Fundamentos de análise de malware

Trabalhe com segurança primeiro

• Use um ambiente de análise isolado: uma máquina virtual com snapshots, sem pastas compartilhadas, sem conexão com a rede corporativa e com uma internet host-only ou simulada.
• Nunca analise na sua máquina do dia a dia nem em um sistema que guarde credenciais.
• Trate toda amostra como ativa. Renomeie-a para que não possa ser executada por acidente e guarde-a em um arquivo compactado criptografado.
• Não envie uma amostra sensível a um serviço público se ela puder conter dados da sua empresa; consulte primeiro o hash.
• Tenha autoridade e um motivo para analisá-la, e siga as regras da sua organização para o manuseio de malware.

Triagem e análise estática

file sample.bin                              # que tipo de arquivo é?
sha256sum sample.bin                         # identidade: consulte este hash antes de qualquer outra coisa
strings -n 8 sample.bin | less               # strings legíveis: URLs, caminhos, comandos, mensagens de erro
strings -el -n 8 sample.bin | less           # strings UTF-16 (comuns em binários do Windows)
# para executáveis do Windows, revise imports e seções com uma ferramenta de PE (pefile, DIE)
# sinais suspeitos: seções empacotadas com alta entropia, poucos imports, imports para injeção de processo

Análise dinâmica

• Execute a amostra no laboratório isolado com monitoramento: criação de processos, mudanças em arquivos e no registro, tráfego de rede e mecanismos de persistência.
• Uma sandbox (CAPE, ANY.RUN ou uma interna) automatiza isso e produz um relatório de comportamento; leia-o com senso crítico, pois as amostras podem detectar sandboxes e ficar quietas.
• Simule a internet (FakeNet-NG, INetSim) para ver o tráfego que a amostra tenta fazer sem deixá-la alcançar a internet real.
• Faça um snapshot antes de executar e reverta depois, sempre.
• Disassemblers e decompiladores (Ghidra, IDA) são o próximo passo quando o comportamento sozinho não responde à pergunta.

Da análise à defesa

rule Example_Process_Injector
{
  meta:
    description = "Executável do Windows que importa APIs clássicas de injeção de processo"
    author      = "analyst"
    reference   = "INC-2026-0142"
  strings:
    $mz = { 4D 5A }
    $a1 = "VirtualAllocEx" ascii
    $a2 = "WriteProcessMemory" ascii
    $a3 = "CreateRemoteThread" ascii
  condition:
    $mz at 0 and all of ($a*)
}

O que relatar

• Identidade: hashes, tipo de arquivo, tamanho, data de primeira aparição e qualquer nome de família conhecido.
• Comportamento: o que faz no sistema, como persiste, com o que se comunica, o que rouba ou altera.
• Indicadores: artefatos de rede, de arquivo e de registro, com um nível de confiança e uma expiração.
• Detecções: regras YARA ou Sigma, e como foram testadas quanto a falsos positivos.
• Remediação: como encontrar os sistemas afetados e como remover a infecção e a persistência com segurança.