Jornada PMAT — 2

Na última atualização, eu tinha 21% de aproveitamento no curso e não havia iniciado nenhuma análise nas amostras de malware no laboratório. Estou com 47% completo com vários módulos pela frente. Concluí a Análise Estática Básica e comecei a Análise Dinâmica Básica . Vamos quebrar esses termos.

A análise estática está analisando malware sem executá-lo. Considerando que a análise dinâmica está analisando o malware enquanto a amostra é executada. É por isso que é tão imperativo garantir que seu ambiente de laboratório esteja bloqueado da Internet e de sua máquina host. você nãodeseja que a amostra de malware toque seu host nem a Internet por vários motivos, como não infectar sua máquina host e não baixar nada malicioso de um servidor C2 (Comando e Controle). É por isso que Matt gastou muito tempo e foco para garantir que você esteja seguro ao detonar malware ao longo deste curso e além. Ele também gasta tempo discutindo os padrões da indústria para lidar com malware com segurança como uma análise, fontes seguras para amostras de malware e garantir que você mantenha sua amostra de malware protegida até que esteja deliberadamente pronto para atacar seu malware.

Em uma nota lateral, eu pessoalmente ainda rio com os termos defang e fang e é provavelmente porque me lembra meus galgos patetas e seus dentes. Veja abaixo.

A lição Análise estática básica conduz você por vários tópicos para incluir amostras de hash, verificação de repositórios de malware, uso de strings e FLOSS, PEview e PEStudio. Além disso, Matt garante que você tenha um pouco de conhecimento extra para entender o “porquê” por trás do que está fazendo. Eu aprecio isso infinitamente, pois tenho certeza de que outras pessoas o farão durante o curso. Com isso, ele aborda algumas explicações básicas da API do Windows (Application Programming Interface), bem como um pouco mais de profundidade sobre como usar o PEview para caracterizar o malware com mais detalhes. Por exemplo, Matt discute a importância de examinar cabeçalhos específicos no PEview para ajudá-lo, como analista, a determinar se o malware pode estar compactado. A compactação de malware é uma técnica que os autores de malware podem usar para disfarçar ouofuscar um executável para evitar a detecção de AV (antivírus).

Abaixo, incluí uma captura de tela da minha VM. Eu apaguei e acinzentei parte do texto. Algumas das “amostras” neste curso foram escritas por Matt para imitar malware. Portanto, não quero A) plagiar seu material nem B) abrir mão da diversão de explorar o curso. Os bits realçados, Tamanho virtual e Tamanho dos dados brutos são partes do quebra-cabeça na análise de malware para ajudar a determinar se a amostra de malware está compactada.

Algumas outras partes do curso que abriram os olhos para mim estão usando a IMPORT_Address_Table no PEview. Este é mais um exemplo de como Matt dá a você mais do “porquê” por trás de uma tarefa. O IAT pode ser usado para coletar informações sobre chamadas de API e correlacionar essas informações com outros IOCs (Indicadores de Compromisso) para pintar um quadro mais amplo do que está acontecendo. Não se preocupe, será explicado minuciosamente também.

Pessoalmente, recomendo olhar rapidamente para a revisão de notas no final do módulo Análise estática básica para ver como Matt faz anotações antes de começar. Ele usa o Microsoft OneNote, mas se isso não estiver disponível para você, um processador de texto com a capacidade de armazenar capturas de tela será suficiente. Você não precisa entender o que ele está falando no momento. Apenas tenha uma ideia de como ele faz anotações para que você possa fazer anotações conforme avança no módulo.

Por fim, Matt adicionou algumas atualizações desde o lançamento inicial do curso. Em 28/11/21 ele adicionou informações sobre um ótimo recurso e como usá-lo, MalAPI.io by mrd0x. Isso ajuda a identificar quais APIs do Windows são comumente abusadas em malware. Além disso, uma atualização mais recente foi feita em 19/11/22 discutindo uma ferramenta chamada Capa da Mandiant. Capa é uma fera por conta própria e mapeia para estruturas como MITRE ATT&CK e padrão da indústria na definição de táticas, técnicas e procedimentos (TTPs) e o Malware Behavioral Catalog ou MBC.

Ah, e eu mencionei, Matt Kiely está hospedando o evento Advent of Cyber ​​2022 hoje no TryHackMe e há uma canção de natal para acompanhar. Vou verificar isso depois de postar isso.