IAM302 - Phần 1: Nền tảng và quy trình phân tích mã độc

Phân tích hành vi quan sát mẫu khi nó chạy: tiến trình sinh ra, tệp và khoá registry bị đổi, kết nối mạng mở ra. Phân tích mã thì đọc chính các lệnh trong tệp nhị phân, tĩnh bằng trình dịch ngược hoặc động bằng trình gỡ lỗi, chậm hơn nhưng thấy được cả nhánh logic mẫu chưa kịp kích hoạt. Hai hướng bổ sung cho nhau và thường đan xen nhau: một địa chỉ URL lộ ra khi đọc tĩnh cho biết cần theo dõi máy chủ nào khi chạy động. Quy trình dịch ngược mã độc đặt các bước ấy vào một vòng lặp: thu mẫu, nhận diện sơ bộ bằng giá trị băm và chữ ký, quan sát hành vi, đào sâu vào mã ở chỗ hành vi còn mờ, rồi rút ra dấu hiệu nhận biết như tên mutex, đường dẫn tệp hay tên miền điều khiển để các máy khác dò tìm. Các dấu hiệu đó là chất liệu để xếp mẫu vào từng họ mã độc ở Phần 2.