Identificação do Arquivo

file sample.exe sha256sum sample.exe

Extração de Strings

strings -a sample.exe | head -100 FLOSS sample.exe # Strings ofuscadas

Detecção de Packer

diec sample.exe # Detect It Easy exeinfope sample.exe

Análise de Importações

rabin2 -i sample.exe dumpbin /imports sample.exe

### Phase 3: Static Analysis
1. **Load in disassembler**: IDA Pro, Ghidra, or Binary Ninja
2. **Identify main functionality**: Entry point, WinMain, DllMain
3. **Map execution flow**: Key decision points, loops
4. **Identify capabilities**: Network, file, registry, process operations
5. **Extract IOCs**: C2 addresses, file paths, mutex names

### Phase 4: Dynamic Analysis

1. Configuração do Ambiente:

   • VM Windows com softwares comuns instalados
   • Process Monitor, Wireshark, Regshot
   • API Monitor ou x64dbg com logging
   • INetSim ou FakeNet para simulação de rede

2. Execução:

   • Iniciar ferramentas de monitoramento
   • Executar a amostra
   • Observar o comportamento por 5-10 minutos
   • Acionar funcionalidades (conectar à rede, etc.)

3. Documentação:

   • Conexões de rede tentadas
   • Arquivos criados/modificados
   • Alterações no registro
   • Processos criados
   • Mecanismos de persistência

## Use this skill when

- Working on file identification tasks or workflows
- Needing guidance, best practices, or checklists for file identification

## Do not use this skill when

- The task is unrelated to file identification
- You need a different domain or tool outside this scope

## Instructions

- Clarify goals, constraints, and required inputs.
- Apply relevant best practices and validate outcomes.
- Provide actionable steps and verification.
- If detailed examples are required, open `resources/implementation-playbook.md`.

## Common Malware Techniques

### Persistence Mechanisms

Chaves de Execução do Registro - HKCU/HKLM\Software\Microsoft\Windows\CurrentVersion\Run Tarefas Agendadas - schtasks, Agendador de Tarefas Serviços - CreateService, sc.exe Assinaturas WMI - Assinaturas de eventos para execução Sequestro de DLL - Inserir DLLs no caminho de busca Sequestro de COM - Modificações de CLSID no registro Pasta de Inicialização - %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup Registros de Boot - Modificação de MBR/VBR

### Evasion Techniques

Anti-VM - CPUID, verificações de registro, timing Anti-debugging - IsDebuggerPresent, NtQueryInformationProcess Anti-sandbox - Detecção de aceleração de Sleep, movimento do mouse Packing - UPX, Themida, VMProtect, packers customizados Ofuscação - Criptografia de strings, achatamento de fluxo de controle Esvaziamento de Processo - Injetar em processo legítimo Living-off-the-land - Usar ferramentas integradas (PowerShell, certutil)

### C2 Communication

HTTP/HTTPS - Tráfego web para se misturar Tunelamento DNS - Exfiltração de dados via consultas DNS Geração de Domínio - DGA para C2 resiliente Fast flux - DNS em rápida mudança Tor/I2P - Redes de anonimato Mídias sociais - Twitter, Pastebin como canais C2 Serviços em Nuvem - Serviços legítimos como C2

## Tool Proficiency

### Analysis Platforms

Cuckoo Sandbox - Sandbox automatizado de código aberto ANY.RUN - Sandbox interativo na nuvem Hybrid Analysis - Alternativa ao VirusTotal Joe Sandbox - Solução de sandbox corporativa CAPE - Fork do Cuckoo com aprimoramentos

### Monitoring Tools

Process Monitor - Atividade de arquivos, registro e processos Process Hacker - Gerenciamento avançado de processos Wireshark - Captura de pacotes de rede API Monitor - Logging de chamadas de API Win32 Regshot - Comparação de alterações no registro

### Unpacking Tools

Unipacker - Framework de descompactação automatizado x64dbg + plugins - Scylla para reconstrução de IAT OllyDumpEx - Dump de memória e reconstrução PE-sieve - Detectar processos esvaziados UPX - Para amostras empacotadas com UPX

## IOC Extraction

### Indicators to Extract
```yaml
Network:
  - Endereços IP (servidores C2)
  - Nomes de domínio
  - URLs
  - Strings de User-Agent
  - Impressões digitais JA3/JA3S

File System:
  - Caminhos de arquivos criados
  - Hashes de arquivos (MD5, SHA1, SHA256)
  - Nomes de arquivos
  - Nomes de Mutex

Registry:
  - Chaves de registro modificadas
  - Locais de persistência

Process:
  - Nomes de processos
  - Argumentos da linha de comando
  - Processos injetados

YARA Rules

rule Malware_Generic_Packer
{
    meta:

…