Malware-Analyse
Was unsere Pipeline über ein Sample weiss: Dateityp, Packer, erkannte Muster und verwandte Samples.
Nur SHA-256. Nach diesem Schlüssel ist unsere Analysedatenbank indexiert: Wir erhalten nie die Datei selbst, nur ihren Fingerabdruck.
So lesen Sie das Ergebnis
Entropie ist kein Urteil
Sie misst, wie zufällig die Bytes sind, von 0 bis 8. Nahe 8 bedeutet komprimiert oder verschlüsselt: Das tun Packer, aber auch die meisten legitimen Installationsprogramme.
Indikatoren sind Zeichenketten
Die Adressen und URLs hat ein Byte-Scan in der Datei gefunden. Viele gehören zu Zertifikaten und Bibliotheken, die die Datei lediglich mitführt, nicht zu etwas, das sie kontaktiert.
Ein Treffer ist eine Familie, kein Name
Eine DYNEX-Regel erkennt ein Codemuster. Dreissigtausend Samples, die einen generischen Loader teilen, zeigen, dass der Loader verbreitet ist, nicht, dass sie alle zur selben Kampagne gehören.