Extraindo IOCs de Amostras de Malware

Quando Usar

• A análise de malware (estática ou dinâmica) foi concluída e indicadores acionáveis precisam ser extraídos para as equipes de defesa.
• Construindo listas de bloqueio para firewalls, proxies e DNS sinkholes a partir de amostras analisadas.
• Criando regras YARA, assinaturas Snort/Suricata ou conteúdo de detecção SIEM a partir de artefatos de malware.
• Contribuindo para plataformas de compartilhamento de inteligência de ameaças (MISP, OTX, ThreatConnect).
• Rastreando campanhas de malware correlacionando IOCs entre várias amostras.

Não use para IOCs de fontes não verificadas sem validação; falsos positivos em listas de bloqueio podem interromper operações comerciais legítimas.

Pré-requisitos

• Python 3.8+ com as bibliotecas iocextract, pefile, yara-python instaladas.
• Relatório de análise de malware concluído (análise estática, análise dinâmica ou engenharia reversa).
• Acesso a arquivos PCAP, dumps de memória ou relatórios de sandbox da análise.
• Instância MISP ou servidor STIX/TAXII para compartilhamento estruturado de IOCs.
• Chave de API do VirusTotal para enriquecimento e validação de IOCs.
• CyberChef para decodificar indicadores ofuscados.

Fluxo de Trabalho

Etapa 1: Extrair IOCs Baseados em Arquivos

Calcule hashes e identifique indicadores de metadados de arquivos:

# Generate all standard hashes
md5sum malware_sample.exe
sha1sum malware_sample.exe
sha256sum malware_sample.exe

# Generate ssdeep fuzzy hash for similarity matching
ssdeep malware_sample.exe

# Generate imphash (import hash) for PE files
python3 -c "
import pefile
pe = pefile.PE('malware_sample.exe')
print(f'Imphash: {pe.get_imphash()}')
"

# Generate TLSH (Trend Micro Locality Sensitive Hash)
python3 -c "
import tlsh
with open('malware_sample.exe', 'rb') as f:
    h = tlsh.hash(f.read())
print(f'TLSH: {h}')
"

# Compile file metadata IOCs
python3 << 'PYEOF'
import pefile
import os
import hashlib
import datetime

pe = pefile.PE("malware_sample.exe")

print("FILE IOCs:")
with open("malware_sample.exe", "rb") as f:
    data = f.read()
    print(f"  MD5:        {hashlib.md5(data).hexdigest()}")
    print(f"  SHA-1:      {hashlib.sha1(data).hexdigest()}")
    print(f"  SHA-256:    {hashlib.sha256(data).hexdigest()}")
    print(f"  File Size:  {len(data)} bytes")

ts = pe.FILE_HEADER.TimeDateStamp
print(f"  Compile:    {datetime.datetime.utcfromtimestamp(ts)} UTC")
print(f"  Imphash:    {pe.get_imphash()}")
PYEOF

Etapa 2: Extrair IOCs de Rede

Obtenha indicadores de rede de strings, PCAP e relatórios de sandbox:

# Extract network IOCs from strings
import re

with open("malware_sample.exe", "rb") as f:
    data = f.read()

# Extract ASCII and Unicode strings
ascii_strings = re.findall(b'[ -~]{4,}', data)
unicode_strings = re.findall(b'(?:[ -~]\x00){4,}', data)

all_strings = [s.decode('ascii', errors='ignore') for s in ascii_strings]
all_strings += [s.decode('utf-16-le', errors='ignore') for s in unicode_strings]

# IP addresses (excluding private ranges for C2 indicators)
ip_pattern = re.compile(r'\b(?:(?:25[0-5]|2[0-4]\d|1\d{2}|[1-9]?\d)\.){3}(?:25[0-5]|2[0-4]\d|1\d{2}|[1-9]?\d)\b')
ips = set()
for s in all_strings:
    for ip in ip_pattern.findall(s):
        # Filter out private/reserved ranges
        octets = [int(o) for o in ip.split('.')]
        if octets[0] not in [10, 127, 0] and not (octets[0] == 172 and 16 <= octets[1] <= 31) and not (octets[0] == 192 and octets[1] == 168):
            ips.add(ip)

# Domain names
domain_pattern = re.compile(r'\b[a-zA-Z0-9](?:[a-zA-Z0-9-]{0,61}[a-zA-Z0-9])?(?:\.[a-zA-Z]{2,})+\b')
domains = set()
for s in all_strings:
    for d in domain_pattern.findall(s):
        if not d.endswith(('.dll', '.exe', '.sys', '.com.au')):
            domains.add(d)

# URLs
url_pattern = re.compile(r'https?://[^\s<>"{}|\\^`\[\]]+')
urls = set()
for s in all_strings:
    for u in url_pattern.findall(s):
        urls.add(u)

print("NETWORK IOCs:")
print(f"  IPs:     {ips}")
print(f"  Domains: {domains}")
print(f"  URLs:    {urls}")

Etapa 3: Extrair IOCs Baseados em Host

Identifique caminhos de arquivo, chaves de registro, mutexes e serviços:

# Extrair IOCs baseados em host do relatório de sandbox
import json

with open("cuckoo_report.json") as f:
    report = json.load(f)

print("IOCs de HOST:")

# Caminhos de arquivo criados ou modificados
print("\nCaminhos de Arquivo:")
for f in report["behavior"]["summary"].get("files", []):
    if any(p in f.lower() for p in ["temp", "appdata", "system32", "programdata"]):
        print(f"  [DROPPED] {f}")

# Chaves de registro para persistência
print("\nChaves de Registro:")

…