Wie analysiert man Malware richtig? Einstellungen

[Remover]

Wie analysiert man Malware?

Dazu sollte man wohl Assembler gut koennen und einen guten
Debugger/Disassembler benutzen.
Die meisten werden jetzt wohl sagen, ist ja klar....
Zudem sollte man sicherlich noch ein Testsystem haben, das man bei
bedarf auf knopfdruck oder per Reboot wieder neu aufsetzt, das abgeschirmt
ist von jeglichen Netzwerk oder Internet und sehr viel Erfahrung mit
Computer und Betriebsystem (MCSE von Vorteil) haben.

Persoenlich wuerde ich auch gerne in diese Richtung schwenken.
Ich remove jede Woche mehrere Viren, Trojaner, Wuermer, Hijacker etc.
von Kundenrechnern und bin schon auf so manches noch unbekanntes
Exemplar getroffen. Als unerfahren wuerde ich mich auch nicht gerade
bezeichnen, bin schon seit VC20 Zeiten dabei und kann auch etwas Assembler.

Mich wuerde auch mal interessieren wie die Profis das machen....

Gibt es womoeglich Tools die ihr benutzt, sind diese erwerblich oder
hat jede Firma ihre eigenen entwickelt.
Denke das die meisten Firmen schon so eine Art Sandbox haben,
die dann z.b. saemtliche Registry Aenderungen usw. loggt, oder!?
Man geht ja bestimmt nicht per Hand durch die ganzen Eintraege.....

Also lasst uns mal weggehen von diesen Virenexchange aus den
anderen Threads, denke auch das da jeder drankommt, wenn er wirklich will.

Vorwurf war dort, das ihr euer Wissen nicht preisgebt.....und das obwohl
die Branche wirklich noch Hardcore Analyse Leute gebrauchen kann.
Jeder hat mal klein angefangen.....wie waere es also mit ein paar guten
und brauchbaren Tipps, wie man das richtig macht.
Vielleicht springen dabei in ein paar Jahren ein paar gute Leute raus.
Und wenn das ganze entsprechend mit Fachbegriffen geschrieben wird
koennen es sowieso nur die nachvollziehen, die schon ein wenig Ahnung haben.
Zudem machen es die Leute so oder so....mit euren Tipps koennt ihr
sie wenigstens auf den richtigen Weg bringen und vor allen zu den
noetigen Sicherheitsschritten auffordern.

Bin gespannt ob ein Profi mal verraet was fuer Tools eingesetzt werden....

[Gast_Nautilus_*]

1.
Wie gesagt, ich stimme Dir zu, dass das Analysieren von Malware nicht ungefährlich ist. Man kann dabei sich und andere verseuchen. Allerdings kann man sich auch bei Kazaa etwas einfangen und weiterverbreiten.

2.
Ich hatte schon verstanden, dass bei Deinem Beispiel ein Virus im Trojaner versteckt ist. Auch in diesem Fall kann aber nur etwas passieren, wenn irgendjemand beim Analysieren einen groben Fehler macht. Denn auch derjenige, der die Malware per Email bekommt, muesste sie ja eigentlich wieder in einer Virtual Machine oder auf einem Testcomputer ausprobieren. Möglich ist ein solcher Fehler natürlich.

Andererseits passiert es wohl nicht soo häufig, dass ein Virus gerade in einem Trojaner versteckt ist. Wahrscheinlicher ist wohl ein Wirt namens britneynude.scr (im Kazaa) oder?

Im Ergebnis kann beim Analysieren von Malware sicher mal ein Unglück passieren. Aber ist die Chance so hoch, dass deshalb jeder, der kein offizielles Malware-Analyse Diplom hat, die Finger davon lassen muss? Wer garantiert, dass nicht auch professionelle Analysten mal Mist bauen?

3.
"Zum Thema VMWare - ich schrieb bewusst hat kein Netz, denn wenigstens darauf sollte man achten dass eine VMWare vom NAT getrennt wird wenn man dort Wuermer startet."

Das sehe ich etwas anders. Es genügt, dass auf dem Host-System eine PFW läuft. Dies hat sogar den Vorteil, dass man die Verbindungsversuche des Wurms genau mitbekommt und somit prüfen kann, ob er richtig funktioniert. (Die PFW auf dem Host kann ja auch nicht durch den Wurm gekillt oder getunnelt werden.)

4.
"Und da wir grade beim Thema VMWare sind - wer von den "Hobby-Malware-Analysten" stellt sicher, dass es keine Malware ist, welche sich automatisch per Drag'n'Drop in's Host Windows Verzeichnis kopiert, und dort beispielsweise eine Datei ersetzt, welches automatisch beim naechsten Systemstart des Host PC's mitgestartet wird ? Das Drag'n'Drop funktioniert nur wenn Du die VMWare Tool's auf dem Clienten installiert hast. Sprich es gibt dort eine 'API' die mit dem Host-System kommuniziert. Schon mal daraueber nachgedacht dass genau diese Funktionalitaet (sich beispielsweise in diese API einklinken) auch Malware nutzen koennte ?!"

Theoretisch denkbar ist das wohl. Setzt voraus, dass VMWare schlampig programmiert ist. Wahrscheinlich ist das wohl nicht.

Unabhängig davon habe ich Dir aber bereits zugestimmt, dass eine seriöse Analyse wohl nicht mit VMWare möglich ist. Und zwar deshalb, weil man sich nicht sicher sein kann, dass sich die Malware so verhält wie auf einem realen Computer. Aber darauf hast Du ja schon zutreffend hingewiesen.

EDITED:

" Nundenn, da alle anderen offensichtlich schlauer sind - analysiert mal schoen Malware. Viel Spass dabei. Ende der Diskussion fuer mich."

Nunja. Da Du uns ohnehin für hoffnungslos unterbelichtet hältst und deshalb auch nicht bereit bist, uns etwas anderes zu sagen als "Finger weg von der Analyse durch Euch Deppen", stand es im Ergebnis sowieso fest, dass von Dir keine wirkliche Hilfe zu erwarten ist.

Der Beitrag wurde von Nautilus bearbeitet: 21.03.2004, 08:59