Pillole di #MalwareAnalysis

Uno degli #IoC facilmente identificabili di un #Malware è la sua firma #Hash.

Questa firma può essere generata con differenti algoritmi, e tra questi i più utilizzati abbiamo # MD5, # SHA1 e # SHA256. La caratteristica di queste firme è che se viene modificato anche un singolo bit del file sorgente gli Hash risultanti sono completamente differenti.

Se abbiamo due malware praticamente identici ma che all’interno contengono modifiche non sostanziali come ad esempio il dominio che viene contattato o che addirittura sono stati semplicemente compilati da due differenti compilatori avranno due hash completamente differenti.

Per superare questo problema ci viene in aiuto il #FuzzyHashing. Grazie al tool #SSdeep vengono creati hash incrementali dei differenti file e confrontati tra di loro per fornire poi la percentuale di similarità.

#Cybersecurity #ZeroDay #Hacker #APT

Pillole di #MalwareAnalysis

Nella pillola precedente vi avevo parlato di Fuzzy Hashing, ora di #Imphash. Questo particolare hash riguarda la tabella #IAT (Importa Address Table) contenente tutte le funzioni importate dal #Malware. Queste funzioni e le relative librerie vengono messe in ordine di apparizione, riportate tutte in lettere minuscole, private delle estensioni (per le dll) e poi viene generato l’#hash #md5. Questo valore, che di per sé è poco indicativo, può permettere di capire se due differenti malware appartengono alla stessa famiglia e se sono stati generati dallo stesso threat actor.

Questo valore viene anche fornito da #VirusTotal il famoso motore di identificazione malware di proprietà di #Google.

#Hacker #ZeroDay #Cybersecurity

Pillole di #MalwareAnalysis

Uno degli #IoC facilmente identificabili di un #Malware è la sua firma #Hash.

Questa firma può essere generata con differenti algoritmi, e tra questi i più utilizzati abbiamo # MD5, # SHA1 e # SHA256. La caratteristica di queste firme è che se viene modificato anche un singolo bit del file sorgente gli Hash risultanti sono completamente differenti.

Se abbiamo due malware praticamente identici ma che all’interno contengono modifiche non sostanziali come ad esempio il dominio che viene contattato o che addirittura sono stati semplicemente compilati da due differenti compilatori avranno due hash completamente differenti.

Per superare questo problema ci viene in aiuto il #FuzzyHashing. Grazie al tool #SSdeep vengono creati hash incrementali dei differenti file e confrontati tra di loro per fornire poi la percentuale di similarità.

#Cybersecurity #ZeroDay #Hacker #APT

Pillole di #MalwareAnalysis

Durante il processo di #malware analisi è fondamentale l’ analisi dinamica. Durante questa fase è necessario attivare il Malware infettandosi volontariamente con lo scopo di analizzarne il comportamento. Tra i tools utilizzati sono fondamentali quelli appartenenti alla suite #Sysinternals di #Microsoft.

Tra questi il più importante di tutti è sicuramente #ProcessoMonitor.

Tramite PM è possibile catturare una quantità elevatissima di eventi riguardanti il processo da analizzare. In particolare, gli eventi di tipo Write attivati dell’esecuzione delle primitive #CreateFile e #RegSetValue che consentono di identificare i file creati dal malware e le chiavi di registro modificate o create ex novo.

#cybersecurity #hacker #penetrationtesting #zeroday #apt