Reverse Engineering

Vorsicht Malwareanalyse

, , , , , ,

Artikelserie: Malwareanalyse in 4 Schritten – VORSICHT

Nachdem ich nun die 4 Artikel zur Malwareanalyse geschrieben habe, habe ich gemerkt, dass es wichtig wäre auch etwas über die Einrichtung einer sicheren Analyse- bzw. Laborumgebung zu schreiben. 
Auch wenn sich die Malwareanalyse in diesen 4 Schritten so einfach anhört, ist damit jahrelanges Lernen verbunden. Dies ist alleine deshalb so, da die Malwareautoren kein Interesse an einer Erkennung der Malware haben und daher einige Mechanismen der Verschleierung anwenden. Neben dieser Verschleierung wenden sie aber auch für den Analysten schädliche Mechanismen an, die die eingesetzte Laborumgebung erkennen können. Daher ist es nicht nur aufgrund der eigentlichen schadhaften Wirkung von Malware wichtig eine sichere Analyseumgebung zu schaffen. 

Das Stichwort dafür lautet „Virtualisierung“. In der IT-Forensik, aber eigentlich auch im gesamten IT-Security-Umfeld, wird sehr häufig mit virtuellen Maschinen gearbeitet. Ein guter Artikel zur Einführung in virtuelle Maschinen gibt es auf der Seite von Tutonaut (Link).

Analyseumgebung einrichten

Mein Setting zur Analyse von Malware ist sehr häufig folgendermaßen:

Bild 1: Aufbau der Analyseumgebung

  • Hostmaschine: Windows-Rechner (beachte hierzu den Hinweise unten bei den Vorsichtsmaßnahmen). Auf dem Host werden zwei virtuelle Maschinen eingesetzt, die beide im „Host-only“-Netzwerkmodus laufen. Das bedeutet, dass sie keine direkte Verbindung zum Internet haben, sondern nur über den und mit dem Host und der jeweils anderen VM kommunizieren können. Ein interessanter Artikel zu den einzelnen Netzwerkmodi von VMs bietet Nocksoft (Link).
  • Ausführende Maschine: Windows-VM (meist Windows 8)
    • Windows wird deshalb als VM gewählt, da der Großteil der Malware für dieses Betriebssystem geschrieben wurde. Sollte es sich um Malware für andere Betriebssysteme handeln, so ist die Konfiguration der virtuellen Maschinen natürlich anzupassen!
    • Auf dieser virtuellen Maschine wird die eigentliche Malware ausgeführt. Deshalb sind saubere Schnappschüsse zum Anfang der Analyse sehr wichtig (siehe unten bei der Überschrift „Schnapschüsse nehmen“)
    • Netzwerkfunktionalitäten: Die virtuelle Maschine sollte auf „Host-Only“-Modus eingestellt werden. Für eine rein statische Analyse sind Netzwerkverbindungen natürlich nicht nötig (daher sollte man in den ersten Schritten lieber auf Netzwerkkonnektivität verzichten)
  • Linux-VM: REMnux oder Kali Linux. Diese VM dient der Analyse der Malware und auch zum Mitschnitt des Netzwerkverkehrs. Sowohl Kali Linux, als auch REMnux stellen Funktionalitäten für Internetdienste (z.B. Gateways bzw. DNS-Server) bereit. In der dynamischen Analyse kann somit ein Mitschnitt durch die VM mittels Wireshark oder über Server-Logfiles erfolgen.

Für die dynamischen Analysen sollten die Netzwerkeinstellungen der Windows-VM so konfiguriert werden, dass sie als DNS und Standard-Gateway die IP-Adresse der Linux-VM verwendet (siehe hierzu das obige Bild an). In der Linux-VM werden diese Dienste bereitgestellt. D.h. dort läuft eine Simulation eines DNS-Servers bzw. eines Gateways. Dies kann über das Programm INetSim (Link) erfolgen, welches genau für diese Zwecke entwickelt wurde. Sofern die Malware also Kontakt zu einer bestimmten IP-Adresse aufnehmen möchte, wird dieser Kontakt zwangsläufig über die LinuxVM laufen.

Schnappschüsse nehmen

Der große Vorteil von virtuellen Maschinen ist die Möglichkeit Schnappschüsse anzufertigen. Dies dient zur Abspeicherung des aktuellen Zustands der virtuellen Maschine. Nachdem Malware ausgeführt wurde, könnte die VM infiziert sein. Indem man diese virtuelle Maschine zurücksetzt, kann man das System erneut infizieren bzw. die Malware erneut ausführen, um deren initiale Verhalten dynamisch zu analyiseren.

Vorsichtsmaßnahmen

An dieser Stelle möchte ich Dir wirklich sagen, dass Du mit Zugang  zum „echten“ Internet vorsichtig sein musst. Verwende lieber ein eigenes Netzwerk oder gar keines. Malwareautoren sind clever und können Automatismen einbauen, die erkennen, dass die Malware auf einer virtuellen Maschine läuft. Daraufhin gibt es durchaus Mechanismen, um aus der virtuellen Umgebung auszubrechen und auf das Host-System zuzugreifen. Dann wäre der Schaden natürlich fatal. Deshalb passe bei der Malwarenanalyse auf! Zudem könnte Malware durch den Internetzugang auf einen Malware-Server zugreifen oder Angriffe auf fremde Systeme von deinem Rechner aus starten.
Um das Risiko noch weiter zu minimieren könntest du für „windows-basierte“ Malware eine Windows VM verwenden, die auf einem Linux-Host läuft. Sollte die Malware je aus der virtuellen Maschine ausbrechen, ist sie dort häufig nicht weiter automatisiert handlungsfähig. Wie ein Mensch, der unter Wasser keine Luft bekommt, da er an diese Umgebung nicht angepasst ist!

Eine weitere Vorsichtsmaßnahme sollte sein, dass du alle USB-Sticks oder sonstige tragbaren Geräte von PC entfernst. Diese könnten infiziert werden und du würdest damit dein gesamtes Umfeld, an welches du deine Geräte anschließt, gefährden. 

Die obigen Konfigurationen bieten Anhaltspunkte für den Aufbau eines Laborumgebung für die Malwareanalyse. Die virtuellen Maschinen können natürlich beliebig erweitert und die Konfiguration kann natürlich entsprechend angepasst werden

Malware4-IT-Forensik

, , , ,

Malwareanalyse in 4 Schritten (Artikel 4: Dynamische Codeanalyse)

Die dynamische Codeanalyse ist neben der statischen die komplexeste Analyseart im Malwareanalyse-Prozess. Im Grunde wird die Malware, wie bei der dynamischen Analyse, in einer isolierten Umgebung ausgeführt. Der Unterschied liegt darin, dass die Ausführung in einem Debugger kontrolliert durch den Analysten stattfindet, wodurch eine sehr detaillierte Analyse möglich wird. Die eigene Kontrolle ermöglicht Analysen von einzelnen oder mehreren Instruktionen, aber auch von ganzen Funktionen oder Programmen. 
Generell kann zwischen zwei Einstiegsmöglichkeiten zum Debugging unterschieden werden. Entweder wird der Debugger in einen laufenden Prozess eingehängt oder der Debugger startet einen neuen Prozess. Welcher Weg gewählt wird, hängt von der vorliegenden Konstellation ab.  Ist der Debugging-Prozess gestartet kann er durch den Analysten auf zwei Weisen kontrolliert werden. Einerseits durch Befehle (Continue/Run, Step into, Step over etc.) oder durch das Setzen von Breakpoints. Es gibt unterschiedliche Arten von Breakpoints die genutzt werden können. Darauf möchte ich aber nicht weiter eingehen.
Generell ermöglicht die Unterbrechung des Programmablaufs die genauere Analyse von Speicher- und Stackaufbau sowie des Inhalt der Register. Der Analyst kann daher sehr gezielt die Status verschiedener Variablen untersuchen, um Hinweise auf die Funktionalität der Malware zu erhalten. Daraus können letztlich Rückschlüsse auf die Auswirkungen auf das angegriffene System gefunden werden.
 Zur dynamischen Codenanalyse kann entweder IDA Pro Free oder auch OllyDbg verwendet werden. Problematisch ist allerdings, dass in der heutigen Malware einige Mechanismen bestehen, die diese Analysetechnik erschweren. 

Ich hoffe du konntest aus der Artikelserie einige Dinge lernen und für deinen Einstieg in die komplexe Materie der Malwareanalyse nutzen.

Malware3-IT-Forensik

, , , ,

Malwareanalyse in 4 Schritten (Artikel 3: Statische Codeanalyse)

Ein weiterer Schritt in dem Prozess der Malwareanalyse stellt die statische Codeanalyse dar. Bei diesem Schritt kommt es nicht zur Ausführung der mutmaßlichen Malware, stattdessen findet eine genaue Betrachtung des Programmcodes statt. Ziel ist es die inneren Abläufe und Komponenten der vorliegenden schädlichen Datei noch besser zu verstehen.Da die Malware in der Regel als Binärdatei zur Untersuchung vorliegt, müssen Techniken des Reverse Engineerings angewandt werden. D.h. die in Maschinencode vorliegende Binärdatei muss mithilfe einer Disassemblierung zurück in Assemblersprache übersetzt werden, sodass sie für Menschen lesbar wird. Anzumerken ist hier, dass der Malware-Analyst sehr gute Kenntnisse über die Assemblersprache haben muss, insbesondere auch deshalb, da diese von der jeweiligen Prozessorarchitektur abhängig ist. Ein gewisses Grundverständnis einer bestimmten Architektur erleichtert hier jedoch die Transformation auf andere Prozessorarchitekturen. Am häufigsten auf dem Markt vertreten ist die Prozessorarchitektur IA-32 von Intel. 
Nach dem Disassemblieren folgt die Analyse des Assemblercodes. Der Analyst sollte hier nicht Zeile für Zeile analysieren, da dies sehr zeitaufwendig werden kann, sondern vielmehr versuchen den Code zu gruppieren und auf einzelne Konstrukte zu fokussieren. Diese Konstrukte bieten letztlich Anhaltspunkte für die Übersetzung in eine Hochsprache (meist die Hochsprachen C und C++).

Malware2-IT-Forensik

, , , ,

Malwareanalyse in 4 Schritten (Artikel 2: Dynamische Analyse)

Die dynamische Analyse bzw. Verhaltensanalyse stellt sehr häufig den zweiten Schritt im Malwareanalyse-Prozess dar. Hier wird die mutmaßliche Malware durch den IT-Forensiker in einer isolierten Umgebung (z.B. Sandbox oder virtuelle Maschine) ausgeführt. Eine Analyse erfolgt dann entweder während der Ausführung der Malware oder im Nachhinein, wobei dabei das Augenmerk auf das System und die Änderungen daran gelegt wird.
Durch diese Analyse kann man wertvolle Einblicke in die Funktionsweisen und Aktivitäten der Malware, sowie deren Effekte auf und Interaktionen mit dem System erhalten.
Ein Vorteil der dynamischen Analyse gegenüber der statischen Analyse ist, dass es Gewissheit darüber bringt, ob die in der statischen Analyse gefundenen Strings auch tatsächlich eine Funktion haben und ausgeführt werden. Dennoch ist die dynamische Analyse auch mit Risiken verbunden. Wenn die virtuelle Umgebung nicht sachgerecht eingerichtet wurde können durchaus Gefahren für das Netzwerk und das System entstehen.
Das Ausführen der mutmaßlichen Malware führt im Grundsatz zur Interaktion mit dem Netzwerk oder dem ausführenden System. Beispielsweise werden Kindprozesse erstellt, zusätzliche Dateien heruntergeladen, Registry-Einträge erstellt bzw. verändert oder ein Command-and-Control-Server  eingerichtet.
Daher ist die Analyse in mehrere Überwachungsverfahren unterteilt: 

  • Prozessüberwachung: Überwachung der relevanten Prozesse, sowie der Untersuchung der Eigenschaften des Ergebnisses; Nützliche Tools: Process Hacker, Process Monitor
  • Dateisystemüberwachung: Überwachung der Echtzeitaktivitäten des Dateisystems; Nützliche Tools: Noriben, Process Monitor
  • Registry-Überwachung: Überwachung der (Schreibe-/Lese-)Zugriffe auf Registryschlüssel und –werte; Nützliches Tool: Process Monitor
  • Netzwerküberwachung: Überwachung des Netzwerkverkehrs von und zum ausführenden System; Nützliches Tool: Wireshark, INetSim

Im nachfolgenden wird ein beispielhafter Ablauf einer typischen dynamischen Analyse dargestellt: 

  1. Vorbereitung:
    1. Die virtuelle Umgebung auf sauberen Snapshot zurücksetze
    2. Analysetools (wie die oben genannten) mit Administratorenrechte ausführen
  2. Ausführung der mutmaßliche Malware mit Administratorenrechten
  3. Anhalten der Analysetools nachdem die Malware ausgeführt wurde
  4. Daten sammeln und analysieren, um die Verhaltensweisen der Malware zu analysieren


Zusammenfassend kann gesagt werden, dass es sich bei der dynamischen Analyse um einen effizienten Schritt im Prozess der Malwareanalyse handelt. Neben Veränderungen am System können Netzwerkinteraktionen und die genauen Funktionsweisen der Malware untersucht werden.

Malware1-IT-Forensik

, , ,

Malwareanalyse in 4 Schritten (Artikel 1: Statische Analyse)

Da die Malwareanalyse ein umfangreicher Prozess ist, habe ich den Prozess in mehrere Artikel gegliedert, die dir einen Einblick in den die Thematik geben sollen.Malwareanalyse ist die Analyse der Verhaltensweise von Malware und daher als Teilgebiet des Reverse Engineerings zu verstehen. Erklärtes Ziel ist die Leistungsfähigkeit von Malware und deren Indikatoren zu ermitteln, um künftige Schutzmechanismen zu entwickeln. Zudem soll verstanden werden, welche Mechanismen ausgelöst werden, um ein System zu kompromittieren.  Eine ganzheitliche Malwareanalyse besteht aus den folgenden Kategorien:


1.    Statische Analyse (Artikel 1)
2.    Dynamisch Analyse bzw. Verhaltensanalyse (Artikel 2)
3.    Statische Codeanalyse (Artikel 3)
4.    Dynamische Codeanalyse (Artikel 4)


Um einen umfassenden Einblick in die Malware zu bekommen ist das Durchlaufen möglichst aller Kategorien notwendig. Dies ist jedoch nicht bei jedem Malware-Typ möglich, da Cyberkriminelle darauf bedacht sind ihre Malware gegen die Analyse zu schützen.  

Statische Analyse
Die statische Analyse ist in der Regel der erste Schritt der Malwareanalyse und dient einem ersten Überblick über die Funktionen, jedoch ohne Ausführung der Malware. Häufig wird nicht einmal der Quellcode der Malware genauer betrachtet. Es geht hier vielmehr darum mit effizienten Tools einen ersten Eindruck in die Malwarefunktionen, sowie deren Verhalten zu erhalten. Diese Erkenntnisse werden zur Einschätzung der Folgeschritte genutzt. Höher entwickelte Malware erschwer diese Analysekategorie jedoch mithilfe von Verschleierungs- und Verschlüsselungsmechanismen.
Die einzelnen Schritte der statischen Analyse können variieren, weshalb ich hier die standardmäßigen Schritte vorstellen will.
Ein erster Schritt ist häufig die Festlegung des Dateityps der vorliegenden Malware, womit das Zielsystem (z.B. Windows) und dessen Architektur (z.B. 64-Bit) ermittelt werden können. Ein erster Anhaltspunkt könnte die File-Extension (z.B. .exe, .pdf) liefern. Jedoch kann diese von einem Malwareautor sehr leicht verändert werden, sodass man im Bytecode nach typischen Bytesequenzen bzw. Strings für diesen Dateityp sucht. PE-Files (ausgeschrieben: Portable Executable Files, wie z.B. .exe oder .dll) haben bspw. den typischen String „…0x4D 0x5A…“ in den ersten zwei Bytes (Umgewandelt in ASCII-Zeichen: „…MZ…“). Der Bytecode kann, zur Analyse des Dateityps, automatisiert mittels entsprechender Programme auf diese Sequenzen abgeglichen werden.
Ein weiterer Schritt ist das sog. Fingerprinting der Malware. Dabei wird die Malware gehasht, sodass ein identifizierender Hashstring entsteht. Dieser kann gegen eine Hash-Datenbank abgeglichen werden. So lässt sich eine schon bekannte Malware sehr schnell entlarven, auch wenn der Dateiname zunächst unverdächtig ist. Dieses Verfahren nutzen auch Antivirenprogramme (zum Artikel).
Auch multiples Antiviren-Scanning der verdächtigen Datei ist von großer Bedeutung bei der statischen Analyse. Hierzu wird die verdächtige Datei auf ein Multi-Antiviren-Portal hochgeladen und automatisch mit deren Datenbank abgeglichen. Um dir dies bildlich zu zeigen, habe ich die Datei „smsniff.exe“ (Normales Programm der Nirsoft Suite) auf www.virustotal.com hochgeladen.  Erkennbar sind der SHA-256 Hash, als auch andere Metadaten. Das Programm wird hier oft als unsicher bzw. „unwanted program“ oder „Tojan“ deklariert, was aus seiner Sniffing-Funktion resultiert. Mehrheitlich ist es jedoch als unbedenklich eingestuft.
 smsniff in virustotal

Ebenfalls ein grundsätzlicher Schritt ist das Extrahieren von Strings aus der verdächtigen Datei. Diese Strings sind ASCII- und Unicode-Bytestrings, die Hinweise auf die Funktionalität von Malware geben können. Für diesen Schritt gibt es zahlreiche Programme, die automatisiert die Strings aus dem Code extrahieren (z.B. strings.exe aus der Sysinternal Suite).  

Wichtiger Schritt: PE-Header Analyse Der umfangreichste Schritt der statischen Analyse stellt, im Falle von PE-Dateien, die Analyse des Headers dar. Im Grunde handelt es sich bei PE-Dateien um ein Set aus mehreren Unterkomponenten, die Informationen für das Betriebssystem bereitstellen und in der Regel importiert werden. Beim Kompilieren wird der PE-Header in die Gesamtdatei eingebunden und enthält Informationen über die Adressen wohin die PE-Datei in den Speicher geladen werden soll. Zudem enthält er eine Liste von Bibliotheken und Ressourcen auf die im Laufe der Ausführung zurückgegriffen wird. Die nachfolgende Tabelle zeigt die relevanten Headerfelder und die darin enthaltenen wertvollen Informationen für die statische Analyse. 

PE-Header

Für eine ausführlichere Anleitung der statischen Analyse empfehle ich dir das Buch von Monappa „Learning Malware Analysis“!