RB-ANALYSIS-013: Analyse van de ransomware-payload

Documentbeheer

1. Vereisten

• Ransomware-binary/-sample
• Hashes van bestanden
• EDR-telemetrie
• Sandboxresultaten
• Geheugendumps
• Ransom notes
• Toegang tot een sandboxomgeving
• Toegang tot reverse engineering-tools
• Toegang tot het EDR-platform
• Toegang tot threat intelligence-platforms
• Toegang tot tools voor geheugenanalyse

2. Stap-voor-stap-instructies

Veelgemaakte fouten

• Samples buiten een geïsoleerde omgeving analyseren
• Persistence-mechanismen negeren
• Gefaseerde exfiltratie missen

1. Stel de ransomwarefamilie vast

   • Stel vast:
     • Bekende ransomwarefamilie
     • Variant/versie
     • Bijbehorende threat actor
     • Verwijzingen naar openbare rapportages

2. Analyseer het versleutelingsgedrag

   • Review:
     • Bestandsextensies
     • Snelheid van versleuteling
     • Welke bestanden worden aangevallen
     • Interactie met netwerkshares
     • Aanvallen op hypervisors

3. Review het persistence-mechanisme

   • Stel vast:
     • Scheduled tasks
     • Services
     • Wijzigingen in de registry
     • Opstartmechanismen
     • Misbruik van GPO's

4. Beoordeel de mogelijkheden voor lateral movement

   • Stel gebruik vast van:
     • PsExec
     • WMI
     • RDP
     • Verspreiding via SMB
     • Credential dumping

5. Stel het exfiltratiegedrag vast

   • Zoek naar:
     • Aanmaken van archieven
     • Compressieactiviteit
     • Klaarzetten van data (staging)
     • Uitgaande overdrachten
     • Misbruik van cloudopslag

6. Verzamel indicatoren

   • Documenteer:
     • Hashes van bestanden
     • Domeinen/IP's
     • Mutexes
     • Bestandspaden
     • Registry keys
     • Services

3. Na afloop

• Documenteer alle bevindingen in het incidentticket

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.