Analisi malware
Ciò che la nostra pipeline sa di un campione: tipo di file, packing, pattern riconosciuti e campioni correlati.
Solo SHA-256. È la chiave su cui è indicizzato il nostro database di analisi: non riceviamo mai il file, solo la sua impronta.
Come leggere il risultato
L'entropia non è un verdetto
Misura quanto sono casuali i byte, da 0 a 8. Un valore vicino a 8 indica dati compressi o cifrati: è ciò che fanno i packer, ma anche la maggior parte degli installer legittimi.
Gli indicatori sono stringhe
Gli indirizzi e gli URL sono ciò che una scansione dei byte ha trovato nel file. Molti appartengono a certificati e librerie che il file si porta semplicemente dietro, non a qualcosa che contatta.
Una corrispondenza indica una famiglia, non un nome
Una regola DYNEX riconosce un pattern di codice. Trentamila campioni che condividono un loader generico dicono che quel loader è comune, non che appartengono tutti alla stessa campagna.