Udhëzues i plotë për analizën e malware-it për të mbrojtur sistemet tuaja

Informatec Digital » Burime » Udhëzues i plotë për analizën e malware-it për të mbrojtur sistemet tuaja

Analiza e programeve keqdashëse është bërë një nga detyrat më kritike në sigurinë kibernetike moderne , si për bizneset ashtu edhe për përdoruesit shtëpiakë. Çdo ditë, shfaqen variante të reja të kodit keqdashës që mund të enkriptojnë skedarë, të vjedhin kredencialet ose të spiunojnë gjithçka që bëjmë në pajisjet tona, kështu që të kuptuarit se si të studiojmë dhe zbulojmë këtë program të dëmshëm nuk është më domen ekskluziv i laboratorëve të specializuar.

Larg të qenit një aktivitet thjesht "i çuditshëm", studimi sistematik i programeve keqdashëse është ai që lejon reagim të shpejtë ndaj incidenteve, gjenerimin e nënshkrimeve të zbulimit, përmirësimin e softuerëve antivirus dhe zhvillimin e platformave mbrojtëse të ndërmarrjeve. Le të hedhim një vështrim më të afërt se çfarë është analiza e programeve keqdashëse, llojet e ndryshme të programeve keqdashëse, si përdoret në sigurinë e përditshme, cilat shenja tregojnë një infeksion të mundshëm dhe cilat mjete dhe teknika përdorin analistët profesionistë.

Çfarë është analiza e programeve keqdashëse dhe pse është kaq e rëndësishme?

Kur flasim për analizën e programeve keqdashëse, nënkuptojmë shqyrtimin në thellësi të një programi keqdashës (ose një programi të dyshuar si keqdashës) për të kuptuar se çfarë bën, si e bën dhe çfarë ndikimi mund të ketë në një sistem ose rrjet. Ky shqyrtim mund të jetë manual, duke përdorur teknika të inxhinierisë së kundërt dhe debugging-ut, ose mund të shfrytëzojë platformat dhe sandbox-et e automatizuara që klasifikojnë dhe raportojnë mbi kërcënimin.

Falë këtij procesi, ekipet e sigurisë mund të klasifikojnë incidentet sipas nivelit të ashpërsisë , të nxjerrin tregues të kompromentimit (IoC), të përmirësojnë zbulimin e hershëm, të përshtatin rregullat e zgjidhjeve të tyre të sigurisë dhe të kuptojnë nëse një fushatë sulmi është një incident i izoluar apo pjesë e një kërcënimi më të gjerë dhe më të organizuar.

Analiza e programeve keqdashëse lejon gjithashtu zbulimin e softuerëve të dëmshëm përpara se të shkaktojnë kaos , diçka thelbësore në mjediset e korporatave ku një infeksion i vetëm me ransomware mund të paralizojë të gjithë operacionin e një organizate ose të ekspozojë të dhëna të ndjeshme të klientëve dhe punonjësve.

Llojet e programeve keqdashëse dhe simptomat e infeksionit

Termi "malware" është një term gjithëpërfshirës që përfshin të gjitha llojet e programeve të dizajnuara për të shkaktuar dëm ose për të vepruar kundër interesave të përdoruesit ose të kompanisë. Jo të gjitha programet malware sillen në të njëjtën mënyrë, as nuk ndjekin të gjitha të njëjtin objektiv, por ato ndajnë një natyrë të fshehtë dhe të dëmshme.

Ndër llojet më të zakonshme të programeve keqdashëse, gjejmë një listë të gjatë variantesh, secila me personalitetin e vet:

• virus: kod që replikohet vetë me ndihmën e përdoruesit, zakonisht duke hapur skedarë të infektuar ose duke ekzekutuar programe të infektuara.
• Krimbat: Ato përhapen automatikisht duke shfrytëzuar dobësitë e rrjetit, pa pasur nevojë për ndërhyrjen e përdoruesit.
• Trojans: Ata maskohen si softuer i ligjshëm ose i padëmshëm për t'u futur fshehurazi në sistem pa ngjallur dyshime.
• RAT (Trojan me Qasje në Distancë): Kalë Trojan i projektuar për t'i dhënë sulmuesit kontroll të plotë nga distanca mbi kompjuterin.
• dera e pasme: Një derë e pasme që i lejon një sulmuesi të ekzekutojë komanda ose të hyjë në sistem pa autentifikim normal.
• Shkarkues ose lëshues: program i vogël, misioni kryesor i të cilit është të shkarkojë dhe ekzekutojë programe të tjera keqdashëse më komplekse.
• Hacktool: Mjetet e përdorura për sulme (skanera, forca brutale, etj.), të cilat nuk janë gjithmonë rreptësisht keqdashëse.
• ransomware: Ai i enkripton skedarët e viktimës dhe kërkon pagesë për t'i rikuperuar ato gjoja.
• bot: komponent që lejon ekipin të integrohet në një botnet për të nisur sulme të koordinuara.
• Kompleti rrënjë: Softuer i projektuar për t'u fshehur dhe për të ruajtur akses të vazhdueshëm me privilegje të larta.
• Keylogger: Ai regjistron shtypjet e tastierës për të vjedhur fjalëkalime, mesazhe dhe të dhëna të tjera të ndjeshme.
• Softuer për miniera: Përdor burimet e ekipit për të minuar kriptovaluta pa pëlqimin e tij.
• Vjedhës informacioni: Ai përqendrohet në vjedhjen e kredencialeve, informacionit personal ose të dhënave financiare.
• Spyware: Monitoron aktivitetin e përdoruesit dhe ia dërgon informacionin sulmuesit pa leje.
• KËLLIU/PUA: programe potencialisht të padëshiruara, të tilla si shiritat e veglave të shfletuesit dhe programet reklamuese agresive.
• Adware: Shfaq reklama ndërhyrëse dhe mund të modifikojë shfletuesin ose sistemin.

Të gjitha këto lloje të programeve keqdashëse mund të ndikojnë në çdo sistem operativ modern : Windows, Linux, macOS, Android, iOS dhe të tjerë. Ndryshimi i platformave nuk garanton siguri; ai vetëm modifikon llojet e kërcënimeve që do të hasni.

Simptomat e infeksionit mund të ndryshojnë shumë, por disa modele janë mjaft të zakonshme. Një kompjuter i infektuar me programe keqdashëse zakonisht ngadalësohet ndjeshëm , ventilatori rrotullohet papritur, jetëgjatësia e baterisë zvogëlohet ndjeshëm dhe shfaqen dritare që shfaqen, shirita veglash të shfletuesit që nuk i mbani mend t'i keni instaluar, ose mesazhe dhe ekrane të çuditshme gabimi.

Probleme të tjera tipike përfshijnë mungesën e papritur të hapësirës në disk , skedarët që ndryshojnë zgjerimet, një skedar misterioz README që deklaron se gjithçka është e enkriptuar (një taktikë klasike e ransomware-it) ose përdorim të pazakontë të të dhënave në pajisjet mobile. Shpesh, këto shenja tregojnë procese të fshehura që konsumojnë burime në sfond.

Si depërton malware në pajisjet tona

Pika më e zakonshme e hyrjes për programet keqdashëse mbeten emailet “phishing” . Sulmuesi imiton një bankë, një kompani korrieri, një shërbim shërbimesh, apo edhe një të njohur, dhe përpiqet të na mashtrojë që të klikojmë një lidhje ose të hapim një bashkëngjitje që në fakt përmban kod keqdashës.

Një metodë tjetër shumë e zakonshme është shkarkimi i softuerëve nga faqet e internetit jozyrtare ose dyqanet e aplikacioneve të palëve të treta. Programet "falas" me crack-e, gjeneratorë licencash ose aktivizues me pagesë shpesh vijnë të paketuara me malware të maskuar dhe përdoruesit shpesh e pranojnë instalimin e tyre pothuajse pa e kuptuar.

Për më tepër, ekzistojnë familje programesh keqdashëse të afta të shfrytëzojnë dobësitë e rrjetit pa ndërhyrjen e përdoruesit, siç ishte rasti me WannaCry, Conficker, Blaster, Slammer dhe Sasser. Në këto raste, krimbi vetëm duhet të lidhet me një rrjet të cenueshëm për t'u përhapur.

Zgjidhja specifike për një infeksion do të varet nga lloji i malware-it dhe dëmi i shkaktuar, por në skenarë si ransomware-i, gjëja më pak e këshillueshme për të bërë është të paguani shpërblimin , sepse ai ushqen biznesin e paligjshëm dhe nuk garanton rikuperimin e të dhënave.

Kur dhe pse të ekzekutoni një skanim për malware

Mund të kryeni një skanim për programe keqdashëse pothuajse sa herë që dëshironi të kontrolloni statusin e kompjuterit tuaj , por ka raste kur është veçanërisht e këshillueshme. Nëse dyshoni se pajisja juaj mund të jetë infektuar ose nëse doni të siguroheni që një infeksion i mëparshëm është hequr plotësisht, ka kuptim të kryeni një skanim menjëherë.

Shenjat që kërkojnë hetime të mëtejshme përfshijnë një rënie të ndjeshme të performancës , jetëgjatësi çuditërisht të ulët të baterisë, përdorim të lartë të të dhënave të pashpjegueshme ose çdo sjellje të pazakontë në aplikacione dhe në sistem. Të gjitha këto simptoma tregojnë për procese të panjohura që konsumojnë burime në heshtje.

Mjetet e integruara si Microsoft Defender ju lejojnë të kryeni skanime të shpejta ose të plota. Kur skanimi të përfundojë, vetë sistemi tregon nëse është gjetur diçka e dyshimtë dhe në shumë raste ofron opsione automatike për karantinën ose heqjen e kërcënimit të zbuluar.

Llojet dhe fazat e analizës së malware-it

Analistët përdorin qasje të ndryshme për të kuptuar se si funksionon një kërcënim. Dallimi klasik është midis analizës statike, analizës dinamike dhe analizës hibride , por në praktikë, procesi zakonisht organizohet në disa faza që bëhen gjithnjë e më komplekse ndërsa hetimi përparon.

Në fazën e parë, zakonisht përdoren analiza të automatizuara të skanimit . Platforma të tilla si VirusTotal ose sandbox-et e korporatave krahasojnë mostrën me bazat e të dhënave të kërcënimeve të njohura, ekzekutojnë skedarin në mjedise të kontrolluara dhe gjenerojnë raporte me trafikun e rrjetit, aktivitetin e skedarëve, ndryshimet në regjistër dhe sjellje të tjera kyçe.

Më pas vjen analiza e vetive statike , ku skedari shqyrtohet pa ekzekutim: hashe, vargje të ngulitura, burime, meta të dhëna, header PE dhe formate të tjera të ngjashme. Mjete si PeStudio, PE-bear ose pefile ju lejojnë të vizualizoni strukturën e brendshme dhe të gjeni nënshkrime, URL ose adresa IP të turbullta.

Analiza dinamike përfshin ekzekutimin e malware-it në një mjedis të izoluar (makina virtuale Windows, shpërndarje si REMnux, etj.) dhe vëzhgimin në kohë reale të proceseve të krijuara, modifikimeve të sistemit të skedarëve, çelësave të regjistrit, lidhjeve të rrjetit, shërbimeve ose mutex-eve të gjeneruara. Këtu hyjnë në lojë monitorët e përparuar si Process Monitor ose mjetet e kapjes së rrjetit si Wireshark.

Së fundmi, në fazën më të thelluar, specialistët kryejnë inxhinieri të kundërt të kodit duke përdorur çmontues dhe dekompilues (IDA, Ghidra, Radare, DnSpy, Jadx, etj.). Duke përdorur debuggers si x64dbg ose WinDbg, ata kalojnë nëpër ekzekutim, analizojnë thirrjet API, deshifrojnë konfigurimet e brendshme dhe identifikojnë rutinat kritike të enkriptimit, nxjerrjes ose shmangies.

Rastet e përdorimit të analizës së programeve keqdashëse

Qëllimi përfundimtar i gjithë kësaj pune është të merret informacion i zbatueshëm në lidhje me kërcënimin , diçka që vlen për shumë aspekte të sigurisë kibernetike të përditshme. Nuk bëhet fjalë vetëm për "përgjimin" e mënyrës se si programohet një program keqdashës, por për përmirësimin e mbrojtjes së përgjithshme të organizatës.

Një skenar tipik është reagimi ndaj incidentit . Kur zbulohet sjellje e dyshimtë ose një ndërhyrje, ekipi i reagimit duhet të dijë se çfarë lloj programi keqdashës fshihet pas tij, çfarë veprimesh kryen, cilat sisteme ka kompromentuar dhe si ta zhdukë atë pa lënë gjurmë. Analiza u lejon atyre të përcaktojnë fushëveprimin e incidentit dhe të planifikojnë rikuperimin.

Përdoret gjithashtu gjerësisht në kërkimin dhe zbulimin e programeve keqdashëse si në nivel akademik ashtu edhe në atë industrial. Laboratorët dhe grupet kërkimore të kompanive të sigurisë hulumtojnë familje specifike të programeve keqdashëse (p.sh., TrickBot, FIN7 dhe të tjerë) për të zbuluar zinxhirin e tyre të plotë të sulmit, për të kuptuar evolucionin e tyre dhe për të hartuar mekanizma më të mirë mbrojtës.

Një përdorim i tretë kyç është nxjerrja e treguesve të kompromentimit (IoC) . Nga çdo mostër, nxirren hash-e të skedarëve, adresave IP, domeneve, shtigjeve të regjistrit, emrave të proceseve ose modeleve të vargjeve, të cilat më pas mund të përdoren për zbulim të automatizuar në SIEM, EDR dhe platforma të tjera.

Analiza gjithashtu përmirëson gjuetinë proaktive të kërcënimeve . Duke kuptuar plotësisht se si sillet një variant, gjuetarët mund të gjurmojnë gjurmë delikate brenda sistemeve të një organizate për të zbuluar infeksione të pazbuluara më parë ose lëvizje anësore të heshtura.

Së fundmi, i gjithë ky informacion pasuron alarmet dhe klasifikimin e kërcënimeve , duke ndihmuar në përcaktimin e përparësive se cilat incidente kërkojnë vëmendje të menjëhershme dhe cilat mund të trajtohen më me qetësi. Zgjidhjet moderne të sigurisë së pikave të fundit dhe XDR përfshijnë këto të dhëna për të kontekstualizuar atë që po ndodh në kohë reale.

Avantazhet strategjike të analizës së malware-it

Ndër përfitimet më të qarta është gjenerimi i inteligjencës së kërcënimeve me vlerë të lartë . Çdo mostër e analizuar ofron IoC dhe TTP (teknika, taktika dhe procedura) të reja që janë të integruara në motorët e zbulimit, rregullat Yara, listat e zeza dhe sistemet e reputacionit.

Për më tepër, analiza e thelluar përmirëson kuptimin funksional të malware-it : qëllimin e tij, mekanizmat e tij të qëndrueshmërisë, dobësitë që shfrytëzon dhe teknikat e shmangies së tij. Kjo lejon zhvillimin e patch-eve, forcimin e konfigurimeve dhe hartimin e kontrolleve specifike për të bllokuar funksionimin e tij.

Nuk duhet të harrojmë aspektin e analizës së dobësive zero-ditore . Kur një mostër shfrytëzon një të metë të panjohur, studimi me kujdes i shfrytëzimit ndihmon në identifikimin e dobësisë themelore dhe në zhvillimin e përditësimeve të fuqishme të sigurisë ose masave zbutëse.

Së fundmi, analiza e programeve keqdashëse është një mjet i shkëlqyer për të mësuar dhe zhvilluar aftësi për profesionistët e sigurisë kibernetike. Vëzhgimi i mënyrës se si funksionojnë kërcënimet reale është mënyra më e mirë për të kuptuar se çfarë funksionon vërtet në botën mbrojtëse dhe çfarë jo.

Krijimi dhe mbrojtja e mjedisit të analizës

Përpara se të nxitoheni të ekzekutoni mostra sikur të mos kishte të nesërme, është thelbësore të ndërtoni një laborator të kontrolluar . Qasja e zakonshme është të konfiguroni makina virtuale të Windows 10 dhe shpërndarje të specializuara si REMnux Linux , të lidhura me njëra-tjetrën në një rrjet privat të izoluar nga pjesa tjetër e infrastrukturës.

Mjete specifike siç janë paketat e analizës (për shembull, koleksione shërbimesh si RevCore Tools, Sysinternals, disassemblers dhe debuggers) janë instaluar në këto makina . Përveç kësaj, kapja e trafikut është konfiguruar për të regjistruar gjithçka që mostra përpiqet të dërgojë ose marrë në rrjet.

Është e rëndësishme të mbani mend se shumë programe keqdashëse zbulojnë nëse po funksionojnë në mjedise virtuale apo në sandboxe dhe ndryshojnë sjelljen e tyre: kalojnë në modalitetin e gjumit, gjenerojnë të dhëna të rreme ose shmangin ekzekutimin e ngarkesës së tyre aktuale. Kjo është arsyeja pse është e zakonshme të "akordohen" makinat virtuale në mënyrë që ato të duken si sisteme reale: duke rregulluar numrin e bërthamave, madhësinë e diskut, praninë e dokumenteve, përdorimin e miut e kështu me radhë.

Nëse programi keqdashës beson se ndodhet në një mjedis "miqësor" (një makinë të vërtetë ose një që është mjaftueshëm bindëse), ai zakonisht krijon mekanizma këmbënguljeje përmes Regjistrit të Windows ose shërbimeve të sistemit, në mënyrë që të funksionojë në çdo nisje ose hyrje. Çelësa si Run, RunOnce, Winlogon, AppInit_DLL ose vendndodhjet në dosjet e fillimit janë pika të nxehta që analistët skanojnë me mjete si Autoruns.

Mjetet e analizës së programeve keqdashëse

Arsenali i një analisti të programeve keqdashëse kombinon shërbime të nivelit të ulët dhe platforma të automatizuara . Nuk ka një mjet të vetëm magjik; çdo mostër mund të kërkojë një grup të ndryshëm në varësi të gjuhës, paketimit dhe llojit të sjelljes.

Në fushën e analizës statike, dallohen disassemblerët dhe dekompiluesit si IDA, Ghidra dhe Radare. Ata e konvertojnë kodin e makinës në gjuhë assembly dhe, shpesh, në pseudokod të nivelit të lartë që është më i lehtë për t’u lexuar. Për skedarët binare .NET ose Java, përdoren gjerësisht DnSpy dhe Jadx.

Debuggerët si x64dbg ose WinDbg ju lejojnë të ekzekutoni programe keqdashëse hap pas hapi, të vendosni pika ndalimi në API-të kritike (krijimi i proceseve, kriptografia, komunikimet) dhe të vëzhgoni se si manipulon kujtesën dhe regjistrat në kohë reale. Mjetet më të vjetra si OllyDbg ose Immunity Debugger ende kanë vendin e tyre, veçanërisht në analizimin e shfrytëzimeve me skripte të specializuara.

Për të vëzhguar aktivitetin e sistemit drejtpërdrejt, përdoren monitorë të përparuar si Process Explorer, Process Monitor, TCPView ose Autoruns (të gjithë nga Sysinternals), të cilët tregojnë proceset, fijet, qasjet në skedarë, lidhjet e rrjetit dhe pikat e qëndrueshmërisë me shumë detaje.

Për analizimin e PE dhe formateve të ngjashme, mjete si PeStudio, PE-bear dhe pefile e bëjnë të lehtë inspektimin e seksioneve, importimin dhe eksportimin e hyrjeve, burimet e ngulitura dhe nënshkrimet potencialisht të dyshimta. Redaktorët heksadecimalë si HxD mund të përdoren për të ekzaminuar çdo skedar bajt për bajt dhe për ta manipuluar atë nëse është e nevojshme.

Trafiku i rrjetit zakonisht analizohet duke përdorur Wireshark ose analizues të tjerë , të cilët zbulojnë domenet e komandës dhe kontrollit, protokollet e përdorura, të dhënat e nxjerra ose tunelet e fshehta. Nga ana tjetër, rregullat Yara janë thelbësore për identifikimin e familjeve specifike brenda koleksioneve të mëdha të mostrave.

Mjete të njohura të analizës dhe mbrojtjes në biznese

Në sferën e korporatave, përveç shërbimeve të nivelit të ulët, shumë organizata mbështeten në zgjidhje komerciale dhe platforma të centralizuara për të mbrojtur pikat e tyre fundore dhe për të analizuar skedarët e dyshimtë.

Ndër zgjedhjet kryesore janë suita si Malwarebytes, McAfee, F-Secure, AVG, Avast, Norton, Kaspersky dhe Comodo , si dhe motorë dhe sandbox-e të specializuara si Cuckoo Sandbox. Këto mjete kombinojnë analizën në kohë reale, zbulimin e bazuar në nënshkrime, analizën e sjelljes dhe aftësitë e reagimit ndaj incidenteve.

Platformat e përparuara si CrowdStrike Falcon ose SentinelOne integrojnë analizën e malware-it në ofertat e tyre EDR/XDR, duke i mundësuar atyre të zbulojnë jo vetëm variante të njohura, por edhe kërcënime të reja dhe zero-day falë të mësuarit automatik dhe sandbox-it të integruar. Rezultatet paraqiten në konsola të centralizuara së bashku me të dhënat nga sensorë të tjerë sigurie.

Edhe zgjidhjet tradicionale si Kaspersky Endpoint Security ofrojnë disa mënyra skanimi të dizajnuara për të balancuar sigurinë dhe performancën: skanim i plotë (kontrollon memorien e bërthamës, sektorët e nisjes, kopjet rezervë, të gjitha disqet), skanim i zonave kritike (fokus në memorie, procese aktive dhe sektorë të nisjes), skanim i personalizuar (segmente të zgjedhura nga përdoruesi) dhe skanim në sfond (skanim më pak ndërhyrës që minimizon ndikimin në burime).

Si fshihet dhe mbrohet nga analiza programi keqdashës

Autorët e programeve keqdashëse janë të vetëdijshëm se krijimet e tyre përfundimisht do të skanohen nga platformat dhe laboratorët e analizës online , kështu që ata përfshijnë mekanizma për të zbuluar dhe shmangur këto mjedise. Qëllimi i tyre është ose të shmangin plotësisht ekzekutimin ose të prodhojnë rezultate mashtruese kur ndiejnë se po monitorohen.

Kontrollet e zakonshme përfshijnë parametrat e harduerit dhe sistemit , siç janë numri i bërthamave të procesorit, madhësia e diskut, adresa MAC e lidhur me makinat virtuale, gjuha e tastierës, emri i hostit ose i përdoruesit dhe prania e çelësave të caktuar të regjistrit që zbulojnë mjedise të virtualizuara.

Programet keqdashëse mund të skanojnë gjithashtu proceset në ekzekutim për antivirus, EDR, debuggers ose mjete specifike analize. Nëse zbulon ndonjë nga këta tregues, mund të ndalojë ekzekutimin, të aktivizojë shtigje të rreme kodi ose thjesht të sillet si një program i padëmshëm.

Një tjetër truk klasik është të kontrollosh kohën e kaluar ose datën e ekzekutimit , duke përdorur funksione të zgjatura gjumi për të shteruar kohën e analizës së sandbox-eve të automatizuara. Kur analiza mbaron dhe skedari kthehet në një mjedis real, programi keqdashës zgjohet dhe sillet normalisht.

Për ta komplikuar më tej çështjen, shumë sulmues përdorin kriptues dhe paketues që enkriptojnë ose errësojnë skedarin binar origjinal. Ndërtuesi gjeneron skedarin përfundimtar ekzekutues me shtresa të shumëfishta mbrojtjeje, dhe Stub është përgjegjës për dekriptimin dhe nisjen e ngarkesës aktuale, shpesh direkt në memorie (koha e ekzekutimit) në vend që ta shkruajë atë në disk (koha e skanimit), gjë që e bën kapjen dhe analizën e saj të mëvonshme më të vështirë.

Metodat e analizës statike dhe dinamike në praktikë

Në një analizë statike rigoroze, analisti shmang ekzekutimin e mostrës dhe përqendrohet në çpaketimin, çaktivizimin dhe kuptimin e logjikës së brendshme . Vargjet nxirren duke përdorur vargjet ose mjetet FLOSS (të cilat rikuperojnë vargjet e deshifruara në kohën e ekzekutimit), importet e API-t rishikohen për të nxjerrë përfundime për sjelljen dhe familjet identifikohen duke përdorur rregullat Yara.

Hapi tjetër zakonisht përfshin çmontimin dhe dekompilimin , duke studiuar rrjedhën e programit, funksionet kritike dhe blloqet e mundshme të kodit që lidhen me enkriptimin, komunikimin në distancë, qëndrueshmërinë ose përshkallëzimin e privilegjeve. Konfigurimi i brendshëm i malware-it (serverat C2, çelësat e enkriptimit, shtigjet e instalimit) shpesh kërkohet për të marrë IoC me vlerë të lartë.

Në analizën dinamike, me një mjedis të përcaktuar mirë, mostra ekzekutohet për të verifikuar hipotezat e gjeneruara në analizën statike . Krijimi i procesit, modifikimi i skedarëve, shkrimi në regjistrin e Windows, trafiku i rrjetit, krijimi i shërbimeve dhe mutex-et monitorohen. I gjithë ky informacion korrelohet për të identifikuar dhe përcaktuar kërcënimin.

Mjetet e analizës online kombinojnë të dyja qasjet dhe mund të jenë një hap i parë i mirë. Megjithatë, ato nuk janë të pagabueshme : ato mund të humbasin familjet e reja ose shumë të fshehura, por zakonisht ofrojnë të dhëna dhe informacione të mjaftueshme për të justifikuar hetime të mëtejshme laboratorike më të thelluara.

Përmes gjithë këtij procesi, analistët janë në gjendje t'i caktojnë një emër familjes ose variantit specifik , të dokumentojnë TTP-të e tij dhe të gjenerojnë rregulla që lejojnë që ai të njihet në sisteme të tjera ose fushata të ardhshme, duke mbyllur kështu ciklin midis analizës dhe mbrojtjes.

Në një kontekst ku qindra mostra të reja zbulohen çdo ditë, të paturit e aftësive të fuqishme të analizës së malware-it bën diferencën midis të qenit gjithmonë një hap prapa sulmuesve ose parashikimit të lëvizjeve të tyre, zbulimit dhe bllokimit të kërcënimeve përpara se ato të bëhen një problem i madh për përdoruesit dhe organizatat.