วิศวกรรมย้อนกลับและการวิเคราะห์มัลแวร์: จากตัวอย่างสู่รายงานพฤติกรรม

การวิเคราะห์แบบคงที่

การวิเคราะห์ของตัวอย่างที่ไม่ได้เรียกใช้: การวิเคราะห์หัว PE (ตารางนำเข้า, ส่วน), การสกัดสตริง, การถอดรหัส (Ghidra, IDA Pro), Chahashi (VT) ตัดสินประเภทมัลแวร์และครอบครัวได้อย่างรวดเร็ว

การวิเคราะห์แบบไดนามิก

เรียกใช้ตัวอย่างในสภาพแวดล้อมที่แยก: Sandbox (Cuckoo Sandbox, Any.Run), ตรวจสอบไฟล์ / รีจิสทรี / พฤติกรรมเครือข่าย, Grabby Pack Analysis C2 Communication, การสร้างกระบวนการบันทึก

เครื่องมือทั่วไป

PEview, CFF Explorer (PE ดู), Ghidra / IDA Pro (ถอดรหัส), x64dbg (ดีบัก), Wireshark (คว้ากระเป๋า), กระบวนการสับ (การตรวจสอบกระบวนการ).

รายงานพฤติกรรม

เนื้อหารายงาน: ข้อมูลพื้นฐานตัวอย่าง (แฮช, ขนาด), การจำแนกประเภท (โทรจัน / เวิร์ม / แรนซัมแวร์), สรุปพฤติกรรม (การปรับเปลี่ยนไฟล์, การเชื่อมต่อเครือข่าย), ตัวบ่งชี้ IOC (IP / ชื่อโดเมน / เส้นทางรีจิสทรี), คำแนะนำในการล้าง