Malware Analysis Basics

О курсе

Перестань бояться малвари — начни её препарировать! От безопасной песочницы до YARA-правил и полного behavioral analysis. 15 уроков, после которых ты будешь разбирать вирусы на завтрак и писать отчёты, от которых у малвари мурашки.

Чему ты научишься

• ✓настраивать изолированную лабораторию для безопасного анализа малвари
• ✓проводить статический анализ PE-файлов: заголовки, импорты, строки
• ✓создавать и применять YARA-правила для классификации вредоносов
• ✓анализировать поведение малвари в песочнице и отладчике
• ✓перехватывать и анализировать сетевой трафик вредоносного ПО
• ✓писать профессиональный отчёт по результатам анализа малвари

Что нужно знать

• •понимание основ работы ОС Windows (процессы, реестр, файловая система)
• •базовые знания сетевых протоколов
• •умение работать с виртуальными машинами (VirtualBox/VMware)
• •готовность развернуть FlareVM или REMnux

Программа

1. M1

   Введение в анализ малвари

   5 карт

   Строим безопасную крепость для работы с вирусами — от классификации угроз до развёртывания изолированной лаборатории, где малварь не сможет вырваться наружу

   • 1.
     Классификация вредоносного ПОСистематизация типов малвари — от троянов и червей до ransomware и fileless-угроз — с примерами реальных семейств и их поведенческими маркерами.
   • 2.
     Безопасная лаборатория для анализаПроектирование изолированной лаборатории для анализа малвари — выбор гипервизора, настройка сети, снапшоты, правила безопасности и типичные ошибки новичков.
   • 3.
     Настройка изолированной среды FlareVM REMnuxПошаговая установка FlareVM на Windows и REMnux на Linux — двух ключевых дистрибутивов для анализа малвари с полным набором инструментов.
   • 4.
     Первичная сортировка подозрительных файловМетодика triage — быстрая оценка подозрительного файла за 5 минут: хеши, тип файла, энтропия, VirusTotal, принятие решения о глубоком анализе.
   • 5.
     Источники сэмплов и правила обращенияГде безопасно получить образцы малвари для анализа — MalwareBazaar, VirusTotal, ANY.RUN — и строгие правила хранения, передачи и маркировки сэмплов.
2. M2

   Статический анализ

   5 карт

   Вскрываем вредонос без запуска — PE-заголовки, строки, импорты и YARA-правила расскажут о малвари больше, чем она хотела бы показать

   • 1.
     Анализ PE-заголовков и метаданныхРазбор структуры PE-файла — DOS Header, PE Header, секции, Optional Header — с помощью CFF Explorer, PE-bear и pestudio для извлечения ключевых артефактов.
   • 2.
     Извлечение строк и индикаторов компрометацииИзвлечение ASCII/Unicode-строк, обфусцированных строк через FLOSS, поиск IOC — URL, IP, доменов C2, путей реестра — и формирование списка индикаторов.
   • 3.
     Анализ импортов и экспортовЧтение Import Address Table и Export Directory PE-файла — определение поведения малвари по используемым Windows API: инъекция, persistence, сеть, криптография.
   • 4.
     Использование YARA-правил для классификацииНаписание YARA-правил для автоматического детектирования малвари — синтаксис, строковые и бинарные паттерны, условия, модуль PE, тестирование и интеграция.
   • 5.
     Распаковка и деобфускация сэмпловОпределение и снятие упаковщиков (UPX, Themida, custom) — автоматическая распаковка, ручной дамп из памяти, деобфускация PowerShell и VBA-макросов.
3. M3

   Динамический анализ

   5 карт

   Выпускаем зверя в контролируемой среде — мониторим каждый шаг малвари, ловим сетевые подключения и разбираем поведение под отладчиком

   • 1.
     Мониторинг файловой системы и реестраОтслеживание изменений файловой системы и реестра при запуске малвари с помощью Process Monitor, Regshot и автоматизированных скриптов сравнения снапшотов.
   • 2.
     Перехват сетевого трафика малвариЗахват и анализ сетевого трафика малвари с помощью Wireshark, INetSim и FakeDNS — DNS-запросы, HTTP C2, извлечение payload из PCAP-файлов.
   • 3.
     Отладка вредоносного кода в x64dbgОсновы работы с x64dbg — точки останова, пошаговое выполнение, анализ вызовов API, обход антиотладочных техник и извлечение конфигурации малвари из памяти.
   • 4.
     Анализ поведения с помощью песочницАвтоматизированный динамический анализ в песочницах ANY.RUN, Cuckoo Sandbox и Joe Sandbox — загрузка сэмплов, интерпретация отчётов, извлечение IOC и MITRE ATT&CK-маппинг.
   • 5.
     Написание отчёта об анализе малвариСтруктура профессионального отчёта об анализе малвари — Executive Summary, технические детали, IOC, MITRE ATT&CK маппинг, рекомендации и шаблон в Markdown.