Analisando Relações de Famílias de Malware com Malpedia

Visão Geral

Malpedia é uma plataforma colaborativa mantida pela Fraunhofer FKIE que cataloga famílias de malware com seus aliases, regras YARA, associações de atores de ameaça e relatórios de referência. Com mais de 2.600 famílias de malware documentadas, ela serve como o recurso definitivo para entender linhagens de malware, rastrear a evolução de variantes e vincular malware a grupos de ameaça específicos. Esta habilidade abrange a consulta da API Malpedia, o mapeamento de relações de famílias de malware, a extração de regras YARA para detecção e a construção de inteligência sobre ecossistemas de malware usados por adversários.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de relações de famílias de malware com Malpedia.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com as bibliotecas requests, yara-python, stix2.
• Chave de API Malpedia (registre-se em https://malpedia.caad.fkie.fraunhofer.de/).
• Compreensão de classificação de malware e convenções de nomenclatura.
• Familiaridade com a sintaxe de regras YARA para detecção.
• Acesso a amostras de malware para validação (opcional).

Conceitos Chave

Modelo de Dados Malpedia

Malpedia organiza malware em Famílias (por exemplo, "win.cobalt_strike"), cada uma contendo: aliases (nomes específicos do fornecedor como "Beacon", "CobaltStrike"), regras YARA (contribuídas pela comunidade e fornecedores), associações de atores (grupos de ameaça que usam a família), relatórios de referência (relatórios CTI que documentam a família) e hashes de amostras (amostras representativas para cada variante).

Nomenclatura de Famílias de Malware

Malpedia usa o formato platform.family_name (por exemplo, win.emotet, elf.mirai, apk.flubot). As plataformas incluem win (Windows), elf (Linux), apk (Android), osx (macOS) e py (Python). Essa nomenclatura padronizada resolve o problema de "muitos nomes", onde fornecedores diferentes atribuem nomes diferentes ao mesmo malware.

Relações de Famílias

Famílias de malware têm relações que incluem: pai-filho (reutilização de código, forks), loader-payload (Emotet carrega TrickBot carrega Ryuk), autoria compartilhada (o mesmo ator de ameaça desenvolve múltiplas ferramentas) e compartilhamento de infraestrutura (frameworks C2 comuns).

Fluxo de Trabalho

Etapa 1: Consultar a API Malpedia para Famílias de Malware

import requests
import json
from collections import defaultdict

class MalpediaClient:
    BASE_URL = "https://malpedia.caad.fkie.fraunhofer.de/api"

    def __init__(self, api_key):
        self.headers = {"Authorization": f"apitoken {api_key}"}

    def get_family_list(self):
        """Obtém a lista de todas as famílias de malware."""
        resp = requests.get(f"{self.BASE_URL}/list/families",
                           headers=self.headers, timeout=30)
        if resp.status_code == 200:
            families = resp.json()
            print(f"[+] Malpedia: {len(families)} famílias de malware")
            return families
        return {}

    def get_family_info(self, family_name):
        """Obtém informações detalhadas sobre uma família de malware."""
        resp = requests.get(f"{self.BASE_URL}/get/family/{family_name}",
                           headers=self.headers, timeout=30)
        if resp.status_code == 200:
            info = resp.json()
            print(f"[+] Família: {family_name}")
            print(f"    Aliases: {info.get('alt_names', [])}")
            print(f"    Atores: {[a.get('value', '') for a in info.get('attribution', [])]}")
            print(f"    URLs: {len(info.get('urls', []))} referências")
            return info
        print(f"[-] Família não encontrada: {family_name}")
        return None

    def get_family_yara(self, family_name):
        """Obtém regras YARA para uma família de malware."""
        resp = requests.get(f"{self.BASE_URL}/get/yara/{family_name}",
                           headers=self.headers, timeout=30)
        if resp.status_code == 200:
            rules = resp.json()
            rule_count = sum(len(v) for v in rules.values()) if isinstance(rules, dict) else 0
            print(f"[+] Regras YARA para {family_name}: {rule_count} regras")
            return rules
        return {}

    def get_actor_families(self, actor_name):
        """Obtém famílias de malware associadas a um ator de ameaça."""
        resp = requests.get(f"{self.BASE_URL}/get/actor/{actor_name}",
                           headers=self.headers, timeout=30)

…