Динамический анализ

Динамический анализ запускает вредоносное ПО в контролируемой среде и наблюдает за его поведением: созданными файлами, изменениями реестра, запущенными процессами и сетевым трафиком.

Он показывает, что образец делает на самом деле, включая поведение, скрытое от статического анализа упаковкой.

Запускайте вредоносное ПО только в изолированной песочнице: на виртуальной машине с чистым снимком, к которому можно вернуться.

Используйте сеть только для узла или поддельную сеть, чтобы вредоносное ПО не могло связаться с интернетом или настоящими системами. Никогда не проводите анализ на машине, подключённой к рабочей сети.

Перед запуском образца создайте чистый снимок виртуальной машины. После анализа вернитесь к нему, чтобы удалить все изменения, внесённые вредоносным ПО.

Так Вы сможете многократно запускать образец из одинакового исходного состояния.

Procmon (монитор процессов) в реальном времени записывает действия с файлами, реестром и процессами. Фильтрация по имени процесса образца показывает, к чему именно он обращается.

Это позволяет обнаружить созданные файлы, добавленные ключи реестра и механизмы закрепления.

Process Explorer и Process Hacker показывают запущенные процессы, связи между родительскими и дочерними процессами, а также внедрённые потоки.

Вредоносное ПО часто создаёт дочерние процессы или внедряется в легитимные процессы, такие как explorer.exe, чтобы скрыться.

Используйте Wireshark для перехвата трафика, а INetSim или FakeNet-NG — для имитации интернет-сервисов. Вредоносное ПО думает, что связалось со своим сервером, а Вы безопасно записываете запросы.

Это позволяет обнаружить домены управления и контроля, сигналы-маяки и попытки вывода данных.

В ходе динамического анализа Вы собираете индикаторы компрометации (IOCs):

• Хеши файлов и имена созданных файлов.
• Ключи реестра для закрепления.
• Домены C2 и IP-адреса.
• Имена мьютексов.

IOCs помогают специалистам по защите обнаруживать и блокировать угрозу.

Следите за тем, как вредоносное ПО переживает перезагрузки. К распространённым методам относятся:

• Ключи запуска в реестре.
• Запланированные задачи.
• Службы.
• Записи в папке автозагрузки.

Место закрепления — это ценный IOC и цель для удаления.

Сложное вредоносное ПО обнаруживает песочницы и отказывается запускаться. Оно может проверять признаки виртуальной машины, малое время работы системы, небольшое число ядер CPU или наличие отладчика.

Некоторые образцы откладывают выполнение или требуют взаимодействия с пользователем. Распознавание этих приёмов уклонения — часть динамического анализа.

Такие инструменты, как Cuckoo Sandbox, и онлайн-сервисы (Any.Run, Hybrid Analysis) автоматизируют запуск образцов и создают отчёты о поведении.

Они ускоряют первичный анализ, но тщательное ручное исследование по-прежнему обнаруживает то, что упускает автоматизация, особенно в образцах, использующих уклонение.

Статический и динамический анализ дополняют друг друга. Статический анализ раскрывает возможности и даёт подсказки, а динамический подтверждает, что выполняется на самом деле.

Обычно аналитик чередует их: строка, найденная статически, подсказывает, за чем наблюдать динамически, а замеченное поведение указывает, какой код следует изучить в дизассемблере.

Вспомните основной шаг безопасности перед запуском вредоносного ПО.

Теперь Вы понимаете, как проводить динамический анализ вредоносного ПО:

• Запускайте образец в изолированной виртуальной машине с чистым снимком и имитируемой сетью.
• Наблюдайте за ним с помощью Procmon, Process Explorer и Wireshark + INetSim.
• Собирайте IOCs и выявляйте механизмы закрепления.
• Следите за приёмами уклонения, направленными против анализа.

Далее Вы изучите сам код с помощью дизассемблирования.