Warum Es Wichtig Ist
Moderne Bedrohungen liefern maßgeschneiderte oder schnell evolvierende Malware schneller, als Hersteller signieren können. Wenn ein Endpoint eine verdächtige Binary markiert oder die Incident Response eine unbekannte ausführbare Datei findet, wandelt die Malware-Analyse ein Sample in IOCs, Verhaltensmuster und Erkennungen um, die das restliche Umfeld schützen.
Die Analyse von NotPetya 2017 enthüllte einen destruktiven Wiper, kein Ransomware, was die globale Reaktion umlenkte. Reverse Engineering von Stuxnet legte staatliche Fähigkeit offen. Die Analyse des SolarWinds-SUNBURST-Backdoors lieferte weltweit genutzte Detektionen.
Der Workflow
1. Triage
- Hash-Lookup auf VirusTotal, MalwareBazaar, Hybrid Analysis
- Dateityp und Architektur identifizieren
- Strings und Entropie zur Packing-Erkennung
- AV/EDR-Signaturtreffer
2. Statische Analyse
file verdaechtig.exe
strings -n 8 verdaechtig.exe
sha256sum verdaechtig.exe
exiftool verdaechtig.exe
yara regeln.yar verdaechtig.exe
capa verdaechtig.exeAchte auf Imports (VirtualAllocEx, WriteProcessMemory, CreateRemoteThread), eingebettete Ressourcen und Packing-Indikatoren.
3. Dynamische Analyse
Sample in isolierter Umgebung ausführen und Prozessbaum, Dateischreibvorgänge, Registry-Änderungen, Netzwerkverhalten, Mutex beobachten. Sandboxes: Cuckoo, Any.run, Joe Sandbox, Hybrid Analysis.
4. Code-Analyse
- IDA Pro: Industriestandard
- Ghidra: kostenlose NSA-Alternative
- Binary Ninja: moderne UI
- x64dbg / WinDbg: dynamisches Debugging
Manuelle Analyse rekonstruiert Algorithmen, Evasion-Techniken und einzigartige Fingerprints.
Anti-Analyse-Techniken
Outputs
| Output | Genutzt von | Beispiel |
|---|---|---|
| File Hashes | SOC, EDR | SHA256 des Droppers |
| YARA-Regeln | Hunter | Pattern Matching |
| Sigma-Regeln | SIEM | Verhaltensregeln |
| Netzwerk-IOCs | NDR, Firewalls | C2-Domains, IPs |
| ATT&CK-Mapping | Threat Intel | TTPs |
| Attribution | Strategische Intel | Verbindungen zu Akteuren |
Frameworks
- MITRE ATT&CK, MAEC, STIX/TAXII
- YARA: Regelsprache
- Capa: Identifiziert Fähigkeiten
Best Practices
- Isolierte VMs mit Snapshot/Revert.
- Analyse-Netzsegmente mit simuliertem Internet.
- Alles hashen und dokumentieren.
- Tiefenanalyse zeitlich begrenzen.
- Findings teilen (MISP, MalwareBazaar).
- Auf ATT&CK mappen.
Verwandte Konzepte
Wie wir Malware-Analyse unterrichten
In unserem Cybersecurity Bootcamp lernen Sie nicht nur Malware-Analyse in der Theorie, sondern üben mit echten Tools in praktischen Labs, angeleitet von Branchenfachleuten, die diese Konzepte täglich anwenden.
Behandelt in:
Modul 8: Erweiterte Sicherheitsoperationen
360+ Stunden Expertentraining • CompTIA Security+ inklusive