- Haittaohjelma-analyysi tutkii haittaohjelmien käyttäytymistä ymmärtääkseen niiden vaikutuksen ja parantaakseen puolustusta.
- Se yhdistää staattisia, dynaamisia ja hybridilähestymistapoja IoC-tapahtumien poimimiseksi ja tunnettujen ja nollapäiväuhkien havaitsemiseksi.
- Se perustuu erillisiin laboratorioihin, hiekkalaatikoihin ja laajaan valikoimaan käänteisen suunnittelun työkaluja.
- Tuloksia hyödynnetään tietoturvaloukkausten torjunnassa, uhkien metsästyksessä ja kyberturvallisuustiedustelussa.
Haittaohjelmien analysoinnista on tullut yksi kriittisimmistä tehtävistä nykyaikaisessa kyberturvallisuudessa sekä yrityksille että kotikäyttäjille. Joka päivä ilmestyy uusia haittaohjelmakoodin muunnelmia, jotka voivat salata tiedostoja, varastaa tunnistetietoja tai vakoilla kaikkea, mitä teemme laitteillamme, joten tämän haittaohjelman tutkiminen ja havaitseminen ei ole enää vain erikoistuneiden laboratorioiden asia.
Haittaohjelmien systemaattinen tutkiminen ei ole pelkästään "nörttimäistä" toimintaa, vaan se mahdollistaa nopean reagoinnin tapauksiin, tunnistustunnisteiden luomisen, virustorjuntaohjelmistojen parantamisen ja yritysten puolustusalustojen kehittämisen. Tarkastellaanpa tarkemmin, mitä haittaohjelma-analyysi on, erityyppisiä haittaohjelmia, miten niitä käytetään jokapäiväisessä tietoturvassa, mitkä merkit viittaavat mahdolliseen tartuntaan ja mitä työkaluja ja tekniikoita ammattianalyytikot käyttävät.
Mitä haittaohjelma-analyysi on ja miksi se on niin tärkeää?
Kun puhumme haittaohjelma-analyysistä, tarkoitamme haittaohjelman (tai epäillyn haittaohjelman) perusteellista tutkimista sen ymmärtämiseksi, mitä se tekee, miten se tekee sen ja miten se voi vaikuttaa järjestelmään tai verkkoon. Tämä tutkimus voi olla manuaalista, jossa käytetään käänteisen suunnittelun ja virheenkorjaustekniikoita, tai siinä voidaan hyödyntää automatisoituja alustoja ja hiekkalaatikoita, jotka luokittelevat uhan ja raportoivat siitä.
Tämän prosessin ansiosta tietoturvatiimit voivat luokitella tapauksia vakavuustason mukaan , tunnistaa tietomurron indikaattoreita, parantaa varhaista havaitsemista, mukauttaa tietoturvaratkaisujensa sääntöjä ja ymmärtää, onko hyökkäyskampanja yksittäinen tapaus vai osa laajempaa, organisoituneempaa uhkaa.
Haittaohjelma-analyysi mahdollistaa myös haitallisten ohjelmistojen havaitsemisen ennen kuin ne aiheuttavat tuhoa , mikä on elintärkeää yritysympäristöissä, joissa yksittäinen kiristysohjelmatartunta voi lamauttaa organisaation koko toiminnan tai paljastaa arkaluonteisia asiakas- ja työntekijätietoja.
Haittaohjelmien tyypit ja tartuntaoireet
Termi ”haittaohjelma” on yleiskäsite, joka kattaa kaikenlaiset ohjelmat, jotka on suunniteltu aiheuttamaan vahinkoa tai toimimaan käyttäjän tai yrityksen etujen vastaisesti. Kaikki haittaohjelmat eivät toimi samalla tavalla eivätkä ne kaikki pyri samaan tavoitteeseen, mutta niillä on yhteinen piilevä ja haitallinen luonne.
Yleisimpien haittaohjelmatyyppien joukosta löydämme pitkän listan muunnelmia, joilla jokaisella on oma luonteensa:
- Virus: koodi, joka replikoi itseään käyttäjän avulla, yleensä avaamalla tartunnan saaneita tiedostoja tai suorittamalla tartunnan saaneita ohjelmia.
- Matoja: Ne leviävät automaattisesti hyödyntämällä verkon haavoittuvuuksia ilman käyttäjän toimia.
- Troijalaiset: Ne naamioituvat laillisiksi tai harmittomiksi ohjelmistoiksi hiipiäkseen järjestelmään herättämättä epäilyksiä.
- RAT (etäkäyttötroijalainen): Troijalainen hevonen, jonka tarkoituksena on antaa hyökkääjälle täydellinen etähallinta tietokoneesta.
- takaovi: takaportti, jonka avulla hyökkääjä voi suorittaa komentoja tai päästä järjestelmään ilman normaalia todennusta.
- Lataaja tai pudottaja: pieni ohjelma, jonka päätehtävänä on ladata ja suorittaa muita monimutkaisempia haittaohjelmia.
- Hacktool: hyökkäyksissä käytettävät työkalut (skannerit, raa'an voiman hyökkäykset jne.), jotka eivät aina ole täysin haitallisia.
- ransomware: Se salaa uhrin tiedostot ja vaatii maksua niiden palauttamiseksi.
- bot: komponentti, jonka avulla tiimi voidaan integroida bottiverkkoon koordinoitujen hyökkäysten käynnistämiseksi.
- Juurisarja: Ohjelmisto, joka on suunniteltu piilottamaan itsensä ja ylläpitämään pysyvää pääsyä korkeilla oikeuksilla.
- keylogger: Se tallentaa näppäinpainalluksia varastaakseen salasanoja, viestejä ja muita arkaluonteisia tietoja.
- Kaivosohjelmisto: Se käyttää tiimin resursseja kryptovaluuttojen louhimiseen ilman suostumusta.
- Tiedon varastaja: Se keskittyy tunnistetietojen, henkilötietojen tai taloudellisten tietojen varastamiseen.
- spyware: Se seuraa käyttäjien toimia ja lähettää tiedot hyökkääjälle ilman lupaa.
- PUP/PUA: mahdollisesti ei-toivotut ohjelmat, kuten selaimen työkalupalkit ja aggressiiviset mainosohjelmat.
- Adware: Se näyttää häiritsevää mainontaa ja voi muokata selainta tai järjestelmää.
Kaikki nämä haittaohjelmatyypit voivat vaikuttaa mihin tahansa nykyaikaiseen käyttöjärjestelmään : Windowsiin, Linuxiin, macOS:ään, Androidiin, iOS:ään ja muihin. Alustan vaihtaminen ei takaa turvallisuutta; se vain muuttaa kohtaamiesi uhkien tyyppejä.
Tartunnan oireet voivat vaihdella suuresti, mutta jotkin kaavat ovat melko yleisiä. Haittaohjelman tartuttama tietokone hidastuu tyypillisesti huomattavasti , tuuletin käynnistyy odottamatta, akun käyttöikä lyhenee merkittävästi ja näkyviin tulee ponnahdusikkunoita, selaintyökalurivejä, joita et muista asentaneesi, tai outoja virheilmoituksia ja näyttöjä.
Muita tyypillisiä ongelmia ovat äkillinen levytilan loppuminen , tiedostopäätteitä vaihtavat tiedostot, salaperäinen README-tiedosto, joka ilmoittaa kaiken olevan salattua (klassinen kiristysohjelmataktiikka), tai epätavallinen datan käyttö mobiililaitteilla. Usein nämä merkit viittaavat piilotettuihin prosesseihin, jotka kuluttavat resursseja taustalla.
Miten haittaohjelmat hiipivät laitteisiimme
Yleisin haittaohjelmien pääsykohta on edelleen tietojenkalasteluviestit . Hyökkääjä esiintyy pankkina, kuriiriyrityksenä, sähköyhtiönä tai jopa tuttavana ja yrittää huijata meidät napsauttamaan linkkiä tai avaamaan liitteen, joka todellisuudessa sisältää haitallista koodia.
Toinen hyvin yleinen tapa on ladata ohjelmistoja epävirallisilta verkkosivustoilta tai kolmannen osapuolen sovelluskaupoista. "Ilmaiset" ohjelmat, joissa on crack-tiedostoja, lisenssigeneraattoreita tai maksullisia aktivaattoreita, toimitetaan usein piilotetun haittaohjelman mukana, ja käyttäjät usein hyväksyvät niiden asennuksen lähes huomaamattaan.
Lisäksi on olemassa haittaohjelmaperheitä, jotka pystyvät hyödyntämään verkon haavoittuvuuksia ilman käyttäjän toimia, kuten WannaCryn, Confickerin, Blasterin, Slammerin ja Sasserin tapauksessa. Näissä tapauksissa mato tarvitsee vain olla yhteydessä haavoittuvaan verkkoon levitäkseen.
Tartunnan tarkka ratkaisu riippuu haittaohjelman tyypistä ja aiheutuneesta vahingosta, mutta kiristyshaittaohjelmien kaltaisissa tilanteissa lunnaiden maksaminen on vähiten suositeltavaa , koska se ruokkii laitonta liiketoimintaa eikä takaa tietojen palauttamista.
Milloin ja miksi suorittaa haittaohjelmatarkistus
Voit suorittaa haittaohjelmaskannauksen lähes milloin tahansa tarkistaaksesi tietokoneesi tilan , mutta on tilanteita, joissa se on erityisen suositeltavaa. Jos epäilet, että laitteesi on saattanut saada tartunnan tai jos haluat varmistaa, että aiempi tartunta on poistettu kokonaan, on järkevää suorittaa tarkistus välittömästi.
Merkkejä, jotka vaativat lisätutkimuksia, ovat merkittävä suorituskyvyn lasku , yllättävän alhainen akunkesto, selittämätön korkea datan käyttö tai mikä tahansa epätavallinen käyttäytyminen sovelluksissa ja järjestelmässä. Kaikki nämä oireet viittaavat tuntemattomiin prosesseihin, jotka kuluttavat resursseja hiljaa.
Integroidut työkalut, kuten Microsoft Defender , mahdollistavat nopeiden tai täydellisten skannausten suorittamisen. Kun skannaus on valmis, järjestelmä itse ilmoittaa, jos jotain epäilyttävää on löydetty, ja monissa tapauksissa tarjoaa automaattisia vaihtoehtoja havaitun uhan karanteeniin asettamiseksi tai poistamiseksi.
Haittaohjelmien analysoinnin tyypit ja vaiheet
Analyytikot käyttävät erilaisia lähestymistapoja ymmärtääkseen, miten uhka toimii. Klassinen ero on staattinen analyysi, dynaaminen analyysi ja hybridi-analyysi , mutta käytännössä prosessi on yleensä organisoitu useisiin vaiheisiin, jotka monimutkaistuvat tutkinnan edetessä.
Ensimmäisessä vaiheessa käytetään yleensä automatisoituja skannausanalyysejä . Alustat, kuten VirusTotal tai yritysten hiekkalaatikot, vertaavat näytettä tunnettujen uhkien tietokantoihin, suorittavat tiedostoa valvotuissa ympäristöissä ja luovat raportteja verkkoliikenteestä, tiedostotoiminnasta, rekisterimuutoksista ja muista keskeisistä toiminnoista.
Seuraavaksi analysoidaan staattisia ominaisuuksia , joissa tiedostoa tutkitaan ilman suoritusta: tiivisteitä, upotettuja merkkijonoja, resursseja, metatietoja, PE-otsikoita ja muita vastaavia muotoja. Työkalut, kuten PeStudio, PE-bear tai pefile, mahdollistavat sisäisen rakenteen visualisoinnin ja hämärrettyjen allekirjoitusten, URL-osoitteiden tai IP-osoitteiden paikantamisen.
Dynaaminen analyysi tarkoittaa haittaohjelman suorittamista eristetyssä ympäristössä (Windows-virtuaalikoneet, jakelut, kuten REMnux jne.) ja luotujen prosessien, tiedostojärjestelmän muutosten, rekisteriavainten, verkkoyhteyksien, palveluiden tai luotujen mutexien reaaliaikaista tarkkailua. Tässä kohtaa kuvaan tulevat edistyneet valvontatyökalut, kuten Process Monitor, tai verkon sieppaustyökalut, kuten Wireshark.
Lopuksi, perusteellisimmassa vaiheessa, asiantuntijat purkavat koodin takaisinmallintamisen käyttämällä purkajia ja dekompilereita (IDA, Ghidra, Radare, DnSpy, Jadx jne.). Käyttämällä debuggereja, kuten x64dbg tai WinDbg, he käyvät läpi suorituksen, analysoivat API-kutsuja, purkavat sisäisten kokoonpanojen salauksen ja tunnistavat kriittiset salaus-, vuoto- tai väistörutiinit.
Haittaohjelma-analyysin käyttötapaukset
Kaiken tämän työn perimmäisenä tavoitteena on saada toimintakelpoista tietoa uhasta , mikä pätee moniin päivittäisen kyberturvallisuuden osa-alueisiin. Kyse ei ole pelkästään haittaohjelman ohjelmoinnin "vakoilusta", vaan organisaation yleisen puolustuksen parantamisesta.
Yksi tyypillinen skenaario on tietomurtoon reagointi . Kun epäilyttävää toimintaa tai tunkeutumista havaitaan, reagointitiimin on tiedettävä, minkä tyyppinen haittaohjelma sen takana on, mitä toimia se suorittaa, mitä järjestelmiä se on vaarantanut ja miten se voidaan poistaa jälkiä jättämättä. Analyysin avulla he voivat määritellä tietomurron laajuuden ja suunnitella toipumisen.
Sitä käytetään myös laajasti haittaohjelmien tutkimuksessa ja havaitsemisessa sekä akateemisella että teollisella tasolla. Tietoturvayritysten laboratoriot ja tutkimusryhmät perehtyvät tiettyihin haittaohjelmaperheisiin (esim. TrickBot, FIN7 ja muut) selvittääkseen niiden koko hyökkäysketjun, ymmärtääkseen niiden kehitystä ja suunnitellakseen parempia puolustusmekanismeja.
Kolmas keskeinen käyttötarkoitus on tietomurron indikaattoreiden (IoC) poimiminen . Jokaisesta näytteestä poimitaan tiedostojen, IP-osoitteiden, verkkotunnusten, rekisteripolkujen, prosessien nimien tai merkkijonokuvioiden tiivisteet, joita voidaan sitten käyttää automaattiseen tunnistukseen SIEM:ssä, EDR:ssä ja muilla alustoilla.
Analyysi parantaa myös ennakoivaa uhkien metsästystä . Ymmärtämällä perusteellisesti variantin käyttäytymisen metsästäjät voivat seurata hienovaraisia jälkiä organisaation järjestelmissä ja paljastaa aiemmin havaitsemattomia tartuntoja tai hiljaista sivuttaisliikettä.
Lopuksi, kaikki tämä tieto rikastuttaa hälytyksiä ja uhkien luokittelua , mikä auttaa priorisoimaan, mitkä tapaukset vaativat välitöntä huomiota ja mitkä voidaan käsitellä rauhallisemmin. Nykyaikaiset päätepisteiden tietoturva- ja XDR-ratkaisut hyödyntävät tätä dataa kontekstualisoidakseen reaaliaikaista tilannetta.
Haittaohjelma-analyysin strategiset edut
Yksi selkeimmistä eduista on arvokkaan uhkatiedon tuottaminen . Jokainen analysoitu otos tarjoaa uusia IoC-tavoitteita ja TTP-tavoitteita (tekniikoita, taktiikoita ja menettelyjä), jotka integroidaan tunnistusmoottoreihin, Yaran sääntöihin, mustiin listoihin ja mainejärjestelmiin.
Lisäksi perusteellinen analyysi parantaa haittaohjelmien toiminnallista ymmärrystä : niiden tarkoitusta, pysyvyysmekanismeja, hyödyntämiään haavoittuvuuksia ja väistötekniikoita. Tämä mahdollistaa korjauspäivitysten kehittämisen, kokoonpanojen vahvistamisen ja erityisten kontrollien suunnittelun sen toiminnan estämiseksi.
Emme saa unohtaa nollapäivähaavoittuvuusanalyysin näkökulmaa . Kun esimerkki hyödyntää tuntematonta heikkoutta, hyväksikäytön huolellinen tutkiminen auttaa tunnistamaan taustalla olevan heikkouden ja kehittämään vankkoja tietoturvapäivityksiä tai lieventäviä toimenpiteitä.
Lopuksi, haittaohjelma-analyysi on erinomainen oppimis- ja taitojen kehittämistyökalu kyberturvallisuusalan ammattilaisille. Todellisten uhkien toiminnan tarkkaileminen on paras tapa ymmärtää, mikä todella toimii puolustusmaailmassa ja mikä ei.
Analyysiympäristön luominen ja suojaaminen
Ennen kuin näytteiden ajamista aletaan kiirehtiä aivan kuin huomista ei olisi, on tärkeää rakentaa kontrolloitu laboratorio . Tavallinen lähestymistapa on perustaa Windows 10 -virtuaalikoneita ja erikoistuneita jakeluita, kuten REMnux Linux , jotka on yhdistetty toisiinsa yksityisessä verkossa, joka on eristetty muusta infrastruktuurista.
Näihin koneisiin on asennettu erityisiä työkaluja, kuten analyysipaketteja (esimerkiksi RevCore Toolsin, Sysinternalsin, purkajien ja virheenkorjaajien kaltaisia apuohjelmia) . Lisäksi liikenteen sieppaus on määritetty tallentamaan kaikki, mitä näyte yrittää lähettää tai vastaanottaa verkon kautta.
On tärkeää pitää mielessä, että monet haittaohjelmat havaitsevat, toimivatko ne virtuaaliympäristöissä vai hiekkalaatikoissa , ja muuttavat toimintaansa: ne siirtyvät lepotilaan, tuottavat väärennettyä dataa tai välttävät varsinaisen hyötykuormansa suorittamista. Siksi on yleistä "virittää" virtuaalikoneita, jotta ne näyttäisivät oikeilta järjestelmiltä: säätämällä ydinten määrää, levyn kokoa, dokumenttien läsnäoloa, hiiren käyttöä ja niin edelleen.
Jos haittaohjelma uskoo olevansa "ystävällisessä" ympäristössä (oikeassa tai riittävän vakuuttavassa koneessa), se tyypillisesti luo pysyvyysmekanismeja Windowsin rekisterin tai järjestelmäpalveluiden kautta, jotta se toimii jokaisen käynnistyksen tai kirjautumisen yhteydessä. Avaimet, kuten Run, RunOnce, Winlogon, AppInit_DLL, tai sijainnit käynnistyskansioissa ovat hotspotteja, joita analyytikot skannaavat työkaluilla, kuten Autoruns.
Haittaohjelmien analysointityökalut
Haittaohjelma-analyytikon arsenaali yhdistää matalan tason apuohjelmia ja automatisoituja alustoja . Ei ole olemassa yhtä ainoaa taikatyökalua; jokainen esimerkki saattaa vaatia erilaisen sarjan kielestä, paketoinnista ja toimintatyypistä riippuen.
Staattisen analyysin alalla erottuvat edukseen disassemblerit ja dekompilerit , kuten IDA, Ghidra ja Radare. Ne muuntavat konekielen muotoon assembly-kielellä ja usein myös helpommin luettavaksi korkean tason pseudokoodiksi. .NET- tai Java-binääreille käytetään laajalti DnSpy- ja Jadx-ohjelmia.
Virheenkorjaustyökalut , kuten x64dbg tai WinDbg, mahdollistavat haittaohjelmien suorittamisen vaiheittain, kriittisten API-rajapintojen (prosessien luonti, kryptografia, tietoliikenne) keskeytyspisteiden asettamisen ja muistin ja rekisterien käsittelyn reaaliajassa. Vanhemmilla työkaluilla, kuten OllyDbg tai Immunity Debugger, on edelleen paikkansa, erityisesti erikoistuneiden komentosarjojen hyödyntämisen analysoinnissa.
Järjestelmän reaaliaikaisen toiminnan tarkkailuun käytetään edistyneitä monitoreja , kuten Process Explorer, Process Monitor, TCPView tai Autoruns (kaikki Sysinternalsilta), jotka näyttävät prosessit, säikeet, tiedostojen käyttöoikeudet, verkkoyhteydet ja pysyvyyspisteet erittäin yksityiskohtaisesti.
PE-tiedostomuotojen ja vastaavien tiedostomuotojen analysointiin työkalut, kuten PeStudio, PE-bear ja pefile, helpottavat osioiden tutkimista, merkintöjen tuontia ja vientiä, upotettuja resursseja ja mahdollisesti epäilyttäviä allekirjoituksia. Heksakoodieditorit, kuten HxD, voivat tutkia mitä tahansa tiedostoa tavu tavulta ja muokata sitä tarvittaessa.
Verkkoliikennettä analysoidaan tyypillisesti Wiresharkilla tai muilla analysaattoreilla , jotka paljastavat komento- ja ohjausalueet, käytetyt protokollat, vuodatetut tiedot tai salaiset tunnelit. Yara-säännöt ovat puolestaan välttämättömiä tiettyjen perheiden tunnistamiseksi suurista otoskokoelmista.
Suosittuja analysointi- ja suojaustyökaluja yrityksissä
Yritysmaailmassa monet organisaatiot luottavat matalan tason apuohjelmien lisäksi kaupallisiin ratkaisuihin ja keskitettyihin alustoihin päätepisteidensä suojaamiseen ja epäilyttävien tiedostojen analysointiin.
Parhaiden vaihtoehtojen joukossa ovat ohjelmistopaketit, kuten Malwarebytes, McAfee, F-Secure, AVG, Avast, Norton, Kaspersky ja Comodo , sekä erikoistuneet työkalut ja hiekkalaatikot, kuten Cuckoo Sandbox. Nämä työkalut yhdistävät reaaliaikaisen analyysin, allekirjoituspohjaisen tunnistuksen, käyttäytymisanalyysin ja tapauksiin reagointiominaisuudet.
Edistyneet alustat, kuten CrowdStrike Falcon tai SentinelOne, integroivat haittaohjelma-analyysin EDR/XDR-tarjontaansa, minkä ansiosta ne pystyvät havaitsemaan paitsi tunnettuja variantteja myös uusia ja nollapäiväuhkia koneoppimisen ja integroidun hiekkalaatikon ansiosta. Tulokset esitetään keskitetyissä konsoleissa yhdessä muiden tietoturva-antureiden tietojen kanssa.
Jopa perinteiset ratkaisut, kuten Kaspersky Endpoint Security, tarjoavat useita tarkistustiloja, jotka on suunniteltu tasapainottamaan tietoturvaa ja suorituskykyä: täysi tarkistus (tarkistaa ytimen muistin, käynnistyssektorit, varmuuskopiot, kaikki levyt), kriittisten alueiden tarkistus (keskittyen muistiin, aktiivisiin prosesseihin ja käynnistyssektoreihin), mukautettu tarkistus (käyttäjän valitsemat segmentit) ja taustalla tehtävä tarkistus (vähemmän tunkeileva tarkistus, joka minimoi vaikutuksen resursseihin).
Miten haittaohjelmat piiloutuvat ja puolustautuvat analyyseiltä
Haittaohjelmien tekijät ovat hyvin tietoisia siitä, että heidän luomuksensa lopulta skannataan verkkoanalyysialustoilla ja -laboratorioissa , joten he sisällyttävät mekanismeja näiden ympäristöjen havaitsemiseksi ja välttämiseksi. Heidän tavoitteenaan on joko välttää suorittaminen kokonaan tai tuottaa harhaanjohtavia tuloksia, kun he aistivat olevansa seurannassa.
Tavanomaisiin tarkistuksiin kuuluvat laitteisto- ja järjestelmäparametrit , kuten suorittimen ytimien lukumäärä, levyn koko, virtuaalikoneihin liittyvä MAC-osoite, näppäimistön kieli, isäntä- tai käyttäjätunnus sekä tiettyjen virtualisoituja ympäristöjä paljastavien rekisteriavainten olemassaolo.
Haittaohjelma voi myös skannata käynnissä olevia prosesseja virustorjunnan, EDR:n, virheenkorjaajien tai tiettyjen analyysityökalujen varalta. Jos se havaitsee jonkin näistä indikaattoreista, se voi pysäyttää suorituksen, aktivoida väärennettyjä koodipolkuja tai yksinkertaisesti käyttäytyä kuin vaaraton ohjelma.
Toinen klassinen kikka on tarkistaa kulunut aika tai suorituspäivämäärä käyttämällä laajennettuja unifunktioita automatisoitujen hiekkalaatikoiden analyysiajan loppuunsaattamiseksi. Kun analyysi päättyy ja tiedosto palaa todelliseen ympäristöön, haittaohjelma herää ja toimii normaalisti.
Asiaa mutkistaa entisestään se, että monet hyökkääjät käyttävät kryptaus- ja pakkaamisohjelmia , jotka salaavat tai hämärtävät alkuperäisen binääritiedoston. Builder-työkalu luo lopullisen suoritettavan tiedoston useilla suojauskerroksilla, ja Stub-työkalu vastaa varsinaisen hyötytiedoston salauksen purkamisesta ja käynnistämisestä, usein suoraan muistiin (suorituksenaikainen) levylle kirjoittamisen sijaan (skannausaikainen), mikä vaikeuttaa sen sieppaamista ja myöhempää analysointia.
Staattiset ja dynaamiset analyysimenetelmät käytännössä
Tarkassa staattisessa analyysissä analyytikko välttää otoksen suorittamista ja keskittyy purkamiseen, purkamiseen ja sisäisen logiikan ymmärtämiseen . Merkkijonot puretaan merkkijonoilla tai FLOSS-työkaluilla (jotka hakevat puretut merkkijonot suorituksen aikana), API-tuonteja tarkastellaan toiminnan päättelemiseksi ja perheet tunnistetaan Yara-sääntöjen avulla.
Seuraava vaihe sisältää tyypillisesti ohjelman purkamisen ja takaisinkääntämisen , ohjelman kulun, kriittisten toimintojen ja mahdollisten salaukseen, etätietoliikenteeseen, pysyvyyteen tai oikeuksien eskalointiin liittyvien koodilohkojen tutkimisen. Haittaohjelman sisäistä kokoonpanoa (C2-palvelimet, salausavaimet, asennuspolut) tutkitaan usein arvokkaiden IoC-tietojen hankkimiseksi.
Dynaamisessa analyysissä, jossa on hyvin määritelty ympäristö, otos suoritetaan staattisessa analyysissä luotujen hypoteesien varmentamiseksi . Prosessien luomista, tiedostojen muokkaamista, Windowsin rekisteriin kirjoittamista, verkkoliikennettä, palveluiden luomista ja mutexeja seurataan. Kaikkia näitä tietoja korreloidaan uhan tunnistamiseksi ja määrittelemiseksi.
Verkkopohjaiset analyysityökalut yhdistävät molemmat lähestymistavat ja voivat olla hyvä ensimmäinen askel. Ne eivät kuitenkaan ole erehtymättömiä : ne saattavat jättää huomaamatta uusia tai hyvin hämärän peitossa olevia perheitä, mutta ne tarjoavat yleensä riittävästi vihjeitä ja tiedonkeruutuloksia perusteellisempien laboratoriotutkimusten tekemiseksi.
Koko prosessin ajan analyytikot pystyvät nimeämään tietyn perheen tai variantin , dokumentoimaan sen TTP:t ja luomaan sääntöjä, joiden avulla se voidaan tunnistaa muissa järjestelmissä tai tulevissa kampanjoissa, sulkeen siten analyysin ja puolustuksen välisen kierteen.
Tilanteessa, jossa satoja uusia esimerkkejä paljastuu päivittäin, vankat haittaohjelma-analyysiominaisuudet ratkaisevat, pysytäänkö aina askeleen hyökkääjien takana vai ennakoidaanko heidän liikkeitään, havaitaanko ja estetäänkö uhat ennen kuin niistä tulee merkittävä ongelma käyttäjille ja organisaatioille.
