Aula 1 Tipos de Análise

Análise de Artefatos Maliciosos

Visão Geral da Seção: Nesta seção, o Professor Jorge Alves apresenta a importância da análise de artefatos maliciosos e as técnicas utilizadas para essa análise.

Tipos de Análise

• A análise pode ser estática ou dinâmica.

• A análise estática consiste em descobrir como funciona o malware sem sua execução.

• A análise estática pode ser básica ou avançada.

• A análise estática avançada é realizada através de engenharia reversa.

Técnicas Utilizadas na Análise Estática Básica

• Análise de Strings: analisar as strings exibidas pelo código malicioso.

• Exibição dos recursos do binário: exibir os recursos do arquivo binário.

• Limitações da análise estática básica em malwares mais complexos que implementam ofuscação de código.

Importância da Análise de Artefatos Maliciosos no Contexto Criminal

• Analisar artefatos maliciosos é importante para esclarecer fatos em apuração e identificar autoria.

• É necessário responder às solicitações que constam nos laudos periciais no contexto criminal.

Desmontador ou Desassembler

Visão Geral da Seção: Nesta seção, o palestrante fala sobre a análise de instruções do arquivo binário e como isso é feito por meio de uma ferramenta chamada desmontador ou desassembler.

Análise Estática Básica

• A análise estática básica não permite a análise das instruções de máquina no arquivo binário.

• Isso limita o conhecimento das informações sobre aquele malware.

Análise Estática Avançada

• A análise estática avançada é feita por meio de engenharia reversa para obter o melhor conhecimento das funcionalidades do malware.

• O desmontador ou desassembler é uma ferramenta que converte o código em linguagem compreensível para entender o que aquele código está fazendo.

Análise Estática vs Dinâmica

Visão Geral da Seção: Nesta seção, o palestrante explica as diferenças entre análise estática e dinâmica.

Análise Estática

• A análise estática não vê o malware funcionando executando atividades maliciosas.

• É possível descrever o comportamento do malware, mas não como se ele estivesse sendo executado em tempo real.

Análise Dinâmica

• A análise dinâmica entende como o malware funciona enquanto ele está sendo executado em tempo real.

• Permite observar as alterações realizadas pelo malware no sistema operacional, nos arquivos em disco e até mesmo na própria rede.

Extração de Strings

Visão Geral da Seção: Nesta seção, o palestrante fala sobre a extração de strings e como ela pode ser usada para obter informações sobre o funcionamento do malware.

• A extração de strings é uma das formas de se obter o funcionamento do malware.

• É possível extrair informações do funcionamento do software malicioso através da extração de strings ou seja, de informações exibidas na execução desse malware.

Análise Dinâmica

Visão Geral da Seção: Nesta seção, o palestrante explica mais sobre a análise dinâmica.

• A análise dinâmica é um entendimento do funcionamento do malware enquanto ele está em execução.

• O software estará alocado em memória e consumindo recursos de processamento.

• Permite observar as alterações realizadas pelo malware no sistema operacional, nos arquivos em disco e até mesmo na própria rede.

Entendendo a Análise Dinâmica Básica e Avançada

Visão geral da seção: Nesta seção, o palestrante explica a diferença entre análise dinâmica básica e avançada.

Análise Dinâmica Básica

• A análise dinâmica básica permite verificar as alterações realizadas por um malware após sua execução.

• As ferramentas utilizadas na análise dinâmica básica verificam as alterações em arquivos, chaves do registro do Windows e tentativas de conexões de rede feitas pelo malware.

Análise Dinâmica Avançada

• A análise dinâmica avançada utiliza depuradores para examinar as instruções aplicadas pelo malware em tempo de execução.

• É uma técnica eficiente quando o malware utiliza técnicas anti-análises para prevenir a detecção de suas atividades maliciosas durante a execução.

Análise comportamental do malware baseada nos vestígios

Visão geral da seção: Nesta seção, o palestrante discute a análise comportamental do malware baseada nos vestígios deixados após a execução.

Análise pós morteis

• A análise comportamental do malware é muito utilizada na forense.

• O perito coleta evidências e só consegue chegar ao malware quando ele já foi executado e possivelmente apagado por uma ferramenta antivírus ou pelo próprio atacante.

• O perito só tem acesso aos vestígios deixados pelo malware, como logins de sistemas, logs de aplicações e logs do dispositivo de hardware que foi atacado.

• Esses vestígios são encontrados dentro do ambiente computacional.

Gabarito das questões

Visão geral da seção: Nesta seção, o palestrante confere as respostas corretas para as questões apresentadas anteriormente.

• A primeira questão estava errada.

• A segunda questão estava certa.