Análisis manual de malware / adware después del análisis SEP

1

Mi empresa actualmente recibe alertas de malware de varias fuentes, es decir, Symantec Endpoint Protection y FireEye. Cuando se activan estas alertas, se inicia un proceso manual de inicio de sesión en la máquina del usuario con el objetivo de encontrar cualquier malware, etc. que la protección de seguridad pueda haber omitido. El proceso de análisis es bastante impredecible. Powereraser, Windows SysInternals, ruta alrededor.

Como antes, busco alguna guía sobre cómo se podría realizar una investigación manual estándar.

    
pregunta mark 15.10.2014 - 22:57
fuente

2 respuestas

1

Dependerá de cuál sea tu objetivo final. Por mi parte, creo un proceso mediante el cual puedo borrar rápidamente (en 15 minutos) una imagen de unidad en una máquina. Luego, primero tomo una imagen de la máquina infectada, borro, recargo y hago que el usuario vuelva a funcionar.

Cargo la imagen infectada en un entorno protegido y busco actividad de red y archivos de sistema operativo modificados. También investigo la amenaza en sí misma para ver qué tipo de cosas se supone que debe hacer el malware y usar eso como un medio para comenzar una investigación adicional.

    
respondido por el schroeder 15.10.2014 - 23:16
fuente
1

Si está buscando realizar un análisis manual de software malintencionado, puede implicar una variedad de tareas, algunas más simples que otras. Estos esfuerzos se pueden agrupar en etapas según la naturaleza de las técnicas de análisis de malware asociadas. Esto no siempre se puede observar, pero en muchos escenarios tiene la oportunidad de realizar una investigación manual

Puede comenzar con un análisis totalmente automatizado que será el más fácil. Esto es lo que normalmente se hace usando varias herramientas para analizar la situación y luego proporcionar el mejor método para resolver el problema. Resolverá el problema, pero deja poco espacio para más atención o el uso de algo más analítico ideal.

Al examinar más de cerca el archivo sospechoso puede proceder al examinar sus propiedades estáticas. Dichos detalles se pueden obtener con relativa rapidez, ya que no implican la ejecución del programa potencialmente malicioso. Las propiedades estáticas incluyen las cadenas incrustadas en el archivo, los detalles del encabezado, los hashes, los recursos incrustados, las firmas del empaquetador, los metadatos, como la fecha de creación, etc.

En ocasiones, considerar las propiedades estáticas puede ser suficiente para definir indicadores básicos de compromiso. Este proceso también ayuda a determinar si el analista debería observar más de cerca la muestra utilizando técnicas más completas y dónde enfocar los pasos subsiguientes. Analizar las propiedades estáticas es útil como parte del esfuerzo de selección de incidentes.

Un análisis de comportamiento también puede ayudar cuando se observa. El análisis de comportamiento implica examinar cómo se ejecuta la muestra en el laboratorio para comprender su registro, sistema de archivos, proceso y actividades de la red.

    
respondido por el Cameron Verotti 15.10.2014 - 23:07
fuente

Lea otras preguntas en las etiquetas