Wat is malwareanalyse? Typen & toepassingen

Bij malwareanalyse onderzoek je schadelijke software om het gedrag en de impact ervan te begrijpen. Deze gids behandelt de verschillende typen malwareanalyse, waaronder statische en dynamische methoden.

Ontdek waarom malwareanalyse belangrijk is voor dreigingsdetectie en incidentrespons. Inzicht in malwareanalyse is cruciaal voor organisaties die hun cyberbeveiliging willen versterken.

Lees meer over het belang van malware-analyse bij het detecteren van bedreigingen en het reageren op incidenten. Inzicht in malware-analyse is cruciaal voor organisaties om hun cyberbeveiligingscapaciteiten te verbeteren.Wat is malwareanalyse?

wordt geanalyseerd en onderzocht om het gedrag, de mogelijkheden en de mogelijke impact ervan te begrijpen. Dit kan handmatig, met tools en technieken om de code te reverse-engineeren en te analyseren, of met geautomatiseerde tools en analyseplatforms om malware te identificeren en te classificeren. Malwareanalyse is een essentieel onderdeel van cyberbeveiliging en incidentrespons, omdat je daarmee dreigingen voor een organisatie identificeert en begrijpt en effectieve verdedigingsstrategieën ontwikkelt.

Met malwareanalyse kan je netwerk incidenten prioriteren op basis van ernst en indicatoren van compromittering (IOCs) blootleggen. Het biedt ook een vollediger beeld voor dreigingsonderzoek en verbetert IOC-waarschuwingen en -meldingen.

Typen malwareanalyse

Malwareanalyse kan statisch, dynamisch of een combinatie van beide zijn. Bij statische analyse onderzoek je een bestand op aanwijzingen voor kwaadaardige bedoelingen, terwijl je bij dynamische analyse de verdachte code uitvoert in een sandboxomgeving.  Een sandbox isoleert de malware van je actieve systeem, zodat die je productieomgeving niet kan infecteren en het virus zich niet via je netwerk kan verspreiden. analyse onderzoekt en bestudeert malware om inzicht te krijgen in het gedrag, de mogelijkheden en de mogelijke gevolgen ervan. Dit kan handmatig worden gedaan, met behulp van tools en technieken om de code te reverse-engineeren en te analyseren, of met behulp van geautomatiseerde tools en analyseplatforms om malware te identificeren en te classificeren. Malware-analyse is een essentieel onderdeel van cyberbeveiliging en incidentrespons, omdat het helpt bij het identificeren en begrijpen van de bedreigingen voor een organisatie en bij het ontwikkelen van effectieve strategieën om deze te bestrijden.

Toepassingen van malwareanalyse

Beheer van computerbeveiligingsincidentenindicatoren van compromittering (IOC's) aan het licht te brengen. Het biedt ook een uitgebreider beeld van bedreigingen en verbetert IOC-waarschuwingen en -meldingen.

In dit geval heeft een organisatie vastgesteld dat malware mogelijk haar netwerk is binnengedrongen. Een responsteam wordt ingezet om de dreiging aan te pakken.

Het team analyseert schadelijke bestanden en bepaalt hoe gevaarlijk ze zijn en om welk type malware het gaat. Ook onderzoekt het welke impact de malware waarschijnlijk op de systemen van de organisatie heeft.

Malwareonderzoek

Wetenschappers en specialisten uit de sector kunnen diepgaand malwareonderzoek uitvoeren. Zij proberen zo goed mogelijk te begrijpen hoe bepaalde malware werkt.

heeft bijvoorbeeld de opbouw van TrickBotCobalt Strike-aanvallen nauwkeurig onderzocht en inzicht verkregen in FIN7-malwareketens.

Dit niveau van onderzoek en inzicht is essentieel om malware te reverse-engineeren. Het vereist malwareanalyse en het testen van malware in een sandboxomgeving.

Indicatoren van compromittering (IOC) extraheren

Aanbieders van softwareproducten en beveiligingsplatforms voeren vaak grootschalige tests en analyses uit om mogelijke IOCs te identificeren. Zo kunnen ze zwakke plekken in hun systemen proactief versterken.

De fasen van malwareanalyse

Malwareanalyse bestaat doorgaans uit vier stappen die gaandeweg complexer en specifieker worden. Dit zijn de vier hoofdfasen:

1. Scannen – geautomatiseerde analyse

Volledig geautomatiseerde tools gebruiken detectiemodellen die zijn ontwikkeld door eerder ontdekte malwaresamples te analyseren.  Daarmee scannen ze verdachte bestanden en programma’s om vast te stellen of het malware is.kwaadaardige bestanden en specificeren het gevaar en het type malware. Ze analyseren ook welke impact dit waarschijnlijk zal hebben op het systeem van de organisatie.

Geautomatiseerde analyse kan ook een gedetailleerd rapport opleveren, met onder meer netwerkverkeer, bestandsactiviteit en registersleutels. Dit is de snelste methode en er is geen analist voor nodig.

Deze methode is geschikt om grote hoeveelheden malware te doorzoeken en een omvangrijk netwerk te testen. Daar staat tegenover dat ze minder informatie oplevert.

2. Analyse van statische eigenschappen

Na de scan volgt een nauwkeurig onderzoek van de statische eigenschappen van de malware. In deze fase onderzoeken analisten de statische eigenschappen van een dreiging zonder de malware uit te voeren. Dit gebeurt vaak in een geïsoleerde omgeving of sandbox. Statische eigenschappen zijn onder meer hashes, ingesloten tekenreeksen, ingesloten bronnen en headerinformatie.

Tools zoals disassemblers en netwerkanalysetools kunnen in deze fase informatie opleveren over de werking van de malware.

3. Interactieve gedragsanalyse heeft bijvoorbeeld de anatomie van TrickBot Cobalt Strike-aanvallen en heeft inzicht verkregen in FIN7 malwareketens.

Voor meer inzicht kunnen analisten een schadelijk bestand uitvoeren in een geïsoleerde testomgeving om de effecten ervan te observeren.

Met interactieve gedragsanalyse observeert en begrijpt de tester hoe malware het systeem, het register, het bestandssysteem, de processen en de netwerkactiviteiten beïnvloedt en hoe iemand dit gedrag kan reproduceren.

Je kunt een veilige testomgeving opzetten door virtualisatiesoftware te downloaden en daarmee een gastbesturingssysteem uit te voeren. Malware op deze manier in een sandbox testen, heet ook dynamische analyse.

Een grote uitdaging is dat malware vaak detecteert wanneer ze op een virtuele machine wordt uitgevoerd en haar gedrag daarop aanpast. Malware kan inactief blijven totdat aan bepaalde voorwaarden is voldaan.

Je kunt ook kiezen voor een hybride aanpak die statische en dynamische analysemethoden combineert.

4. Handmatige reverse-engineering van code

Tot slot kunnen analisten de code van het bestand handmatig reverse-engineeren en versleutelde gegevens in het sample ontsleutelen. Zo ontdekken ze mogelijkheden die tijdens de gedragsanalyse niet zichtbaar waren en voegen ze waardevolle inzichten toe aan de bevindingen.

In deze fase zijn aanvullende tools nodig, zoals debuggers en disassemblers.

Een omgeving voor malwareanalyse opzetten

Voor malwareonderzoekers is het opzetten van de juiste omgeving voor malwareanalyse een cruciale stap om malware grondig te analyseren en te onderzoeken.  Dit omvat het downloaden, installeren en configureren van virtuele machines met Windows 10 en REMnux Linux, het opzetten van een privénetwerk voor communicatie tussen de virtuele machines, het bouwen van een aangepaste Windows-omgeving met SentinelLABS RevCore Tools en het vastleggen van netwerkverkeer van een virtuele machine met Windows 10.

De belangrijkste tools voor malwareanalyse

Er zijn verschillende soorten essentiële tools voor malwareanalyse waarmee u cyberaanvallen kunt begrijpen en voorkomen.  Hoewel veel van de hier genoemde tools gratis zijn, zijn de betaalde versies in een professionele omgeving sterk aan te raden.

Disassemblers: Een disassembler, zoals en programma's scannen om te bepalen of het om malware gaat. of Ghidra, ontwikkeld door de National Security Agency (NSA),  ontleedt de assemblycode zonder deze uit te voeren, zodat die statisch kan worden geanalyseerd. Disassemblers werken ook met decompilers, die binaire code kunnen omzetten naar broncode.

Debuggers: Een debugger, zoals x64dbg of Windbg wordt gebruikt om de uitvoering van een programma te beïnvloeden. Zo krijgt u inzicht in wat er gebeurt wanneer de malware wordt uitgevoerd en kunt u een malwarebestand reverse-engineeren om te zien hoe het werkt.

Analisten kunnen er ook delen van het programmageheugen mee beheren om te begrijpen welke invloed de malware op een netwerk heeft.

Hex-editors: Een hex-editor, zoals HxD, is een gespecialiseerde editor die elk type bestand kan openen en de inhoud byte voor byte toont. Daarmee kunt u malware volledig ontleden en de code beginnen te vertalen.

Monitoringtools: Wilt u activiteiten in het bestandssysteem, het register en processen en threads in realtime bekijken, dan hebt u een geavanceerde monitoringtool nodig, zoals Process Monitor.  Deze tool toont een procesboom met de relaties tussen alle processen in een trace en legt procesgegevens betrouwbaar vast.

PE-analyse: Tools zoals PeStudio, PE-bear en pefile zijn het overwegen waard als u gratis tools zoekt voor reverse-engineering van PE-bestanden.  Ze zijn nuttig om de indeling van PE-secties te visualiseren en bestandshandtekeningen, hardgecodeerde URL's en IP-adressen te detecteren.

Netwerkanalysetools: Dit type software laat analisten zien hoe malware met andere machines communiceert. Het kan de verbindingen van de dreiging tonen en laten zien welke gegevens de malware probeert te verzenden.

Bescherm uw systemen met toonaangevende beveiliging voor uw hele organisatie

SentinelOne biedt u één centraal platform om dreigingen te voorkomen, detecteren, onderzoeken en erop te reageren, met inzicht in alle bedrijfsmiddelen.

SentinelOne biedt bescherming, detectie en respons voor endpoints, en detectie en beheer van IoT-apparaten. Wilt u meer weten over malwareanalyse? Neem contact op vandaag nog.

Met tools zoals disassemblers en netwerkanalysatoren kan in dit stadium informatie worden verkregen over hoe de malware werkt.

3. Interactieve gedragsanalyse

Om meer inzicht te krijgen, kunnen analisten een kwaadaardig bestand in een geïsoleerd laboratoriumsysteem uitvoeren om de effecten ervan in de praktijk te zien.

Met interactieve gedragsanalyse kan de tester observeren en begrijpen hoe malware het systeem, het register, het bestandssysteem, de processen en de netwerkactiviteiten beïnvloedt en hoe iemand deze kan repliceren.

Er kan een veilige testomgeving worden opgezet door virtualisatiesoftware te downloaden om een gastbesturingssysteem uit te voeren. Het testen van malware in een dergelijke sandbox wordt ook wel dynamische analyse genoemd.

Het grote probleem hierbij is dat malware vaak kan detecteren wanneer het op een virtuele machine wordt uitgevoerd en zijn gedrag daarop kan aanpassen. Malware kan inactief blijven totdat aan bepaalde voorwaarden is voldaan.

Het is mogelijk om een hybride analyseaanpak te volgen door statische en dynamische analysemethoden te combineren.

4. Handmatig code omkeren

Ten slotte kunnen analisten de code van het bestand handmatig omkeren en alle versleutelde gegevens die in het monster zijn opgeslagen, decoderen. Hierdoor kunnen analisten mogelijkheden vaststellen die niet naar voren kwamen tijdens de gedragsanalyse en kunnen ze waardevolle inzichten toevoegen aan de bevindingen.

In deze fase zijn aanvullende tools nodig, zoals debuggers en disassemblers.

Een malware-analyseomgeving opzetten

Voor een malware-onderzoeker is het opzetten van de juiste malware-analyseomgeving een cruciale stap om malware goed te kunnen analyseren en onderzoeken. Dit omvat het downloaden, installeren en configureren van een virtuele machine met Windows 10 en REMnux Linux, het opzetten van een privénetwerk voor communicatie tussen virtuele machines, het bouwen van een aangepaste Windows-omgeving met SentinelLabs RevCore Tools, en het vastleggen van verkeer van een virtuele Windows 10-machine.

Top Malware Analysis Tools

Er zijn verschillende soorten essentiële tools die nodig zijn voor het uitvoeren van malware-analyse, zodat u cyberaanvallen kunt voorkomen en begrijpen. Hoewel veel van de hier genoemde tools gratis zijn, worden de betaalde versies ten zeerste aanbevolen in een professionele omgeving.

Disassemblers: Een disassembler, zoals IDA Pro of Ghidra, die is ontwikkeld door de National Security Agency (NSA), breekt de assemblagecode af in plaats van deze uit te voeren, zodat deze statisch kan worden geanalyseerd. Ze werken ook met decompilers, die binaire code kunnen omzetten in native code.

Debuggers: Een debugger, zoals x64dbg of Windbg, wordt gebruikt om de uitvoering van een programma te manipuleren. Dit geeft inzicht in wat er gebeurt wanneer de malware wordt uitgevoerd en kan u helpen bij het reverse-engineeren van een malware-voorbeeld om te zien hoe het werkt.

Het stelt analisten ook in staat om delen van het geheugen van het programma te controleren om te begrijpen hoe het een netwerk beïnvloedt.

Hex-editors: Een hex-editor, zoals HxD, is een gespecialiseerde editor die elk type bestand kan openen en de inhoud ervan byte voor byte kan weergeven. Dit kan worden gebruikt om malware volledig te ontleden en de code ervan te vertalen.

Monitoren: Als u realtime het bestandssysteem, het register en de proces-/threadactiviteit wilt bekijken, moet u een geavanceerde monitoringtool gebruiken, zoals Process Monitor. Deze tool geeft een procesboom weer die de relaties tussen alle processen in een trace weergeeft en betrouwbare procesdetails vastlegt.

PE-analyse: Tools zoals PeStudio, PE-bear en pefile zijn uitstekende tools om te overwegen wanneer u op zoek bent naar freeware reversing tools voor PE-bestanden. Ze zijn handig wanneer u de lay-out van een PE-sectie wilt visualiseren en kunnen u helpen bij het detecteren van bestandssignaturen, hardgecodeerde URL's en IP-adressen.

Netwerkanalysatoren: Dit type software vertelt analisten hoe de malware met andere machines communiceert. Het kan de verbindingen van de dreiging weergeven en welke gegevens deze probeert te verzenden.

Bescherm uw systeem met toonaangevende edge-to-edge bedrijfsbeveiliging

SentinelOne biedt u een gecentraliseerd platform om alle bedrijfsmiddelen te beveiligen, te detecteren, te reageren en op te sporen.

SentinelOne biedt eindpuntbeveiliging, detectie en respons, en IoT-detectie en -controle. Neem vandaag nog contact op voor meer informatie over malware-analyse .