Análise dinâmica

A análise dinâmica executa o malware em um ambiente controlado e observa seu comportamento: arquivos criados, alterações no registro, processos iniciados e tráfego de rede.

Ela revela o que a amostra realmente faz, incluindo comportamentos ocultos da análise estática pela compactação.

Execute malware somente em uma área restrita isolada: uma máquina virtual com um instantâneo limpo para o qual você possa reverter.

Use uma rede somente para o host ou uma rede falsa para impedir que o malware alcance a internet ou seus sistemas reais. Nunca faça análises em uma máquina conectada a uma rede de produção.

Antes de detonar a amostra, crie um instantâneo limpo da VM. Após a análise, reverta para ele para apagar todas as alterações feitas pelo malware.

Isso permite executar a amostra repetidamente a partir de um estado inicial idêntico.

O Procmon (Monitor de Processos) registra atividades de arquivos, do registro e de processos em tempo real. Filtrar pelo nome do processo da amostra mostra exatamente o que ela acessa.

Isso revela arquivos descartados, chaves do registro criadas e mecanismos de persistência.

O Process Explorer e o Process Hacker mostram processos em execução, relações entre processos pai e filho e threads injetadas.

O malware frequentemente inicia processos filhos ou injeta código em processos legítimos, como explorer.exe, para se esconder.

Use o Wireshark para capturar o tráfego e o INetSim ou o FakeNet-NG para simular serviços de internet. O malware pensa que alcançou seu servidor, enquanto você registra as solicitações com segurança.

Isso expõe domínios de comando e controle, sinais periódicos e tentativas de exfiltração.

Na análise dinâmica, você coleta Indicadores de Comprometimento (IOCs):

• Hashes de arquivos e nomes de arquivos descartados.
• Chaves do registro usadas para persistência.
• Domínios de C2 e endereços IP.
• Nomes de mutex.

Os IOCs ajudam os defensores a detectar e bloquear a ameaça.

Observe como o malware sobrevive às reinicializações. Os métodos comuns incluem:

• Chaves de execução no registro.
• Tarefas agendadas.
• Serviços.
• Entradas na pasta de inicialização.

O local de persistência é um IOC de alto valor e um alvo de remoção.

Malware sofisticado detecta áreas restritas e se recusa a executar. Ele pode verificar artefatos de VM, baixo tempo de atividade, poucos núcleos de CPU ou a presença de um depurador.

Alguns atrasam a execução ou exigem interação do usuário. Reconhecer essas técnicas de evasão faz parte da análise dinâmica.

Ferramentas como Cuckoo Sandbox e serviços online (Any.Run, Hybrid Analysis) automatizam a detonação e produzem relatórios comportamentais.

Elas aceleram a triagem, mas uma análise manual cuidadosa ainda identifica o que a automação não detecta, especialmente em amostras evasivas.

As análises estática e dinâmica se complementam. O trabalho estático revela recursos e dá pistas; o trabalho dinâmico confirma o que realmente é executado.

Um analista normalmente alterna entre as duas: uma string encontrada estaticamente orienta o que observar dinamicamente, e o comportamento observado aponta de volta para o código a ser lido no desmontador.

Lembre-se da principal medida de segurança antes de detonar malware.

Agora você entende a análise dinâmica de malware:

• Execute a amostra em uma VM isolada, com um instantâneo limpo e uma rede simulada.
• Monitore com Procmon, Process Explorer e Wireshark + INetSim.
• Colete IOCs e identifique mecanismos de persistência.
• Fique atento a técnicas de evasão antianálise.

Em seguida, você lerá o próprio código por meio da desmontagem.