Analiza statyczna

Analiza statyczna bada próbkę malware'u bez jej uruchamiania. Sprawdzasz zawartość, strukturę i metadane pliku, aby ustalić, co może on robić.

Jest bezpieczniejsza niż uruchamianie nieznanego kodu i zwykle stanowi pierwszy etap każdej analizy malware'u.

Nawet analiza statyczna powinna odbywać się w izolowanym środowisku: na dedykowanej maszynie wirtualnej bez poufnych danych, najlepiej z wyłączoną siecią.

Nigdy nie analizuj malware'u na głównym komputerze. Przypadkowe uruchomienie lub złośliwe archiwum może doprowadzić do jego przejęcia.

Najpierw oblicz skrót pliku (MD5, SHA-1, SHA-256). Skrót jest odciskiem palca używanym do identyfikowania próbki i wyszukiwania jej w bazach danych threat intelligence.

Przesłanie samego skrótu do VirusTotal pozwala uniknąć wysyłania całej próbki.

Polecenie strings wyodrębnia z pliku binarnego tekst możliwy do wyświetlenia. Może ujawnić adresy URL, adresy IP, ścieżki plików, klucze rejestru i komunikaty o błędach.

Te artefakty wskazują na możliwości malware'u i jego infrastrukturę command-and-control.

Nie ufaj rozszerzeniu pliku. Użyj polecenia file (i sprawdź bajty sygnatury), aby potwierdzić rzeczywisty format.

Plik wykonywalny systemu Windows zaczyna się od MZ (format PE), a binarny plik ELF systemu Linux od 0x7F ELF. Znajomość typu wyznacza dalszy przebieg analizy.

Pliki wykonywalne systemu Windows używają formatu Portable Executable (PE). Nagłówki opisują sekcje, punkt wejścia i znaczniki czasu.

Narzędzia takie jak PEview, pefile czy PE-bear analizują tę strukturę za Ciebie.

Import Address Table (IAT) zawiera funkcje API, które program wywołuje z innych bibliotek DLL. Jest to jedno z najbogatszych źródeł wskazówek dotyczących zachowania programu.

Importy takie jak InternetOpenUrl, CreateProcess czy RegSetValue sugerują odpowiednio komunikację sieciową, uruchamianie procesów i utrzymywanie dostępu.

Pliki PE są podzielone na sekcje, takie jak .text (kod), .data i .rsrc (zasoby).

Wysoka entropia sekcji często wskazuje na pakowanie lub szyfrowanie, sugerując, że właściwy kod jest ukryty do momentu uruchomienia.

Jeśli próbka zawiera bardzo mało czytelnych ciągów znaków i prawie żadnych importów, prawdopodobnie jest spakowana. Spakowane malware rozpakowuje się w pamięci podczas działania.

Oznacza to, że sama analiza statyczna nie ujawni wszystkiego; później będzie potrzebna analiza dynamiczna i rozpakowywanie.

Reguły YARA opisują wzorce ciągów znaków lub bajtów służące do klasyfikowania i wykrywania rodzin malware'u. Przeskanowanie próbki za pomocą zestawu reguł może szybko zidentyfikować znane zagrożenia.

Analitycy tworzą także własne reguły na podstawie artefaktów znalezionych podczas analizy statycznej.

Podczas całej analizy statycznej zapisuj każdy artefakt: skróty, podejrzane ciągi znaków, importy i anomalie sekcji. Stają się one IOC i pomagają zaplanować kolejne działania.

Dobre notatki pozwalają także powiązać próbkę ze znanymi rodzinami i uniknąć powtarzania pracy przy jej ponownej analizie.

Przypomnij sobie, na co zwykle wskazuje wysoka entropia sekcji.

Rozumiesz już analizę statyczną malware'u:

• Badaj próbkę bez jej uruchamiania, na izolowanej maszynie wirtualnej.
• Obliczaj skróty, wyodrębniaj ciągi znaków i potwierdzaj typ pliku.
• Analizuj nagłówki PE, importy (IAT) i sekcje; wysoka entropia wskazuje na pakowanie.
• Używaj YARA do klasyfikowania znanych rodzin.

W następnym etapie zobaczysz zachowanie malware'u podczas analizy dynamicznej.