PB-003: Endpoint-malware-infectie

Documentbeheer

1. Doel & scope

• Doel:

  De incident response-stappen beschrijven bij een malwarecompromittering van werkplekken, servers of cloud-hosts van de organisatie.

• Scope:

  Van toepassing op alle endpoint-malware-incidenten binnen de organisatie, waaronder:

  • Infecties met commodity-malware
  • Malware voor initiële toegang (loaders, droppers)
  • Remote access trojans (RAT's)
  • Compromittering op basis van persistence
  • Lateral movement met behulp van malware

2. Incidentidentificatie & criteria

Type incident: Endpoint-malware-infectie

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Malwaredetectie door de EDR
• Verdachte procesuitvoering waargenomen
• Bekende kwaadaardige bestandshash aangetroffen op een host
• RAT- / C2-beaconing gedetecteerd
• Persistence-mechanisme aangetroffen (run keys, scheduled tasks, services, launch agents, cron)
• Gebruiker meldt verdacht gedrag van een endpoint
• Detonatie in een malwaresandbox bevestigt kwaadaardige activiteit

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Coördineert en leidt de respons op het malware-incident; stuurt besluiten en tijdlijnen; zorgt dat containment, communicatie en herstelacties worden uitgevoerd.
• Communications Lead: Verzorgt interne en externe communicatie, updates aan de directie en berichten aan stakeholders.
• Incident responder / Forensic Analyst: Doet forensisch onderzoek op getroffen hosts, analyseert de payload, voert hunts uit op persistence, stelt patient zero vast en stelt bewijsmateriaal veilig.
• Overige rollen:
  • Identity & Access-team: Ondersteunt bij het resetten van credentials, het intrekken van sessies en de review van geprivilegieerde accounts als er blootgestelde credentials zijn vastgesteld.
  • Netwerk-/infrastructuurteam: Voert host-isolatie en netwerksegmentatie uit en ondersteunt bij de containment van lateral movement.
  • Endpoint-/platformteam: Ondersteunt bij het opnieuw opbouwen en herinstalleren van endpoints en de validatie voordat ze weer in gebruik gaan.

4. Eerste acties

• Directe stappen:

  • Voer triage van de EDR-alert uit om de detectie te valideren en het directe risico te beoordelen
    • 📘 RB-TRIAGE-002: Triage van EDR-alerts

    Beslispunt:

    • False positive → sluiten en documenteren
    • True positive → doorgaan

  • Isoleer het getroffen endpoint om verdere uitvoering van payloads en lateral movement te voorkomen
    • 📘 RB-CONTAIN-004: Host-isolatie
  • Informeer de leiding van Incident Response en wijs de rollen toe
  • Stel vluchtig bewijsmateriaal veilig waar mogelijk (vermijd extra afsluiten of herstarten tenzij nodig)
    • 📘 RB-EVIDENCE-001: Geheugenacquisitie

  Waarschuwing: Ga er NIET van uit dat de malwareactiviteit beperkt is tot één endpoint voordat lateral movement, persistence-mechanismen en blootgestelde credentials op aangrenzende systemen zijn beoordeeld. Een malware-infectie is vaak onderdeel van een bredere compromittering.

5. Onderzoek & analyse

• Verzamelen van bewijsmateriaal:

  • Voor elke nieuw vastgestelde geïnfecteerde host:
    • verzamel de volgende host-telemetrie over het incidentvenster:
      • Procesuitvoering: let vooral op verdachte parent-child-ketens, gebruik van LOLBins en niet-ondertekende of onbekende binaries
      • Bestandssysteemgebeurtenissen: geplaatste payloads, niet-ondertekende uitvoerbare bestanden in gebruikers- of tempmappen, schrijfacties voor persistence
      • Activiteit van scripts en interpreters: gecodeerde of versluierde PowerShell, bash, zsh, python; LOLBins
      • Netwerkverbindingen: uitgaande beacons, ongebruikelijke DNS-lookups, verbindingen naar onbekende bestemmingen
      • Authenticatie / aanmelding: lateral movement via RDP, SSH, SMB
      • Persistence: scheduled tasks, cron, services/daemons, launch agents, autoruns
      • 📘 RB-EVIDENCE-002: Acquisitie van host-logs
    • maak een volledige geheugensnapshot om vluchtige artefacten veilig te stellen vóór een herstart, herinstallatie of afsluiting
      • 📘 RB-EVIDENCE-001: Geheugenacquisitie

• Analysestappen:

  • Reconstrueer de procesboom om de bron van de uitvoering, het parent-proces en de commandoregelargumenten vast te stellen
    • 📘 RB-ANALYSIS-006: Analyse van de procesboom

  Beslispunt: Voer voor elke vastgestelde initiële toegangsvector de fasen na detectie (analyse → recovery) van het betreffende playbook gelijktijdig met dit playbook uit:

  • Phishing → PB-001: Phishing & Credential Theft
  • Account takeover → PB-004: Account Takeover
  • Misbruik van een zero-day → PB-018: Zero-Day Response
  • Misbruik van een bekende of gepatchte kwetsbaarheid → PB-017: Vulnerability Response

  • Analyseer de malware-payload om familie, gedrag, mogelijkheden (credential theft, lateral movement, exfiltratie, versleuteling) en indicators of compromise vast te stellen
    • 📘 RB-ANALYSIS-015: Malware-analyse

  Beslispunt:

  • Ransomwaregedrag vastgesteld → voer de fasen na detectie (analyse → recovery) van PB-002: Ransomware Incident Response gelijktijdig met dit playbook uit.
  • Data-exfiltratie vastgesteld → voer de fasen na detectie (analyse → recovery) van PB-005: Data-exfiltratie gelijktijdig met dit playbook uit.

  • Voer een geheugenanalyse uit om geïnjecteerde processen, persistence in het geheugen en actieve malware-artefacten te vinden
    • 📘 RB-ANALYSIS-016: Geheugenanalyse
  • Zoek op de host naar persistence-mechanismen (scheduled tasks, services, registry run keys, launch agents/daemons, cron jobs)
    • 📘 RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware
  • Documenteer bevindingen, de tijdlijn van de aanval en de indicators of compromise (IOC's)

6. Containment, eradication & recovery

Waarschuwing: Begin NIET met de recovery voordat:

• De containment is geverifieerd
• De persistence-mechanismen zijn vastgesteld en verwijderd
• De blootstelling van credentials is beoordeeld
• De verspreidingspaden duidelijk zijn

Voortijdige recovery kan leiden tot herinfectie of herhaalde compromittering.

• Containment-acties:

  • Containment op korte termijn (direct):
    • Isoleer getroffen hosts om verdere uitvoering van payloads en lateral movement te voorkomen
      • 📘 RB-CONTAIN-004: Host-isolatie
  • Containment op lange termijn (identity):
    • Zijn er blootgestelde credentials vastgesteld, trek dan actieve sessies in en reset de credentials van de getroffen accounts
      • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens

    Beslispunt:

    • Compromittering van een geprivilegieerd account bevestigd → direct escaleren voor de hele organisatie.

• Eradication- en recovery-stappen:

  • Bouw getroffen hosts opnieuw op vanuit bekende, betrouwbare images en valideer ze voordat ze weer worden aangesloten
    • 📘 RB-RECOVERY-002: Schone herinstallatie van systemen - voor herinstallatie, hardening en validatie per host
  • Herstel de toegang van gebruikers gecontroleerd
    • 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang
  • Monitor op herinfectie en breng systemen geleidelijk terug in gebruik

    Beslispunt:

    • Herinfectie waargenomen → stop de recovery direct en ga terug naar containment.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de getroffen gebruikers en bedrijfsonderdelen

    • 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident

  • Geef regelmatig updates aan de leiding en de getroffen teams

  • Stuur een waarschuwing aan de hele organisatie als de verspreiding breed is of kritieke diensten geraakt zijn

• Externe communicatie:

  • Schakel Legal/Privacy in om verplichtingen uit regelgeving en meldplichten bij datalekken te beoordelen als blootstelling van credentials of data wordt vermoed
  • Informeer klanten, toezichthouders en partners volgens de aanwijzingen van Legal
  • Stem alle externe berichten af met de Communications Lead en Legal
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie

• Escalatiecriteria:

  Situatie	Escaleren naar
  Phishing vastgesteld als initiële toegangsvector	PB-001: Phishing & Credential Theft
  Account takeover vastgesteld als initiële toegangsvector	PB-004: Account Takeover
  Zero-day-kwetsbaarheid misbruikt als initiële toegangsvector	PB-018: Zero-Day Response
  Bekende of gepatchte kwetsbaarheid misbruikt als initiële toegangsvector	PB-017: Vulnerability Response
  Ransomwaregedrag vastgesteld	PB-002: Ransomware Incident Response
  Data-exfiltratie bevestigd	PB-005: Data-exfiltratie
  Verspreiding door de hele organisatie of impact op kritieke infrastructuur	PB-019: Management van een major security incident / escalatie naar de directie

8. Post-incidentactiviteiten

• Lessons learned:

  • Plan en houd een post-incidentreview (PIR)
  • Documenteer wat goed ging en wat beter moet
  • Beoordeel falende maatregelen (detectie, segmentatie, geprivilegieerde toegang, hardening van endpoints)
  • Stel hiaten in de detectie vast en dicht ze

• Documentatie bijwerken:

  • Werk dit playbook, de gekoppelde runbooks en KB-artikelen bij met de lessons learned
  • Werk detecties en threat intelligence bij op basis van de waargenomen TTP's

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-001: Phishing & Credential Theft
  • PB-002: Ransomware Incident Response
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-017: Vulnerability Response
  • PB-018: Zero-Day Response
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-002: Triage van EDR-alerts
  • RB-CONTAIN-004: Host-isolatie
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-ANALYSIS-006: Analyse van de procesboom
  • RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware
  • RB-ANALYSIS-015: Malware-analyse
  • RB-ANALYSIS-016: Geheugenanalyse
  • RB-EVIDENCE-001: Geheugenacquisitie
  • RB-EVIDENCE-002: Acquisitie van host-logs
  • RB-RECOVERY-002: Schone herinstallatie van systemen
  • RB-RECOVERY-003: Herstel van gebruikers & toegang

• SOP's:

  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-004: Gebruikersnotificatie tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.