RB-ANALYSIS-015: Malware-analyse

Documentbeheer

1. Vereisten

• Malwaresamples
• Hashes van bestanden
• EDR-telemetrie
• Sandboxresultaten
• Telemetrie van procesuitvoering
• Netwerktelemetrie
• Toegang tot een sandboxomgeving
• Toegang tot reverse engineering-tools
• Toegang tot threat intelligence-platforms
• Toegang tot het EDR-platform
• Toegang tot tools voor geheugenanalyse

2. Stap-voor-stap-instructies

Veelgemaakte fouten

• Alleen naar statische hashes kijken
• Netwerkgedrag negeren
• Tweede payloads missen

1. Stel de malwarefamilie vast

   • Stel vast:
     • Malwarefamilie
     • Variant/versie
     • Bekende koppelingen met threat actors
     • Verwijzingen naar openbare rapportages

2. Analyseer het gedrag van de payload

   • Review:
     • Gedrag bij procesuitvoering
     • Wijzigingen in het bestandssysteem
     • Wijzigingen in de registry
     • Aanmaken van services
     • Persistence-mechanismen

3. Beoordeel de mogelijkheden voor credential theft

   • Stel vast:
     • Diefstal van credentials uit de browser
     • Token theft
     • Toegang tot LSASS
     • Keylogging
     • Diefstal van sessies

4. Analyseer het netwerkgedrag

   • Review:
     • C2-communicatie
     • DNS-activiteit
     • Beacon-intervallen
     • Dataoverdracht
     • Gebruik van externe infrastructuur

5. Stel de mogelijkheden voor lateral movement vast

   • Zoek naar:
     • Verspreiding via SMB
     • Gebruik van PsExec
     • WMI-activiteit
     • Gebruik van RDP
     • Uitvoering van commando's op afstand

6. Verzamel indicatoren

   • Documenteer:
     • Hashes
     • Domeinen/IP's
     • Registry keys
     • Mutexes
     • Bestandspaden
     • User-agents
     • Services

3. Na afloop

• Documenteer de bevindingen in het incidentticket

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.