En estos casos, si tiene un archivo que desea analizar guardado. El tipo de información que creo que está buscando proviene de la ingeniería inversa.
lo primero es lo primero, puede descargar sysinternalssuite de un gran tipo en microsoft que lanzó una serie de herramientas para tareas de sysadmin rápidas y sucias.
enlace
Las
más relevantes para su caso (que es el análisis de malware) supongo son las siguientes herramientas específicamente:
- procmon: muestra los cambios en vivo en el sistema y lo que los inició
- tcpview: muestra todas las conexiones tcp, desde dónde son, hacia dónde van y el estado
- Sysmon: inicie el registro de arranque temprano.
- procexp: esto mostrará una versión detallada del administrador de tareas, con valores de estrés y procesos secundarios, todo en uno. uno de mis favoritos para malware.
así que la idea aquí es que crearás una máquina virtual con el mismo sistema operativo (si es posible) que tu computadora cliente. y deja que esta cosa se suelte dentro.
antes de comenzar, instale vm, no hay software antivirus y obtenga las herramientas de sysinternals.
También desea algún tipo de depurador de ingeniería inversa.
- IDA: el rey de esta área, muy rica en características, tienen una versión gratuita, pero es más antigua
- ollydb: un depurador gratuito con menos funciones, pero aún así funciona bien
- db de inmunidad - similar a ollydb
estos programas le mostrarán el código de máquina del archivo en el que los adjunte. Incluso puede pasar por la ejecución del malware, una línea de código a la vez.
La metodología básica es la siguiente:
- permite que el malware se ejecute de forma salvaje por sí mismo y utiliza sysinternals para recopilar información sobre el malware y qué está haciendo en el sistema, a dónde intenta conectarse y qué tipo de procesos crea.
- adjunte un depurador al malware y ejecute: habrá mucha información, esta es la razón por la que la fase de reconocimiento es tan importante que reduce el alcance de lo que está buscando. utiliza esta información para tratar de encontrar las áreas específicas en el malware que son de particular interés. es decir, copiarse a sí mismo, cambiar registros o archivos del sistema, realizar servicios en la PC, abrir puertos, etc. ...
esta es una descripción básica de cómo se realiza el análisis de una caja negra (caja negra = entidad desconocida). cualquier información adicional también ayuda en este proceso; conocer el tipo de malware exacto también lo ayuda a saber dónde buscar estas herramientas para obtener información específica. Dado que esas heurísticas ya se conocen, deberían poder proporcionarle material de búsqueda para encontrar más información sobre dónde buscar.