Análise de código malicioso

Análise de código malicioso

1. A análise de código malicioso visa o entendimento profundo do funcionamento de um malware

2. Divide-se a análise de malware em análise estática e dinâmica

   • Tenta-se derivar o comportamento do malware extraindo características de seu código sem executá-lo, através de análise de strings, disassembling e engenharia reversa, por exemplo.
   • Já na análise dinâmica, o malware é monitorado durante sua execução, por meio de emuladores, debuggers, ferramentas para monitoração de processos, registros e arquivos e tracers de chamadas de sistema.
   • Dependendo da técnica ou ferramenta que se utiliza para fazer cada análise, a velocidade pode variar, mas, em geral, análises estáticas simples são mais rápidas do que as dinâmicas

3. Dependendo da técnica ou ferramenta que se utiliza para fazer cada análise, a velocidade pode variar, mas, em geral, análises estáticas simples são mais rápidas do que as dinâmicas.

4. Análise Estática

   • A análise estática pode ser utilizada para obter informações gerais sobre o programa e para identificar a existência de código malicioso.
   • Dentre as técnicas utilizadas para a obtenção de informações gerais estão a geração de hashes criptográficos que identificam o arquivo de forma única, a identificação das funções importadas e exportadas, a identificação de código ofuscado e a obtenção de cadeias de caracteres que possam ser lidas por uma pessoa, como mensagens de erro, URLs e endereços de correio eletrônico.
   • Para identificar código malicioso são usadas, de forma geral, duas abordagens: a verificação de padrões no arquivo binário e a análise do código assembly gerado a partir do código de máquina do malware
   • Para identificar código malicioso são usadas, de forma geral, duas abordagens: a verificação de padrões no arquivo binário e a análise do código assembly
     • No caso da verificação de padrões, são geradas seqüências de bytes, chamadas de assinaturas, que identificam um trecho de código freqüentemente encontrado em programas maliciosos e verifica-se se o programa possui esta seqüência
     • Já no caso da investigação do código assembly, são empregadas técnicas de análise mais profundas que buscam padrões de comportamento malicioso. Em [Song et al. 2008] os autores transformam o código assembly em uma linguagem intermediária e, a partir desta
   • O .exe nao é executado

5. Disassemblers

   • Recebem um .exe como entrada e devolve, arquivos de texto contendo codigo em linguagem assembly
   • Processo simples , assembly nada mais é do que o mapeamento textual do codigo objeto
   • O processo geralmente é especifico a determinados processadores, porem existem dissasemblers que suportam multiplos processadores.

6. Descompiladores ( Decompilers )

   • recebe um .exe como entrada e tenta produzir um codigo em linguagem de alto nivel.
   • tenta reverter o processo de compilação para ter o codigo fonte original, porem nem sempre é possivel obter 100% do codigo original
   • como linguagens de alto nivel sao complexas durante o processo muitos elementos são omitidos.

7. Analise Dinamica

   • O comportamento é observado com o programa em execução.
   • Poder sem analisadas diversas alterações provocadas pelos programa.
     • Chamadas do sistemas
     • Arquivos modificados
     • Inserção de chaves no registro ( Windows )