Как самостоятельно провести анализ вредоносного кода

Надо сразу признаться, что я не практикующий аналитик и никогда не планировал им стать. Да и за час (а на Уральском форуме и того меньше — я провел эту демонстрацию за 30 минут) сложно научиться проводить такой анализ. Моя задача состояла в другом. Во-первых, показать, что не всегда стоит надеяться только на антивирусные компании, которым можно отправить подозрительный файл. Иногда можно провести анализ самостоятельно. Хотя бы первичный. Это как с первой помощью — ее можно провести и самому (при наличии определенной квалификации и пройденных тренингов). А уж медицинскую помощь должны оказывать специалисты. Тут схожая ситуация — снять хэш с файла для создания индикатора компрометации, сделать копию диска, снять «слепок» с оперативной памяти, записать сетевой трафик и т.п. Это все можно сделать и своими руками. А вот что делать дальше — вопрос открытый. Можно создать свою службу расследования, а можно уже общаться со специализированными компаниями.

Второй целью демонстрации было показать, что есть задачи, которые можно проводить своими силами и без привлечения дорогостоящих инструментов. Первых 8 демонстраций базируются на бесплатных или open source решениях, свободно скачиваемых из Интернет или являющихся частью операционных систем (тот же REMnux, Onion и т.п.). Но у бесплатных решений есть и минус — они требуют ресурсов — временных и людских, а также серьезной квалификации. С платным инструментарием по анализу вредоносной активности ситуация проще — им надо просто заслать файл для анализа и обратно получить вердикт. Просто и банально. Но за деньги. Выбирать вам. Вот собственно этому выбору и посвящена данная презентация с 9-ью демонстрациями.

В конце презентации приведена картинка, которая может быть не очень хорошо видна. Она содержит майнд-карту с перечнем инструментов, которыми должен владеть аналитик вредоносных файлов и вредоносной активности. Я ее тоже прикладываю — она полезна для расширения списка инструментов, которыми надо оснащать собственную службу расследования и анализа.

ЗЫ. И обратите внимание на DISCLAIMER в начале презентации 🙂