Jag ser Malware-triage som en praktisk säkerhetsfråga där tekniken behöver kunna verifieras, inte bara beskrivas. Malware-triage ska snabbt svara på vad en okänd fil sannolikt är, vilka indikatorer den ger och om djupare dynamisk analys behövs utan att utsätta analystens egen miljö.
Malware-triage i praktiken
Första byggstenen: Hash och filtyp ger identifiering men inte full beteendebild. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
En annan viktig del: Strings och imports kan ge hypoteser om nätverk, persistence eller processinjektion. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det tekniska ankaret: Digital signatur och compilation metadata är stödjande men kan manipuleras. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det som ofta avgör kvaliteten: Dynamisk körning bör ske i isolerad miljö med kontrollerad nätverksåtkomst. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Ett arbetsflöde jag skulle använda
- Beräkna hash och identifiera filformat.
- Extrahera strings, sections och imports.
- Kontrollera signatur och packningsindikationer.
- Kör endast i isolerad sandbox när det är motiverat.
- Samla process-, fil-, registry- och nätverksförändringar.
För Malware-triage håller jag därför införandet i små steg. Då går det att skilja ett säkerhetsproblem från ett rent driftfel och att rulla tillbaka just den ändring som gav ett oväntat resultat.
Ett konkret scenario
En PE-fil som importerar nätverks- och processfunktioner ger en hypotes, inte en dom. Jag använder den hypotesen för att bestämma vilka aktiviteter sandboxen ska observera och vilka nätverksflöden som måste hållas isolerade.
Vanliga sätt att göra kontrollen svagare
- Att dubbelklicka filen på analystens vanliga workstation.
- Att behandla ett antivirusnamn som fullständig teknisk analys.
- Att låta sandboxen nå Internet utan kontroll och därmed kontakta riktiga offer eller C2.
Vad som måste gå att bevisa
För Malware-triage vill jag avsluta med mätbara efterkontroller i stället för att nöja mig med att en statusruta visar ”enabled”. De viktigaste kontrollerna här är:
- Statiska och dynamiska observationer går att korrelera.
- IOC-lista skiljer stabila indikatorer från tillfälliga.
- Sample och analyslogg har spårbar hash.
Ett negativt test hör också till Malware-triage: den väg, identitet eller operation som inte ska vara tillåten ska misslyckas på ett förutsägbart sätt. Då kan nästa tekniker upprepa kontrollen och förstå både avsikten och gränsen.
Slutsats
Malware-triage – avgör snabbt vad en okänd fil gör och hur farlig den verkar handlar därför inte om att samla fler säkerhetsinställningar. Det handlar om att minska en konkret risk med en kontroll som har tydligt scope, tydlig ägare och ett verifierbart resultat. När före-läge, förändring och eftertest dokumenteras blir säkerhetsarbetet både säkrare och lättare att förvalta.