikach, rejestrze i procesach. Filtrowanie według nazwy procesu próbki pokazuje dokładnie, z jakimi elementami wchodzi ona w interakcję.

Ujawnia to upuszczone pliki, utworzone klucze rejestru i mechanizmy utrzymywania dostępu.

Process Explorer i Process Hacker pokazują uruchomione procesy, relacje rodzic–dziecko oraz wstrzyknięte wątki.

Malware często uruchamia procesy potomne lub wstrzykuje kod do legalnych procesów, takich jak explorer.exe, aby się ukryć.

Użyj Wireshark do przechwytywania ruchu oraz INetSim lub FakeNet-NG do symulowania usług internetowych. Malware sądzi, że połączyło się ze swoim serwerem, podczas gdy Ty bezpiecznie rejestrujesz żądania.

Ujawnia to domeny command-and-control, sygnały beaconingowe i próby eksfiltracji.

Podczas analizy dynamicznej zbierasz Indicators of Compromise (IOC):

• Skróty plików i nazwy upuszczonych plików.
• Klucze rejestru służące do utrzymywania dostępu.
• Domeny i adresy IP C2.
• Nazwy mutexów.

IOC pomagają obrońcom wykrywać i blokować zagrożenia.

Obserwuj, w jaki sposób malware przetrzymuje ponowne uruchomienie systemu. Typowe metody to:

• Klucze Run w rejestrze.
• Zaplanowane zadania.
• Usługi.
• Wpisy w folderze Autostart.

Lokalizacja mechanizmu utrzymywania dostępu jest cennym IOC i celem usuwania.

Zaawansowane malware wykrywa piaskownice i odmawia uruchomienia. Może sprawdzać artefakty maszyn wirtualnych, krótki czas działania systemu, małą liczbę rdzeni procesora lub obecność debuggera.

Niektóre próbki opóźniają wykonanie albo wymagają interakcji użytkownika. Rozpoznawanie tych sztuczek unikania wykrycia jest częścią analizy dynamicznej.

Narzędzia takie jak Cuckoo Sandbox i usługi internetowe (Any.Run, Hybrid Analysis) automatyzują uruchamianie próbek i tworzą raporty dotyczące ich zachowania.

Przyspieszają wstępną analizę, ale dokładna analiza ręczna nadal pozwala wykryć to, co pomija automatyzacja, szczególnie w przypadku próbek stosujących uniki.

Analiza statyczna i dynamiczna wzajemnie się uzupełniają. Analiza statyczna ujawnia możliwości i dostarcza wskazówek, a dynamiczna potwierdza, co rzeczywiście zostaje wykonane.

Analityk zwykle wielokrotnie przechodzi między obiema metodami: ciąg znaków znaleziony statycznie podpowiada, czego szukać podczas analizy dynamicznej, a zaobserwowane zachowanie wskazuje kod, który należy odczytać w dezasemblerze.

Rozumiesz już analizę dynamiczną malware'u:

• Uruchamiaj próbkę na izolowanej maszynie wirtualnej z czystym snapshotem i symulowaną siecią.
• Monitoruj ją za pomocą Procmon, Process Explorer i Wireshark + INetSim.
• Zbieraj IOC i identyfikuj mechanizmy utrzymywania dostępu.
• Obserwuj sztuczki utrudniające analizę i unikanie wykrycia.

W następnym etapie odczytasz sam kod za pomocą dezasemblacji.