Malware: Έννοιες, Analysis και Defensive Triage — DedSec Project

Malware είναι code/software που χρησιμοποιείται σκόπιμα για παραβίαση security property: κλοπή δεδομένων, disruption, unauthorized control, persistence, spying, encryption ή abuse πόρων. Ο security analyst πρέπει να κατανοεί behavior χωρίς να αναπτύσσει ή να διανέμει harmful code.

Όριο εξουσιοδοτημένης χρήσης: Ανάλυσε samples μόνο σε isolated environment που ελέγχεις και μόνο όταν επιτρέπεται να τα κατέχεις. Για μάθηση προτίμησε harmless training samples, prerecorded telemetry ή benign binaries.

Malware categories

Trojan, worm, ransomware, spyware, downloader, bot, rootkit, wiper, cryptominer και infostealer είναι labels. Ένα πραγματικό sample μπορεί να συνδυάζει πολλές συμπεριφορές, άρα κατέγραψε τι κάνει και όχι μόνο το family name.

Initial triage

Πριν από execution κράτησε hash, file type/architecture, digital-signature status, size/timestamps, safe printable strings, imports/libraries και chain of custody.

Μην ανεβάζεις confidential samples/documents σε public analysis services χωρίς policy approval.

Static analysis

Static analysis εξετάζει το αρχείο χωρίς να το τρέχει: executable format, imports, strings, resources, metadata και code structure. Packing/obfuscation μειώνουν visibility· απουσία obvious strings δεν σημαίνει safe binary.

Behavioral analysis

Σε controlled sandbox παρατήρησε process tree, files, registry/config changes, services/tasks, DNS/network destinations, loaded libraries, privilege events και IPC objects.

Για learning lab χρησιμοποίησε harmless program που δημιουργεί temp file, child process και local request. Στόχος είναι telemetry understanding, όχι malware behavior reproduction.

Persistence και privilege

Persistence σημαίνει επανεκτέλεση αργότερα. Privilege σημαίνει διαθέσιμη authority. Είναι διαφορετικά concepts. Defenders πρέπει να baseline services, scheduled tasks, startup items, extensions και να ερευνούν unexpected changes.

Command-and-control concepts

Remote malware χρειάζεται κάποιο communication path. Defenders αναλύουν destination, DNS/certificate metadata, timing, beacon regularity, process ownership και host/network correlation. Για labs χρησιμοποίησε localhost ή prerecorded PCAPs, όχι real C2 infrastructure.

Ransomware

Ransomware resilience βασίζεται σε least privilege, segmentation, protected backups, restoration tests, detection και incident response. Μην δοκιμάζεις encryption/destructive payloads πάνω σε πραγματικά data.

IOC και behavior

IOC μπορεί να είναι hash, domain, filename ή path. Αλλάζει εύκολα. Behavioral detection συχνά είναι πιο ανθεκτικό, επειδή περιγράφει σχέση ενεργειών, π.χ. unexpected process που αλλάζει startup location.

Containment και recovery

1. Validate alert και preserve evidence.
2. Isolate affected systems όπου χρειάζεται.
3. Εντόπισε impacted identities/secrets.
4. Σταμάτησε propagation χωρίς να χάσεις visibility.
5. Eradicate root cause.
6. Restore από trusted source.
7. Rotate credentials/keys.
8. Monitor recurrence.
9. Κατέγραψε lessons learned.

Συχνά λάθη

• Unknown sample σε προσωπική συσκευή.
• Disable security controls για να «τρέξει» το sample.
• Ένα antivirus label ως πλήρης analysis.
• Μόνο hashes χωρίς behavior.
• Upload confidential sample σε public service.
• Restore χωρίς διόρθωση initial access.

Καθοδηγούμενο εργαστήριο

Γράψε benign script που δημιουργεί temporary file, ξεκινά harmless child process και γράφει ένα log event. Παρατήρησε process tree/filesystem και εξήγησε ποιο telemetry ξεχωρίζει αυτή τη δραστηριότητα από normal software.

Έλεγχος γνώσεων

1. Γιατί family label δεν αρκεί;
2. IOC vs behavioral detection;
3. Γιατί static + behavioral analysis μαζί;
4. Τι evidence πριν από execution;
5. Γιατί restore μόνο του δεν αρκεί μετά από ransomware;

Καθοδηγούμενη μελέτη

Χρησιμοποίησε τη Μεθοδολογία Μελέτης. Όλη η πρακτική εργασία παραμένει harmless και isolated.

Συνέχεια

Προτεινόμενα μαθήματα: 23, 37, 67, 79, 81.