Viaje PMAT — 2

En la última actualización, estaba al 21 % del curso y no había comenzado ningún análisis de las muestras de malware en el laboratorio. Estoy completo en un 47 % y faltan varios módulos. Completé el análisis estático básico y comencé el análisis dinámico básico . Desglosemos estos términos.

El análisis estático analiza el malware sin ejecutarlo. Mientras que el análisis dinámico analiza el malware mientras se ejecuta la muestra. Esta es la razón por la que es tan imperativo asegurarse de que su entorno de laboratorio esté bloqueado desde Internet y su máquina host. tu noquiere que la muestra de malware toque su host ni Internet por varias razones, como no infectar su máquina host y no descargar nada malicioso de un servidor C2 (Command and Control). Esta es la razón por la que Matt dedicó mucho tiempo y se concentró en asegurarse de que esté seguro cuando detone malware a lo largo de este curso y más allá. También pasa tiempo discutiendo los estándares de la industria para el manejo seguro del malware como análisis, fuentes seguras para muestras de malware y asegurando que mantenga su muestra de malware sin colmillos hasta que esté deliberadamente listo para colmillos.

En una nota al margen, personalmente todavía me río con los términos defang y fang y probablemente sea porque me recuerda a mis tontos galgos y sus dientes. Vea abajo.

La lección de análisis estático básico lo lleva a través de varios temas que incluyen muestras de hashing, verificación de repositorios de malware, uso de cadenas y FLOSS, PEview y PEStudio. Además de eso, Matt se asegura de que tengas un poco de conocimiento adicional para comprender el "por qué" detrás de lo que estás haciendo. Agradezco esto enormemente, ya que estoy seguro de que otros lo harán mientras toman el curso. Con eso, cubre algunas explicaciones básicas de la API de Windows (interfaz de programación de aplicaciones), así como un poco más de profundidad sobre cómo usar PEview para caracterizar el malware más a fondo. Por ejemplo, Matt analiza la importancia de observar encabezados específicos en PEview para ayudarlo, como analista, a determinar si se puede empaquetar malware. El empaquetado de malware es una técnica que los autores de malware pueden usar para disfrazar oofuscar un ejecutable para evitar la detección de AV (antivirus).

A continuación, he incluido una captura de pantalla de mi máquina virtual. Oculté y desvanecí parte del texto. Algunas de las "muestras" de este curso están escritas por Matt para imitar el malware. Por lo tanto, no quiero A) plagiar su material ni B) regalar la diversión de explorar en el curso. Los bits resaltados, el tamaño virtual y el tamaño de los datos sin procesar son partes del rompecabezas en el análisis de malware para ayudar a determinar si la muestra de malware está empaquetada.

Algunas otras partes del curso que me abrieron los ojos son el uso de IMPORT_Address_Table en PEview. Este es otro ejemplo más de cómo Matt te da más del "por qué" detrás de una tarea. El IAT se puede utilizar para obtener información sobre las llamadas API y correlacionar esa información con otros IOC (indicadores de compromiso) para obtener una imagen más amplia de lo que está sucediendo. No te preocupes, también se explicará detalladamente.

Personalmente, recomiendo mirar rápidamente la revisión de notas al final del módulo Análisis estático básico para ver cómo Matt toma notas antes de comenzar. Él usa Microsoft OneNote, pero si no está disponible para usted, será suficiente un procesador de textos con la capacidad de guardar capturas de pantalla. No es necesario que entiendas de lo que está hablando en este momento. Solo tenga una idea de cómo toma notas para que pueda tomar notas a medida que avanza en el módulo.

Por último, Matt agregó algunas actualizaciones desde el lanzamiento inicial del curso. El 28/11/21 agregó información sobre un gran recurso y cómo usarlo, MalAPI.io por mrd0x. Esto lo ayuda a identificar qué API de Windows se abusan comúnmente en el malware. Además, se realizó una actualización más reciente el 19/11/22 sobre una herramienta llamada Capa de Mandiant. Capa es una bestia en sí misma y se asigna a marcos como MITRE ATT&CK y estándar de la industria en la definición de tácticas, técnicas y procedimientos (TTP) y el catálogo de comportamiento de malware o MBC.

Ah, ¿y mencioné que Matt Kiely está organizando el evento Advent of Cyber ​​2022 hoy en TryHackMe y hay un villancico para acompañar? Lo revisaré después de publicar esto.