A análise de malware é uma disciplina essencial na segurança da informação, que envolve a inspeção de software malicioso para entender seu funcionamento, origem e impacto. Este processo é crítico para desenvolver defesas eficazes, criar assinaturas de detecção e responder a incidentes. Nesta aula, vamos explorar as principais abordagens — análise estática e dinâmica —, o uso de sandboxes como ambiente controlado e a criação de regras YARA, uma linguagem de padrões amplamente utilizada para identificar amostras maliciosas.

Dominar essas técnicas permite ao analista não apenas reconhecer um malware, mas também antecipar seu comportamento, mitigar riscos e contribuir para a inteligência de ameaças. Vamos começar com os conceitos fundamentais e avançar para práticas concretas, com exemplos que você pode aplicar em seus próprios laboratórios.

Static

A análise estática é o processo de examinar um arquivo malicioso sem executá-lo. Essa técnica é a primeira etapa na investigação, pois é rápida, segura e não requer um ambiente controlado. O objetivo é extrair informações úteis do binário, como metadados, strings, imports, seções e assinaturas, que podem revelar a natureza do malware.

Ferramentas comuns incluem file para identificar o tipo de arquivo, strings para extrair sequências legíveis, objdump e pefile (em Python) para analisar o formato PE (Portable Executable) em sistemas Windows. A análise estática também pode envolver a inspeção do código assembly, especialmente quando o malware está empacotado ou ofuscado. Embora seja menos profunda que a análise dinâmica, ela é fundamental para triagem e para gerar indicadores de comprometimento (IOCs) iniciais.

Exemplo de uso da ferramenta file:

$ file malware.exe
malware.exe: PE32 executable (GUI) Intel 80386, for MS Windows

E com strings para buscar URLs ou nomes de arquivos:

$ strings malware.exe | grep -E "http|https|ftp"
http://malicious-server.com/payload
download.dll

Essas informações podem ser usadas para correlacionar com outras amostras e para alimentar ferramentas de detecção.

Dynamic

A análise dinâmica envolve executar o malware em um ambiente controlado e monitorar seu comportamento em tempo real. Essa técnica revela ações que a análise estática não consegue mostrar, como chamadas de sistema, modificações no registro, tráfego de rede, criação de processos e arquivos. É uma etapa crucial para entender o impacto real do malware e para capturar artefatos como endereços IP, domínios e mutexes.

Para realizar a análise dinâmica com segurança, é imprescindível usar uma máquina virtual isolada, como VirtualBox ou VMware, com snapshots para restaurar o sistema após cada execução. Ferramentas como Process Monitor (ProcMon), Wireshark, Regshot e API Monitor são amplamente utilizadas para registrar as atividades. O analista deve observar o comportamento do malware em diferentes condições, como com ou sem privilégios administrativos, e interagir com ele para ativar funcionalidades ocultas.

Exemplo de monitoramento de processos com ProcMon (fictício):

Process: malware.exe
Operation: CreateFile
Path: C:\Users\Public\payload.exe
Result: SUCCESS

Essa saída indica que o malware criou um arquivo no diretório público, o que pode ser um sinal de persistência ou de download de segunda etapa.

Sandbox

Uma sandbox é um ambiente isolado e controlado projetado para executar código não confiável com segurança. No contexto de análise de malware, as sandboxes são usadas para executar amostras suspeitas sem arriscar o sistema do analista. Elas monitoram todas as ações do programa e geram relatórios detalhados, incluindo chamadas de API, arquivos alterados, chaves de registro modificadas e tráfego de rede.

Existem sandboxes locais, como Cuckoo Sandbox (open-source) e Joe Sandbox, e serviços online como VirusTotal e Any.Run. A vantagem das sandboxes é a automação e a repetibilidade, permitindo analisar muitas amostras rapidamente. No entanto, elas têm limitações: malwares avançados podem detectar a sandbox e se comportar de forma benigna, ou exigir argumentos de linha de comando específicos. Por isso, é comum combinar sandbox com análise manual dinâmica.

Um exemplo de relatório de sandbox (simplificado):

Arquivo: sample.exe
Comportamento:
  - Criou mutex: Global\\UniqueMutex
  - Abriu conexão com IP: 185.220.101.34:443
  - Modificou chave de registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
  - Gravou arquivo: C:\Users\user\AppData\Roaming\update.exe

Essas informações são valiosas para criar regras de detecção e para entender a persistência do malware.

YARA basics

YARA é uma ferramenta de correspondência de padrões, criada por Victor Alvarez, que permite descrever características de arquivos maliciosos por meio de regras. Essas regras são usadas para identificar amostras de malware, classificá-las e até mesmo detectá-las em sistemas. YARA é amplamente adotada na indústria e é essencial para qualquer analista de malware.

Uma regra YARA é composta por um nome, uma condição e, opcionalmente, strings e metadados. As strings podem ser literais, hexadecimais ou expressões regulares. A condição define quando a regra é verdadeira, por exemplo, se uma string específica estiver presente. As regras podem ser combinadas com operadores lógicos e de contagem.

Exemplo de uma regra YARA simples:

rule Malware_Exemplo
{
    meta:
        author = "Professor"
        description = "Detecta malware que contém uma URL específica"
        date = "2025-01-01"
    strings:
        $url = "http://malicious-server.com/payload"
        $mutex = "Global\\UniqueMutex"
    condition:
        $url and $mutex
}

Nesse exemplo, a regra detecta arquivos que contenham tanto a URL quanto o mutex especificados. Para usar YARA, você pode executar o comando yara em um arquivo ou diretório:

$ yara regra.yara sample.exe
Malware_Exemplo sample.exe

YARA permite criar regras sofisticadas, usando técnicas como detecção de entropia, classes de caracteres e módulos como PE e Cuckoo. Dominar YARA é um diferencial para quem trabalha com inteligência de ameaças e resposta a incidentes.

Boas Práticas e Observações Finais

Ao realizar análise de malware, sempre trabalhe em um ambiente isolado e com snapshots para evitar contaminação. Documente todo o processo, incluindo hashes, IOCs e decisões tomadas. Combine múltiplas técnicas — estática, dinâmica e sandbox — para obter uma visão completa. Para YARA, mantenha um repositório de regras bem testadas e atualizadas, e valide-as com amostras benignas para reduzir falsos positivos.

Lembre-se de que a análise de malware é uma atividade legal e ética apenas quando aplicada a amostras que você tem autorização para analisar, como em laboratórios de segurança ou em resposta a incidentes. Nunca execute malware em sistemas de produção ou sem proteção adequada.

Referências

Exercícios

  1. Explique a diferença entre análise estática e dinâmica, e cite uma vantagem e uma desvantagem de cada uma.

    ✓ Resposta: A análise estática examina o malware sem executá-lo, sendo rápida e segura, mas pode não revelar comportamentos dinâmicos. A análise dinâmica executa o malware em ambiente controlado, mostrando ações reais, mas é mais lenta e arriscada se o ambiente não estiver bem isolado.
  2. Qual é a finalidade de uma sandbox na análise de malware? Cite duas limitações desse tipo de ambiente.

    ✓ Resposta: A sandbox permite executar o malware com segurança e monitorar seu comportamento. Limitações: malwares podem detectar que estão em uma sandbox e não executar ações maliciosas; e a sandbox pode não fornecer um ambiente idêntico ao sistema real, alterando o comportamento.
  3. Escreva uma regra YARA que detecte um arquivo contendo as strings "malware.exe" e "C:\Windows\Temp\payload.dll" (use aspas duplas no código).

    ✓ Resposta: 
    rule Malware_Detect
{
    strings:
        $a = "malware.exe"
        $b = "C:\Windows\Temp\payload.dll"
    condition:
        $a and $b
}
  4. Dado o seguinte trecho de relatório de sandbox, identifique dois IOCs (Indicadores de Comprometimento) e explique como eles podem ser usados para detecção: "Criou mutex Global\\Mtx", "Conectou a 192.168.1.100:8080", "Modificou chave HKCU\Software\Run".

    ✓ Resposta: IOCs: o mutex "Global\\Mtx" e o IP:porta "192.168.1.100:8080". O mutex pode ser usado em regras YARA para identificar amostras; o IP pode ser adicionado a listas de bloqueio ou feeds de inteligência de ameaças para detectar comunicação com o C2.
  5. Por que é importante documentar os hashes (MD5, SHA-1, SHA-256) de uma amostra de malware durante a análise?

    ✓ Resposta: Os hashes servem como identificadores únicos da amostra, permitindo verificar integridade, buscar em bases de dados como VirusTotal, compartilhar com outros analistas e criar listas de bloqueio.