Podstawy bezpieczeństwa: jak analizować malware i przetestować antywirusa w domowym labie?

Niezależnie od tego, co użyjesz w swoim domowym labie…

1. Zainstaluj system operacyjny. Może to być Windows 10 albo Windows 11. Zalecamy korzystać z najnowszej wersji, ponieważ Windows 7 nie jest już wspierany.

2. Zainstaluj potrzebne programy:

• Ulubioną przeglądarkę. Możesz używać najnowszego EDGE od Microsoftu albo innej przeglądarki. Tę, którą lubisz.
• Zastąp systemowy notatnik np. programem Notepad++. Będzie potrzebny do edycji plików konfiguracyjnych. Nie jest to obowiązkowe.
• Przeglądarkę plików PDF. Może to być Adobe Reader. Niektóre próbki wirusów mogą wykorzystywać luki w czytniku PDF (głównie Adobe), dlatego korzystanie z najnowszych wersji programów w środowisku testowym nie zawsze jest tym, co chcemy osiągnąć.
• Środowisko Java, ale nie najnowsze. Z tych samych powodów, co wyżej.
• Net Framework 3.5+. Dużo wirusów nie będzie bez tego działać.
• Pakiet biurowy do otwierania zainfekowanych dokumentów Office z makrami. LibreOffice nie wspiera większości makr, dlatego nie sprawdzi się w domowym labie do analizowania malware.
• Zainstaluj produkt antywirusowy, który chcesz przetestować.

3. Na koniec zrób migawkę systemu. Po wprowadzeniu jakichkolwiek zmian do systemu będzie można przywrócić utworzony obraz systemu do stanu sprzed modyfikacji / zainfekowania. Szybko i bezpiecznie. Bez konieczności instalowania wszystkiego od początku. Zaoszczędzi to mnóstwo czasu.

Źródła malware i stron phishingowych

Teraz najważniejsze. Trzeba zdobyć dostęp do działających próbek złośliwego oprogramowania. Z powodów statystycznych nie jest zalecane używanie starych próbek, które nie działają.

Nowe próbki również mogą nie działać w maszynach wirtualnych i odwrotnie – niektóre zagrożenia będą działać tylko i wyłącznie w maszynie wirtualnej. Dzieje się tak, ponieważ autorzy próbek wirusów wiedzą, że firmy zajmujące się bezpieczeństwem, korzystają z wirtualnych maszyn do analizowania niebezpiecznego kodu. Dlatego utrudniają to, dodając do wirusów mechanizmy, które wykrywają system wirtualny. Więcej na ten temat przeczytasz w artykule pt. TOP10 technik wykrywania maszyn wirtualnych i sandboxów przez malware.

Zachęcamy internautów, aby przeprowadzali własne testy i dzielili się wynikami w komentarzach. Do tego celu można wykorzystać źródła edukacyjne zawierające linki do złośliwego oprogramowania oraz do stron wyłudzających dane osobowe np. fałszywe systemy płatności albo fałszywe logowania do portalów społecznościowych.

Do testowania ochrony pod kątem blokowania stron phishingowych polecamy strony zgłoszone do CERT Polska w ramach walki z koronawirusem w cyberprzestrzeni. Wystarczy otworzyć jeden z poniższych linków i skopiować ręcznie kilka adresów URL do maszyny wirtualnej.

• format CSV,
• JSON,
• a także XML.

Dodatkowe bazy stron phishingowych i malware

https[:]//openphish.com

https[:]//phishtank.com/phish_search.php?valid=y&active=All&Search=Search

Strony z próbkami złośliwego oprogramowania:

http[:]//vxvault.net/URL_List.php

https[:]//tracker.fumik0.com/api/get-urls
https[:]//objective-see.com/malware.html
https[:]//virusshare.com
https[:]//www.malwares.com
https[:]//urlhaus.abuse.ch/api/#retrieve
https[:]//infosec.cert-pa.it/analyze/statistics.html
https[:]//tracker.fumik0.com
https[:]//threatfeeds.io
https[:]//malsilo.gitlab.io/feeds/dumps/url_list.txt
https[:]//labs.inquest.net/dfi
https[:]//malshare.com
https[:]//beta.virusbay.io/sample/browse
https[:]//tutorialjinni.com 
https[:]//app.any.run/submissions
https[:]//bazaar.abuse.ch/browse
https[:]//datalake.abuse.ch/malware-bazaar/daily/

Projekt MWDB od CERT Polska:

https://github.com/CERT-Polska/mwdb-core...

Jak dostarczać malware do systemu wirtualnego? To ważne!

To niezwykle istotny punkt w badaniu skuteczności antywirusów. Na wielu filmikach na YouTube można zobaczyć, że zwykle maszyna do testów jest już gotowa, a próbki malware znajdują się w systemie. W niektórych przypadkach tester popełnia błąd na wizji, przeciągając paczkę wirusów z hosta do gościa, metodą drag-and-drop (przeciągnij i upuść). To wygodne, ale zaburza prawdziwy wynik ochrony, ponieważ większość antywirusów nie skanuje procesu vmwaretools.exe oraz vboxtray.exe, które uczestniczą przenoszeniu plików. W związku z tym próbki wirusów trafiają do systemu nieznaną metodą. Protokołem nie używanym w prawdziwych cyberatakach.

Ten sposób testowania jest niezgodny ze sztuką. Dlatego w przypadku pobierania setek próbek wirusów w jednej paczce ZIP, lepiej jest postawić serwer WWW lub FTP w sieci lokalnej.

Alternatywnie zamiast paczek wirusów, lepiej jest pobierać pojedyncze próbki ze stron znalezionych w Internecie, ponieważ odzwierciedla to prawdziwy scenariusz ataku.

Narzędzia do zbierania logów w Windows

To bardzo ważne, aby dowiedzieć, czy po uruchomieniu wirusa, cokolwiek się działo w systemie. Jest to konieczne do zarejestrowania np. zmian wprowadzonych przez malware, ale także do prześledzenia reakcji antywirusa na zagrożenie.

Po uruchomieniu malware niektóre antywirusy nie wyświetlają ostrzeżenia, ani nie zapisują zmian w graficznym dzienniku, dostępnym z poziomu interfejsu. Takim wyjątkiem jest m.in. Webroot Antivirus.

Webroot najpierw śledzi nieznaną aplikację, rejestruje wszystko w niedostępnym dla użytkownika pliku. Dzięki temu może odtworzyć stan komputera sprzed zainfekowania. Dopiero w chwili zdiagnozowania zagrożenia pojawia się komunikat ostrzegawczy. Brak takiego komunikatu nie musi zaświadczać o tym, że antywirus nic nie robi. Można to zaobserwować analizując logi Webroota:

C:\ProgramData\WRData\WRLog.txt

C:\ProgramData\WRData\WRLog.log

C:\ProgramData\WRData\ace1.db

C:\ProgramData\WRData\dbk.db

Do analizy próbek wirusów, jak i aktywności antywirusów, można posłużyć się programami dla osób początkujących i zaawansowanych.

Event Monitor Service

Event Monitor Service sprawdza, co dzieje się w systemie po uruchomieniu malware. Tworzy na dysku logi, które podpowiedzą o utworzonych plikach, kluczach rejestru, procesach itp.