Análise de Malware

Quando Usar

• Triagem de uma amostra suspeita em um ambiente controlado.
• Produção de detecções (YARA/Sigma) a partir de comportamento observado.

Cenários de Uso

• Análise de amostras de malware (PE/ELF/Mach-O/APK/Scripts)
• Criação e validação de regras YARA
• Geração de regras de detecção de comportamento Sigma
• Orquestração de análise automatizada em sandbox
• Extração de IOCs e inteligência de ameaças
• Detecção e contorno de técnicas anti-análise

Fluxo de Análise em Seis Fases

Fase 1: Triagem Inicial

# 快速静态检测
file sample.exe                      # 文件类型
strings sample.exe | grep -i "http\|cmd\|powershell\|base64"  # 快速 IOCs
rabin2 -zz sample.exe                # 字符串提取 + 交叉引用
floss sample.exe                     # 去混淆字符串提取（FireEye）

# PE 头部分析
pecheck sample.exe                   # PE 结构验证
pescan sample.exe                    # 异常检测（节表、入口点）
diec sample.exe                      # Detect It Easy（壳/编译器识别）

# Hash 查询
sha256sum sample.exe
# → VirusTotal / MalwareBazaar / Triage 查询

Triage MUST 清单（Issue #65）：
□ 文件类型：EXE / DLL / SYS / .NET / 脚本(bat|ps1|vba) / 其他
□ 架构 x86/x64/ARM；查壳（DIE 等）与编译语言线索
□ DLL/SYS：导入表与导出表并列检查（见 Phase 2 硬门）
□ .NET：无传统 IAT → 走 dnSpy/IL/元数据等价锚点（见 Phase 2）
□ 脚本/宏/DLL 专项 P0：见 nonpe-format-cookbook U–AV（E-batch-deobf / E-ps-decode / E-vba-pcode / E-dll-*）

Fase 1b: Descompactação e Tratamento de IAT (Quando Empacotado · Issue #65)

□ 无壳 / .NET → 跳到 Phase 2
□ 有壳：尝试脱壳（授权隔离环境）→ 尝试修复 IAT
  - x86：ImportREC（或等价）；x64：Scylla（或等价）。禁止 64 位死磕 ImportREC
□ 【IAT 修复铁律】优先自动/半自动修复；若工具报错或修复后无法运行：
  - 立即终止继续静态 IAT 修复
  - MUST 记录 E-iat-repair-fail（命令、工具、现象）
  - 转入 Phase 3 动态：API 断点（如 bp CreateFile）/ 硬件断点 / 内存搜索抓取导入
  - 这不算跳过导入表：路径已尝试并记 Evidence
□ 【补丁 6】脱壳+修 IAT 后闪退/蓝屏（疑 CRC/大小自校验）：
  - 放弃继续静态修文件；记 E-self-check-crash 或并入 E-iat-repair-fail
  - 转 Phase 3：对 CreateFile / GetFileSize / 哈希相关 API 下断
□ 用户指令可行性（§0.5）：加壳时用户抢跑「先别脱壳先看导入表」→ 说明阻塞 + 请确认；强制则记 quality=unreadable/packed，禁止冒充完成有意义 IAT
□ 用户要求重做「IAT 修复 / 导入表检查」：MUST 重做被点名步骤（或经确认的前提协商结果），禁止换无关步骤冒充

Fase 2: Análise Estática

反汇编/反编译：
□ IDA Pro / Ghidra: 深度反编译
□ radare2: CLI 快速分析
□ x64dbg: Windows GUI 调试器

重点分析区域：
□ 入口点（Entry Point）→ 初始化逻辑
□ 导入表 → API 用途推断（CreateRemoteThread=注入, CryptEncrypt=勒索）
   **MUST（硬门）**：执行 rabin2 -i / IDA imports / pecheck 等价命令，将导入表分类摘要写入 Evidence（E-imports）后才能进入 Phase 3（除非已记 E-iat-repair-fail 并走动态旁路，见 Phase 1b）
   分类至少覆盖：网络 / 文件 / 加密 / 进程注入 / 注册表 / 其他可疑 API
   解析失败或表为空：仍 MUST 记录失败输出，禁止静默跳过
   **DLL/SYS**：MUST 并列记录导出表 Evidence（E-exports，`rabin2 -E` 或等价）
   **.NET**：无传统 IAT 时 MUST 用 dnSpy/IL/元数据/程序集引用与敏感 API 摘要作为等价锚点，写入 E-imports / E-triage-imports 语义槽
   **干净导入表**：仅基础 DLL、几乎无业务 API → MUST 注明动态加载嫌疑（LoadLibrary/GetProcAddress），SHOULD 转入 Phase 3 抓内存 API；若见哈希解析特征 → E-api-hash（补丁 N）
   **宽字符串（T）**：ASCII strings 无 IOC 时 MUST 再试 UTF-16（strings -el / IDA unicode）
   **签名（F）**：有签名仍 MUST SigCheck；伪造/吊销不降威胁等级
   用户要求「重做导入表检查」：MUST 重做本项（阻塞时先走可行性门闩协商），禁止改换其他步骤冒充完成
   **高危 API 组合（补丁 8）**：表过长时优先输出恶意组合簇（如 FindWindow+WriteProcessMemory+CreateRemoteThread），过滤纯系统基础调用噪声
□ 资源段 → 嵌入 Payload（.rsrc 节）
□ 字符串表 → URL/C2/文件路径/Base64 blob
□ TLS 回调 → 调试器启动前执行

Fase 3: Análise Dinâmica em Sandbox

Sandboxes Automatizadas:
□ Joe Sandbox / ANY.RUN / Triage: Sandboxes comerciais
□ CAPE Sandbox: Código aberto + Integração YARA (Recomendado)
□ ASD Azul: Plataforma de análise de malware de código aberto (Lançamento em 2026)
□ Cuckoo Sandbox: Clássico de código aberto (gradualmente substituído pelo CAPE)

Pontos de Partida de Debug (Patch 7+10 · Ordem OBRIGATÓRIA, depurador em modo de usuário):
□ ① Breakpoint de Callback TLS → ② Breakpoint no Ponto de Entrada (EP) → ③ Breakpoint de API Sensível → ④ Breakpoint de Fallback ExitProcess/Caminho de Saída
□ Ao acionar ExitProcess: Não reinicie imediatamente; descarregue a memória imediatamente, escreva o caminho em Evidence (Patch 10)

Foco da Monitoração:
□ Criação de Processos: CreateProcess / ShellExecute
□ Operações de Arquivo: WriteFile → Ransomware? DeleteFile → Wiper?
□ Registro: Persistência em Run/RunOnce
□ Rede: HTTP/DNS → Comunicação C2
□ Memória: VirtualAllocEx → Injeção de Processo
□ Serviços: CreateService → Persistência
□ Falha na Correção de IAT / Amostras que Fecham Rapidamente por Autoverificação: Breakpoints em API Sensível + CreateFile/GetFileSize / Breakpoints de Execução de Hardware / Busca em Memória

Ramificação de Emergência para Falta de Comportamento (OBRIGATÓRIO):
□ Sandbox sem comportamento, fecha rapidamente ou entra em hibernação infinita → Verifique anti-debug/anti-VM (CPUID, temporizador, características do ambiente)
□ Tente contornar breakpoints de hardware, pontos de detecção de patch ou mude para uma máquina física/ambiente de maior fidelidade
□ Escreva "Sem Comportamento + Condições" em Evidence; não escreva incondicionalmente como "Amostra Inofensiva"

Caixa de Tempo (Patch 9 · RECOMENDADO por padrão, pode ser substituído):
□ Análise estática profunda por ~15 minutos sem caminho chave → Forçar transição para Fase Dinâmica desta Fase
□ Análise passo a passo dinâmica por ~200 instruções sem pistas maliciosas → Forçar retorno para strings estáticas/referências cruzadas para reancorar

Contorno de Anti-Debug/Ofuscação (Issue #65 A–T · Veja reverse-engineering/anti-analysis.md para receitas):
□ P0: CPUID / RDTSC / PEB / NtQueryInformationProcess → Registre os pontos de detecção e contorne no laboratório ou mude de ambiente (E-anti-debug-*)
□ P0: IAT Limpa → Resolução dinâmica de hash de API (bp GetProcAddress, E-api-hash)
□ P0: strings vazias → Rotina de descriptografia de strings + strings largas UTF-16 (E-string-decrypt / E-wide-strings)
□ P0: Assinatura suspeita → SigCheck; inválida/revogada não diminui a ameaça (E-sig-forge)
□ P1: Escaneamento de nome de processo / VEH / int3·DR / Seções sobrepostas / Overlay / .rsrc / Delay-Load
□ Achamento e predicados opacos de H/S → ollvm-deobfuscation.md (não copiar texto longo aqui)
□ Escreva Evidence mesmo em caso de falha no contorno; não saia por anti-debug = amostra inofensiva

Correção de Buracos para Não-PE / Scripts / DLLs (Issue #65 U–AV · Veja reverse-engineering/references/nonpe-format-cookbook.md):
□ bat/cmd: Restauração de concatenação SET (U) → E-batch-deobf; BOM UTF-16 (V); Inundação REM/GOTO (W)
□ PowerShell: Base64/Gzip de múltiplas camadas (X) desempacotamento por camada em Evidence; concatenação/inversão IEX (Z)  # security-allowlist: SEC005
□ VBA: Stomping/P-Code (AA); Chr/Base64 (AB); Macros de auto-modificação (AC)

…