Análise estática

A análise estática examina uma amostra de malware sem executá-la. Você inspeciona o conteúdo, a estrutura e os metadados do arquivo para descobrir o que ele pode fazer.

Ela é mais segura do que executar código desconhecido e geralmente é o primeiro passo em qualquer investigação de malware.

Mesmo a análise estática deve ocorrer em um ambiente isolado: uma VM dedicada à análise, sem dados confidenciais e, idealmente, com a rede desabilitada.

Nunca analise malware em sua máquina principal. Uma execução acidental ou um arquivo compactado malicioso pode comprometê-la.

Primeiro, calcule o hash do arquivo (MD5, SHA-1, SHA-256). O hash é uma impressão digital usada para identificar a amostra e consultá-la em bancos de dados de inteligência sobre ameaças.

Enviar apenas o hash ao VirusTotal evita o envio da própria amostra.

O comando strings extrai texto imprimível de um binário. Ele pode revelar URLs, endereços IP, caminhos de arquivos, chaves do registro e mensagens de erro.

Esses artefatos dão pistas sobre os recursos do malware e sua infraestrutura de comando e controle.

Não confie na extensão do arquivo. Use file e inspecione os bytes mágicos para confirmar o formato real.

Um executável do Windows começa com MZ (o formato PE), e um binário Linux ELF começa com 0x7F ELF. Conhecer o tipo orienta o restante da análise.

Os executáveis do Windows usam o formato Executável Portátil (PE). Os cabeçalhos descrevem as seções, o ponto de entrada e as marcações de tempo.

Ferramentas como PEview, pefile ou PE-bear analisam essa estrutura para você.

A Tabela de Endereços de Importação (IAT) lista as funções da API que o programa chama de outras DLLs. Essa é uma das fontes mais ricas de pistas comportamentais.

Importações como InternetOpenUrl, CreateProcess ou RegSetValue sugerem rede, execução e persistência.

Os arquivos PE são divididos em seções, como .text (código), .data e .rsrc (recursos).

Uma entropia alta em uma seção geralmente indica compactação ou criptografia, sugerindo que o código real está oculto até a execução.

Se uma amostra tiver pouquíssimas strings legíveis e quase nenhuma importação, é provável que esteja compactada. O malware compactado se descompacta na memória durante a execução.

Isso indica que apenas a análise estática não revelará tudo; posteriormente, você precisará de análise dinâmica e descompactação.

As regras YARA descrevem padrões de strings ou bytes para classificar e detectar famílias de malware. Executar uma amostra contra um conjunto de regras pode identificar rapidamente ameaças conhecidas.

Os analistas também escrevem regras personalizadas a partir dos artefatos encontrados durante a análise estática.

Durante toda a análise estática, registre cada artefato: hashes, strings suspeitas, importações e anomalias nas seções. Eles se tornam IOCs e orientam seus próximos passos.

Boas anotações também permitem correlacionar a amostra com famílias conhecidas e evitar repetir o trabalho caso você a examine novamente mais tarde.

Lembre-se do que a alta entropia de uma seção geralmente indica.

Agora você entende a análise estática de malware:

• Examine uma amostra sem executá-la, em uma VM isolada.
• Calcule hashes, extraia strings e confirme o tipo de arquivo.
• Analise cabeçalhos PE, importações (IAT) e seções; uma entropia alta dá pistas de compactação.
• Use YARA para classificar famílias conhecidas.

Em seguida, você observará o comportamento do malware com a análise dinâmica.