Conduzindo Resposta a Incidentes de Malware

Quando Usar

• EDR ou antivírus detecta execução de malware em um ou mais endpoints
• Um usuário relata comportamento suspeito do sistema indicativo de infecção por malware
• Inteligência de ameaças indica uma campanha de malware visando o setor da organização
• Monitoramento de rede detecta tráfego de "beaconing" consistente com padrões conhecidos de C2 de malware
• Uma detonação de arquivo em sandbox retorna um veredito malicioso

Não use para analisar amostras de malware em contexto de pesquisa; use procedimentos dedicados de análise de malware para engenharia reversa.

Pré-requisitos

• Plataforma EDR com visibilidade da árvore de processos e capacidade de isolamento de host
• Ambiente de sandbox de malware (Cuckoo, ANY.RUN, Joe Sandbox, Hybrid Analysis)
• Acesso a plataformas de inteligência de ameaças para identificação de famílias de malware (VirusTotal, MalwareBazaar)
• Ferramentas de imagem forense para preservação de evidências (FTK Imager, KAPE)
• Imagens de sistema limpas ou imagens "gold" para reconstrução de endpoints
• Referência do framework MITRE ATT&CK para mapeamento de técnicas

Fluxo de Trabalho

Etapa 1: Detectar e Confirmar Presença de Malware

Valide o alerta de malware e colete indicadores iniciais:

• Revise os detalhes do alerta EDR: nome da detecção, caminho do arquivo, hash (SHA-256), árvore de processos
• Verifique se a detecção é uma família de malware conhecida ou uma detecção heurística genérica
• Consulte o hash do arquivo no VirusTotal, MalwareBazaar e inteligência de ameaças interna
• Examine a cadeia de execução de processos para determinar como o malware foi entregue

Detection Summary:
File:        C:\Users\jsmith\AppData\Local\Temp\update.exe
SHA-256:     a1b2c3d4e5f6...
Detection:   CrowdStrike: Malware/Qakbot | VirusTotal: 58/72 engines
Parent:      WINWORD.EXE → cmd.exe → powershell.exe → update.exe
Delivery:    Email attachment (Invoice-Nov2025.docm)
Network:     HTTPS POST to 185.220.101[.]42:443 every 60s
Persistence: Scheduled Task "WindowsUpdate" → update.exe

Etapa 2: Escopo da Infecção

Determine quantos sistemas foram afetados e o método de propagação do malware:

• Use o EDR para procurar o hash do malware, nome do arquivo e indicadores comportamentais em todos os endpoints
• Verifique a propagação baseada em rede (SMB, WMI, PsExec, exploração)
• Consulte os logs do gateway de e-mail para todos os destinatários do e-mail de entrega
• Procure por comunicações C2 para a infraestrutura identificada a partir de outros hosts internos
• Verifique mecanismos de persistência em todos os hosts infectados identificados

Etapa 3: Conter Sistemas Infectados

Execute a contenção de acordo com os procedimentos de contenção de violação ativa:

• Isole os endpoints infectados da rede via contenção EDR
• Bloqueie a infraestrutura C2 de malware no firewall e DNS
• Bloqueie o hash do malware na política de prevenção EDR em toda a organização
• Quarentene o e-mail de entrega de todas as caixas de correio (se entregue por e-mail)
• Desative contas de usuário comprometidas se houver suspeita de roubo de credenciais

Etapa 4: Analisar o Malware

Realize análise suficiente para suportar a erradicação completa:

• Envie a amostra para uma sandbox para análise dinâmica (relatório comportamental, arquivos descartados, IOCs de rede)
• Identifique todos os mecanismos de persistência: chaves de registro, tarefas agendadas, serviços, assinaturas WMI, pastas de inicialização
• Documente todos os artefatos do sistema de arquivos: arquivos descartados, arquivos modificados, diretórios criados
• Extraia IOCs de rede: domínios C2, IPs, URLs, user agents, hashes JA3/JA3S
• Mapeie os comportamentos observados para técnicas do MITRE ATT&CK

Malware Analysis Summary - Qakbot Variant
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Initial Access:   T1566.001 - Spearphishing Attachment (.docm)
Execution:        T1059.001 - PowerShell (encoded downloader)
Persistence:      T1053.005 - Scheduled Task
Defense Evasion:  T1055.012 - Process Hollowing (explorer.exe)
C2:               T1071.001 - HTTPS with custom headers
Collection:       T1005 - Data from Local System (browser credentials)
Exfiltration:     T1041 - Exfiltration Over C2 Channel

Artifacts:
- C:\Users\*\AppData\Local\Temp\update.exe (dropper)
- C:\ProgramData\Microsoft\{GUID}\config.dll (payload)
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\{random} (backup persistence)
- Scheduled Task: "WindowsUpdate" (primary persistence)

Etapa 5: Erradicar o Malware

Remova todos os artefatos de malware de cada sistema infectado:

• Termine processos maliciosos e threads injetados
• Exclua arquivos de malware de todos os caminhos identificados
• Remova mecanismos de persistência (tarefas agendadas, chaves de registro, serviços, assinaturas WMI)

…