Realizando Análise Dinâmica com ANY.RUN

Quando Usar

• Quando a análise interativa de malware é necessária, onde o analista precisa clicar em caixas de diálogo, inserir credenciais ou navegar por telas de instalação.
• Análise rápida em sandbox baseada em nuvem sem a necessidade de manter infraestrutura de sandbox local.
• Malware que requer interação do usuário para prosseguir após verificações anti-sandbox (macros de documentos que exigem "Habilitar Conteúdo").
• Compartilhamento de resultados de análise com membros da equipe através de URLs de tarefas públicas ou privadas.
• Comparação de comportamento entre diferentes versões de sistema operacional (Windows 7, 10, 11) disponíveis no ANY.RUN.

Não use para amostras altamente sensíveis que não podem ser carregadas em serviços de nuvem; use uma sandbox local como o Cuckoo em vez disso.

Pré-requisitos

• Conta ANY.RUN (nível gratuito da comunidade ou assinatura paga em https://any.run)
• Navegador web moderno com suporte a WebSocket para streaming de sessão interativa.
• Arquivo de amostra pronto para upload (máximo de 100 MB para o nível gratuito, 256 MB para o pago).
• Compreensão do tipo de amostra para selecionar o ambiente de execução apropriado.
• VPN ou rede segura para acessar o portal ANY.RUN durante as sessões de análise.

Fluxo de Trabalho

Passo 1: Configurar o Ambiente de Análise

Configure a tarefa do ANY.RUN com os parâmetros apropriados:

ANY.RUN Task Configuration:
━━━━━━━━━━━━━━━━━━━━━━━━━━
OS Selection:        Windows 10 x64 (recommended default)
                     Windows 7 x64 (for legacy malware)
                     Windows 11 x64 (for modern samples)
Execution Time:      60 seconds (default) / 120-300 for slow-acting malware
Network:             Connected (captures real C2 traffic)
                     Residential Proxy (bypasses geo-blocking)
Privacy:             Public (free tier) / Private (paid - not indexed)
MITM Proxy:          Enable for HTTPS traffic decryption
Fake Net:            Enable to simulate internet services if sample checks connectivity

Submissão baseada em API (nível pago):

# Submit file via ANY.RUN API
curl -X POST "https://api.any.run/v1/analysis" \
  -H "Authorization: API-Key $ANYRUN_API_KEY" \
  -F "file=@suspect.exe" \
  -F "env_os=windows" \
  -F "env_version=10" \
  -F "env_bitness=64" \
  -F "opt_timeout=120" \
  -F "opt_network_connect=true" \
  -F "opt_privacy_type=bylink"

# Check task status
curl "https://api.any.run/v1/analysis/$TASK_ID" \
  -H "Authorization: API-Key $ANYRUN_API_KEY" | jq '.data.status'

Passo 2: Interagir com o Malware Durante a Execução

Use a sessão interativa para acionar o comportamento do malware:

Interactive Actions During Analysis:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. Document Macros:   Click "Enable Content" / "Enable Editing" when prompted
2. Installer Screens: Click through installation dialogs
3. UAC Prompts:       Click "Yes" to allow elevation (observe privilege escalation)
4. Credential Harvests: Enter fake credentials to observe phishing behavior
5. Browser Redirects:  Navigate to URLs if malware opens browser windows
6. File Dialogs:       Select target files if malware presents file picker
7. Timeout Extension:  Extend analysis time if malware has delayed execution

Passo 3: Analisar a Árvore de Processos

Revise a cadeia completa de execução de processos:

Process Tree Analysis Points:
━━━━━━━━━━━━━━━━━━━━━━━━━━━
Parent-Child Relationships:
  - WINWORD.EXE -> cmd.exe -> powershell.exe (macro execution chain)
  - explorer.exe -> suspect.exe -> svchost.exe (process injection)

Process Events to Note:
  - Process creation with suspicious command-line arguments
  - PowerShell with encoded commands (-enc / -encodedcommand)
  - cmd.exe executing script files (.bat, .vbs, .js)
  - Legitimate processes spawned from unusual parents
  - Process termination (self-deletion behavior)

Passo 4: Revisar Atividade de Rede

Examine conexões DNS, HTTP/HTTPS e TCP/UDP:

ANY.RUN Network Panel Analysis:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
DNS Requests:
  - Domain resolutions with threat intelligence tags
  - Fast-flux or DGA domain patterns
  - DNS over HTTPS (DoH) detection

HTTP/HTTPS Traffic (with MITM enabled):
  - Full request/response bodies for HTTP
  - Decrypted HTTPS traffic showing C2 commands
  - Downloaded payloads and their content types
  - POST data containing exfiltrated information

Connection Map:
  - Geographic visualization of C2 server locations
  - Connection timeline showing beacon patterns
  - Suricata alerts triggered on network traffic

Passo 5: Examinar IOCs e Inteligência de Ameaças

Extraia indicadores e mapeie para ameaças conhecidas: