Realizando Enriquecimento de Hashes de Malware com VirusTotal

Visão Geral

O VirusTotal é o maior corpus de malware do mundo, escaneando arquivos com mais de 70 mecanismos antivírus e fornecendo análise comportamental, correspondências de regras YARA, indicadores de rede e inteligência da comunidade. Esta habilidade abrange o uso da API v3 do VirusTotal para enriquecer hashes de arquivos (MD5, SHA-1, SHA-256) com vereditos de detecção, relatórios de sandbox, indicadores relacionados e inteligência contextual para fluxos de trabalho de triagem de SOC, resposta a incidentes e enriquecimento de inteligência de ameaças.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de enriquecimento de hashes de malware com VirusTotal
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Python 3.9+ com vt-py (cliente oficial do VirusTotal para Python) ou requests
• Chave de API do VirusTotal (nível gratuito: 4 requisições/minuto, 500/dia; premium para limites mais altos)
• Compreensão dos tipos de hash de arquivo: MD5, SHA-1, SHA-256
• Familiaridade com convenções de nomenclatura de detecção de AV
• Conhecimento de STIX 2.1 para representação de IOC

Conceitos Chave

API v3 do VirusTotal

A API fornece endpoints RESTful para relatórios de arquivos (/files/{hash}), escaneamento de URLs, relatórios de domínios, inteligência de endereços IP e caça avançada com VirusTotal Intelligence (VTI). Cada relatório de arquivo inclui resultados de detecção de mais de 70 motores de AV, análise comportamental de sandboxes, correspondências de regras YARA, correspondências de regras sigma, metadados de arquivo (cabeçalhos PE, importações, seções), indicadores de rede (IPs contatados, domínios, URLs) e votos e comentários da comunidade.

Fluxo de Trabalho de Enriquecimento de Hash

O fluxo de enriquecimento típico é: receber hash de alerta/EDR -> consultar API VT -> analisar taxa de detecção -> extrair indicadores comportamentais -> correlacionar com inteligência existente -> tomar decisão de triagem. A API retorna um objeto last_analysis_stats com contagens de malicious, suspicious, undetected e harmless.

Pivoteamento a partir de Hashes

O VirusTotal permite o pivoteamento de um único hash para inteligência relacionada: arquivos semelhantes (amostras ITW/in-the-wild), domínios e IPs contatados (infraestrutura C2), arquivos descartados, URLs incorporadas, correspondências de regras YARA e atribuição de ator de ameaça por meio de inteligência crowdsourced.

Fluxo de Trabalho

Etapa 1: Consultar o VirusTotal para Relatório de Hash

import vt
import json
import hashlib
from datetime import datetime

class VTEnricher:
    def __init__(self, api_key):
        self.client = vt.Client(api_key)

    def enrich_hash(self, file_hash):
        """Enriquece um hash de arquivo com inteligência do VirusTotal."""
        try:
            file_obj = self.client.get_object(f"/files/{file_hash}")
            stats = file_obj.last_analysis_stats
            report = {
                "hash": file_hash,
                "sha256": file_obj.sha256,
                "sha1": file_obj.sha1,
                "md5": file_obj.md5,
                "file_type": getattr(file_obj, "type_description", "Unknown"),
                "file_size": getattr(file_obj, "size", 0),
                "first_submission": str(getattr(file_obj, "first_submission_date", "")),
                "last_analysis_date": str(getattr(file_obj, "last_analysis_date", "")),
                "detection_stats": {
                    "malicious": stats.get("malicious", 0),
                    "suspicious": stats.get("suspicious", 0),
                    "undetected": stats.get("undetected", 0),
                    "harmless": stats.get("harmless", 0),
                },
                "detection_ratio": f"{stats.get('malicious', 0)}/{sum(stats.values())}",
                "popular_threat_names": getattr(file_obj, "popular_threat_classification", {}),
                "tags": getattr(file_obj, "tags", []),
                "names": getattr(file_obj, "names", []),
            }
            total_engines = sum(stats.values())
            mal_count = stats.get("malicious", 0)
            report["threat_level"] = (
                "critical" if mal_count > total_engines * 0.7
                else "high" if mal_count > total_engines * 0.4
                else "medium" if mal_count > total_engines * 0.1
                else "low" if mal_count > 0
                else "clean"
            )
            print(f"[+] {file_hash[:16]}... -> {report['detection_ratio']} "
                  f"({report['threat_level'].upper()})")
            return report

…