Malware-Analyse: Aktivitäten der Malware aufzeichnen und auswerten
Die statische Analyse verdächtiger Dateien führt zu Hypothesen, die Forensiker prüfen müssen. Sie beobachten den Schadcode und zeichnen seine Aktivitäten auf.
- Nadia Meichtry
Digitale Forensiker – oder auch Reverse Engineers – analysieren Schadsoftware in vier Phasen. In der vierten und letzten Phase, der dynamischen Analyse, wird die Malware in Aktion beobachtet. Der vierte Teil unserer Artikelserie zur Malware-Analyse erklärt also, welche Werkzeuge dafür notwendig sind und wie Forensiker in dieser Phase vorgehen. Eine vorausgehende OSINT-Analyse (Open Source Intelligence) schaffte zuerst einen Überblick darüber, womit man es überhaupt zu tun hat, danach folgte eine vollautomatische Analyse mit entsprechender Software in einer Sandbox-Umgebung. Im dritten Teil ging es an die statischen Eigenschaften der Schadsoftware. Alle drei vorherigen Schritte dienten dazu, Hypothesen über die Art und Wirkungsweise der Malware aufzustellen. Der letzte Teil der Artikelreihe befasst sich nun mit der dynamischen Analyse – dem Beobachten der Malware in Aktion –, um die formulierten Hypothesen zu überprüfen.
Während der dynamischen Untersuchung führt man die verdächtige Datei in einer virtuellen Maschine aus und zeichnet ihre Aktivitäten mit diversen Werkzeugen auf. Analysten sollte jedoch nur die notwendigen Anwendungen starten, um keine unnötigen Interaktionen zu erzeugen. Sie überwachen unter anderem gestartete Prozesse, aufgebaute Netzwerkverbindungen, abgelegte Dateien sowie neu erstellte oder geänderte Registrierungsschlüssel und Dienste. Dabei läuft die virtuelle Maschine ohne Schutzmechanismen, sodass die Malware freies Spiel hat und nicht blockiert oder entfernt wird.
Dadurch will man Hinweise auf das Verhalten der zu analysierenden Datei gewinnen, um ihre Natur und die Bedrohung, die sie für das Unternehmen darstellen kann, zu verstehen. Die Beobachtungen können die vorherigen Hypothesen weiterentwickeln, die Liste der gefundenen Indicators of Compromise (IOCs) erweitern, die bei der Analyse der statischen Eigenschaften festgestellt wurden, oder zuvor identifizierte IOCs bestätigen. Es ist natürlich absolut notwendig, die Operation in einer virtuellen Maschine durchzuführen – handelt es sich tatsächlich um Schadsoftware, infiziert sie schließlich das System. Vorher erstellt man am besten einen sauberen Speicherpunkt, um das System gegebenenfalls zurückzuspielen und eine erneute Analyse durchführen zu können.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Trend-Beruf: Mit diesen Fähigkeiten wird man KI-Experte
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Elektroauto Mercedes EQA 300 4Matic im Test: Fährt gut, lädt gemächlich
Schöner sehen: Fünf 4K-Monitore mit USB-C für den Mac im Test
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
CPU-Guide 2024: Notebook-Prozessoren von AMD, Apple und Intel im Vergleich
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Trend-Beruf: Mit diesen Fähigkeiten wird man KI-Experte
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Elektroauto Mercedes EQA 300 4Matic im Test: Fährt gut, lädt gemächlich
Schöner sehen: Fünf 4K-Monitore mit USB-C für den Mac im Test
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann