Realizando Extração de IOCs de Malware

Visão Geral

A extração de Indicadores de Comprometimento (IOCs) de malware é o processo de analisar software malicioso para identificar indicadores acionáveis de comprometimento, incluindo hashes de arquivos, indicadores de rede (domínios C2, endereços IP, URLs), modificações de registro, nomes de mutex, strings embutidas e artefatos comportamentais. Esta habilidade abrange análise estática com análise de PE e extração de strings, análise dinâmica com detonação em sandbox, extração automatizada de IOCs usando ferramentas como YARA e formatação de resultados como indicadores STIX 2.1 para compartilhamento.

Quando Usar

• Ao conduzir avaliações de segurança que envolvam a realização de extração de IOCs de malware.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar testes ou auditorias de segurança agendados.
• Ao validar controles de segurança por meio de testes práticos.

Pré-requisitos

• Python 3.9+ com bibliotecas pefile, yara-python, oletools, stix2.
• Acesso a uma sandbox de análise de malware (Cuckoo, CAPE, Any.Run, Joe Sandbox).
• Chave de API do VirusTotal para enriquecimento.
• Ambiente de análise isolado (VM ou contêiner).
• Compreensão do formato de arquivo PE, técnicas comuns de empacotamento.
• Familiaridade com a sintaxe de regras YARA.

Conceitos Chave

IOCs de Análise Estática

• Hashes de Arquivo: MD5, SHA-1, SHA-256 da amostra e de quaisquer arquivos descartados.
• Hash de Importação (imphash): Hash da tabela de funções importadas, agrupa famílias de malware.
• Hash do Rich Header: Hash do Rich Header do PE para impressão digital do compilador.
• Strings: URLs embutidas, endereços IP, nomes de domínio, caminhos de registro, nomes de mutex.
• Metadados do PE: Timestamp de compilação, nomes de seções, recursos, assinaturas digitais.
• Artefatos Embutidos: Caminhos PDB, informações de versão, detalhes de certificado.

IOCs de Análise Dinâmica

• Atividade de Rede: Consultas DNS, requisições HTTP, conexões TCP/UDP, certificados SSL.
• Sistema de Arquivos: Arquivos e diretórios criados/modificados/excluídos.
• Registro: Chaves e valores de registro criados/modificados.
• Processo: Processos iniciados, processos injetados, criação de serviços.
• Comportamental: Chamadas de API, criação de mutex, tarefas agendadas, mecanismos de persistência.

Regras YARA

YARA é uma ferramenta de correspondência de padrões para identificar e classificar malware. As regras consistem em strings (texto, hex, regex) e condições que definem a lógica de correspondência. As regras podem detectar famílias de malware, empacotadores, kits de exploração e ferramentas de campanhas específicas.

Fluxo de Trabalho

Etapa 1: Análise Estática - Análise de PE e Geração de Hash

import pefile
import hashlib
import os

def analyze_pe(filepath):
    """Extrai IOCs de um arquivo PE através de análise estática."""
    iocs = {"hashes": {}, "pe_info": {}, "strings": [], "imports": []}

    # Calcula hashes do arquivo
    with open(filepath, "rb") as f:
        data = f.read()
    iocs["hashes"]["md5"] = hashlib.md5(data).hexdigest()
    iocs["hashes"]["sha1"] = hashlib.sha1(data).hexdigest()
    iocs["hashes"]["sha256"] = hashlib.sha256(data).hexdigest()
    iocs["hashes"]["file_size"] = len(data)

    # Analisa cabeçalhos PE
    try:
        pe = pefile.PE(filepath)
        iocs["hashes"]["imphash"] = pe.get_imphash()
        iocs["pe_info"]["compilation_time"] = str(pe.FILE_HEADER.TimeDateStamp)
        iocs["pe_info"]["machine_type"] = hex(pe.FILE_HEADER.Machine)
        iocs["pe_info"]["subsystem"] = pe.OPTIONAL_HEADER.Subsystem

        # Extrai seções
        iocs["pe_info"]["sections"] = []
        for section in pe.sections:
            iocs["pe_info"]["sections"].append({
                "name": section.Name.decode("utf-8", errors="ignore").strip("\x00"),
                "virtual_size": section.Misc_VirtualSize,
                "raw_size": section.SizeOfRawData,
                "entropy": section.get_entropy(),
                "md5": section.get_hash_md5(),
            })

        # Extrai importações
        if hasattr(pe, "DIRECTORY_ENTRY_IMPORT"):
            for entry in pe.DIRECTORY_ENTRY_IMPORT:
                dll_name = entry.dll.decode("utf-8", errors="ignore")
                functions = [
                    imp.name.decode("utf-8", errors="ignore")
                    for imp in entry.imports
                    if imp.name
                ]
                iocs["imports"].append({"dll": dll_name, "functions": functions})

        # Verifica características suspeitas
        iocs["pe_info"]["is_dll"] = pe.is_dll()
        iocs["pe_info"]["is_driver"] = pe.is_driver()
        iocs["pe_info"]["is_exe"] = pe.is_exe()

        # Informações de versão

…