Perché È Importante
Le minacce moderne distribuiscono malware custom o in rapida evoluzione più velocemente di quanto i vendor possano firmare. Quando un endpoint segnala un binario sospetto o la risposta agli incidenti trova un eseguibile sconosciuto, l'analisi del malware converte un singolo campione in IOC, pattern comportamentali e rilevamenti che proteggono il resto dell'ambiente.
L'analisi di NotPetya nel 2017 rivelò che era un wiper distruttivo, non ransomware, ridirezionando la risposta globale. Il reverse engineering di Stuxnet ha mostrato capacità statali. L'analisi di SUNBURST di SolarWinds ha prodotto rilevamenti usati in tutto il mondo.
Il Workflow
1. Triage
- Lookup hash su VirusTotal, MalwareBazaar, Hybrid Analysis
- Identificazione tipo file e architettura
- String ed entropia per rilevare packing
- Match firme AV/EDR
2. Analisi Statica
file sospetto.exe
strings -n 8 sospetto.exe
sha256sum sospetto.exe
exiftool sospetto.exe
yara regole.yar sospetto.exe
capa sospetto.exeCerca import sospetti (VirtualAllocEx, WriteProcessMemory, CreateRemoteThread), risorse embedded e indizi di packing.
3. Analisi Dinamica
Esegui il campione in ambiente isolato e osserva albero processi, scritture di file, modifiche al registro, comportamento di rete, mutex. Sandbox: Cuckoo, Any.run, Joe Sandbox, Hybrid Analysis.
4. Analisi del Codice
- IDA Pro: standard del settore
- Ghidra: alternativa NSA gratuita
- Binary Ninja: UI moderna
- x64dbg / WinDbg: debugging dinamico
L'analisi manuale recupera algoritmi, tecniche di evasione e impronte uniche.
Tecniche Anti-Analisi
Output
| Output | Utente | Esempio |
|---|---|---|
| Hash | SOC, EDR | SHA256 del dropper |
| Regole YARA | Hunter | Pattern matching |
| Regole Sigma | SIEM | Regole comportamentali |
| IOC di rete | NDR, firewall | Dominio C2, IP |
| Mappatura ATT&CK | Threat intel | TTP |
| Attribuzione | Intel strategica | Collegamenti ad attore |
Framework e Standard
- MITRE ATT&CK, MAEC, STIX/TAXII
- YARA: pattern matching
- Capa: capacità
Migliori Pratiche
- VM isolate con snapshot/revert.
- Segmenti di rete dedicati con Internet simulata.
- Hash e documentazione completi.
- Limitare il tempo di analisi profonda.
- Condividere i risultati (MISP, MalwareBazaar).
- Mappare su ATT&CK.
Concetti Correlati
Come insegniamo Analisi del Malware
Nel nostro Cybersecurity Bootcamp, non imparerai solo la teoria su Analisi del Malware. Praticherai con strumenti reali in laboratori pratici, guidato da professionisti del settore che usano questi concetti quotidianamente.
Trattato in:
Modulo 8: Operazioni di Sicurezza Avanzate
360+ ore di formazione esperta • CompTIA Security+ incluso