ANÁLISE DE ARTEFATOS MALICIOSOS. Professor: Jósis Alves

Transcrição

1 ANÁLISE DE ARTEFATOS MALICIOSOS Professor: Jósis Alves

2 Análise de Artefatos Maliciosos No contexto criminal objetiva: Responder as solicitações que constam nos laudos periciais. Esclarecer os fatos em apuração. Confirmar ou refutar a materialidade do delito. Descrever a dinâmica e identificar a sua autoria.

3 Tipos de Análise Demanda a utilização de várias ferramentas e técnicas. Pode ser dividida em dois grupos: Análise estática Análise dinâmica

4 Análise Estática Consiste em todas as formas para se descobrir como funciona o malware, sem sua execução. Ela subdivide-se em: Análise Estática Básica Análise Estática Avançada

5 Análise Estática Análise Estática Básica Exame do executável com auxilio de ferramentas. Não há análise das instruções de máquina no arquivo binário. Algumas informações acerca do funcionamento do malware podem ser obtidas. Dentre as técnicas utilizadas para isso, temos: Análise de strings Exibição de recursos do binário

6 Análise Estática Análise Estática Básica Obs.: Este tipo de análise, apesar de conseguir obter informações de funcionamento, é considerada pouco eficiente em malwares que implementam a ofuscação de código*. * Diversos métodos que dificultam a engenharia reversa.

7 Análise Estática Análise Estática Avançada É realizada através de engenharia reversa. Utiliza-se como ferramenta um desmontador (disassembler*) para que se possa analisar as instruções do binário. *Converte o código binário em linguagem assembly, compreensível ao ser humano.

8 Ano: 2016 Banca: CESPE Órgão: TCE-PA Prova: Auditor de Controle Externo - Área Informática - Analista de Segurança 1) Acerca da análise de malwares executáveis em ambiente Windows, julgue o item a seguir. Por meio da análise estática, é possível descrever o comportamento de um malware como se ele estivesse sendo executado em tempo real. ( ) Certo ( ) Errado

9 Ano: 2016 Banca: CESPE Órgão: TCE-PA Prova: Auditor de Controle Externo - Área Informática - Analista de Segurança 2) Acerca da análise de malwares executáveis em ambiente Windows, julgue o item a seguir. Informações a respeito das funções que um malware executa podem ser obtidas pela extração de strings desse malware. ( ) Certo ( ) Errado

10 Análise Dinâmica É o entendimento do funcionamento do malware em execução (alocado em memória e consumindo recursos de processamento). Observa-se as alterações realizadas pelo malware: No sistema operacional Nos arquivos em disco Na rede

11 Análise Dinâmica Para a análise das instruções em linguagem de montagem do arquivo binário, em tempo de execução, é realizada utilizando-se depuradores*. *Utilizados para se determinar o fluxo lógico de um programa. Permite executar um código passo a passo, rastrear a depuração, configurar breakpoints (pontos de interrupção), visualizar variáveis, etc.

12 Análise Dinâmica A análise dinâmica também é subdividida em: Análise Dinâmica Básica Análise Dinâmica Avançada

13 Análise Dinâmica Análise Dinâmica Básica A análise se constitui na observação do malware em um ambiente computacional após execução. Objetiva verificar quais as alterações realizadas por ele, sem a depuração das instruções em tempo de execução.

14 Análise Dinâmica Análise Dinâmica Básica Nesta análise, ferramentas serão utilizadas para: Analisar as systems calls feitas pelo malware Alterações em arquivos Inserções de chaves em registros windows Tentativas de conexão de rede Entre outras técnicas.

15 Análise Dinâmica Análise Dinâmica Avançada Fundamenta-se na utilização de depurador (debugger) para exame das instruções aplicadas pelo malware, em tempo de execução. É um procedimento eficiente em casos que o malware se utiliza de técnicas antianálise* *Conjunto de técnicas usadas para prevenir a análise das atividades maliciosas quando emexecução.

16 Análise Post-Mortem É a análise comportamental do malware baseada nos vestígios (logs de sistemas, de aplicações, etc) encontrados pós execução em um ambiente computacional. Muitas vezes, o que resta do malware será apenas os vestígios deixados devido a sua remoção.

17 GABARITO 1 - Errado 2 - Certo