{"id":9796,"date":"2018-12-06T15:32:09","date_gmt":"2018-12-06T18:32:09","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=9796"},"modified":"2019-06-06T14:34:55","modified_gmt":"2019-06-06T17:34:55","slug":"analise-de-malware-com-sndbox","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2018\/12\/exploits\/analise-de-malware-com-sndbox\/","title":{"rendered":"An\u00e1lise de malware com SNDBOX"},"content":{"rendered":"<p style=\"text-align: justify;\">Software automatizado de an\u00e1lise de malware desenvolvido por Pesquisadores israelenses de seguran\u00e7a cibern\u00e9tica e malware apresentado na confer\u00eancia Black Hat \u00e9 uma revolucion\u00e1ria plataforma de pesquisa de malware e intelig\u00eancia artificial que ajuda os usu\u00e1rios com a identifica\u00e7\u00e3o de amostras desconhecidas de malware antes do ataque.<\/p>\n<p style=\"text-align: justify;\">Com o nome de SNDBOX, a ferramenta de an\u00e1lise de malware on-line gratuita permite o upload do arquivo analisando de forma est\u00e1tica e din\u00e2mica, atrav\u00e9s de uma interface gr\u00e1fica.<\/p>\n<p style=\"text-align: justify;\">Os ataques de malware provocam um prejuizo de mais de US$ 10 bilh\u00f5es por ano e continuam aumnetando, mesmo com as melhorias significativas dos mecanismos de seguran\u00e7a cibern\u00e9tica.<\/p>\n<p style=\"text-align: justify;\">O malware \u00e9 uma ferramenta muito utilizada pelos hackers, afim de comprometer os sistemas, no entanto a intelig\u00eancia artificial e as tecnologias de aprendizado de m\u00e1quina evolu\u00edram significativamente com a finalidade de detectar e estudar os novos malwares e seus comportamentos, atrav\u00e9s de novas amostras.<\/p>\n<p style=\"text-align: justify;\">Para analisar a execu\u00e7\u00e3o do c\u00f3digo malicioso \u00e9 necess\u00e1rio um ambiente isolado e controlado, desta forma monitorando e examinando o comportamento do malware.<\/p>\n<p style=\"text-align: justify;\">O SNDBOX, foi desenvolvido pelos pesquisadores de ciberseguran\u00e7a Dr. Ran Dubin e Ariel Koren, com uma abordagem facilitada na pesquisa e comportamento do malware acess\u00edvel a todos.<\/p>\n<p style=\"text-align: justify;\">O que \u00e9 SNDBOX e como funciona?<\/p>\n<p style=\"text-align: justify;\">O SNDBOX \u00e9 uma poderosa plataforma de tecnologia de IA baseada em nuvem, multi-vetor que n\u00e3o \u00e9 apenas capaz de analisar arquivos contra diferentes atributos e vetores, monitorando seu comportamento, mas tamb\u00e9m convertendo entradas comportamentais din\u00e2micas em vetores pesquis\u00e1veis, permitindo aos usu\u00e1rios um banco de dados de an\u00e1lise de malware on-line com excelente visibilidade.<\/p>\n<p>&nbsp;<\/p>\n<p style=\"text-align: center;\"><iframe loading=\"lazy\" src=\"\/\/www.youtube.com\/embed\/BqAdn83HpOw\" width=\"560\" height=\"315\" frameborder=\"0\" allowfullscreen=\"allowfullscreen\"><\/iframe><br \/>\nFonte: The Hacker News (2018)<\/p>\n<p style=\"text-align: justify;\">Para efici\u00eancia do monitoramento o SNBOX executa bin\u00e1rios enviados em um ambiente controlado usando um agente no kernel de modo invis\u00edvel, que engana o malware fazendo ele acreditar que est\u00e1 sendo executado em um sistema real prop\u00edcio para o ataque.<\/p>\n<p style=\"text-align: justify;\">Com a localiza\u00e7\u00e3o entre o modo user e o modo kernel, o agente invis\u00edvel no modo kernel do SNDBOX engana o malware para executar a atividade pretendida, desta forma revelando a sua verdadeira natureza maliciosa e capacidade de atua\u00e7\u00e3o.<\/p>\n<p style=\"text-align: justify;\">O SNDBOX monitora o comportamento dos execut\u00e1veis, variando de simples modifica\u00e7\u00f5es de recursos do sistema at\u00e9 as atividades de rede avan\u00e7adas, e aproveita algoritmos de aprendizado de m\u00e1quina para processar uma grande quantidade de dados coletados, que podem ter mais de 200MB para um pequeno bin\u00e1rio de 10KB.<\/p>\n<p style=\"text-align: justify;\">Voc\u00ea pode estar se perguntando: e os v\u00edrus de computador que aguardam comandos remotos antes de ativar seus payloads (cargas) maliciosas?<\/p>\n<p style=\"text-align: justify;\">&#8220;Mesmo que esteja esperando por um longo per\u00edodo, sabemos como ativar de forma graciosa o sono prolongado ou eventos, fazendo com que o malware execute todo o seu potencial de c\u00f3digo malicioso imediatamente alterando seu comportamento para receber o m\u00e1ximo de informa\u00e7\u00f5es sobre sua verdadeira natureza&#8221;, disseram os pesquisadores para o The Hacker News.<\/p>\n<p style=\"text-align: justify;\">A plataforma \u00e9 projetada de modo a desenvolver automaticamente conhecimento e compreens\u00e3o mais profundos sobre v\u00e1rios aspectos, padr\u00f5es de comportamento, vetores, atributos, classifica\u00e7\u00f5es e assinaturas ao longo do tempo, investigando as amostras submetidas.<\/p>\n<p style=\"text-align: justify;\">&#8220;Mecanismos de detec\u00e7\u00e3o de IA multi-vetor e indicadores comportamentais trabalham juntos para detectar atividades maliciosas e agregar dados para fornecer conclus\u00f5es decisivas sobre a natureza do arquivo&#8221;, disseram pesquisadores ao The Hacker News.<\/p>\n<p style=\"text-align: justify;\">O SNDBOX tamb\u00e9m pode ser integrado a uma ampla variedade de plataformas de seguran\u00e7a de terceiros.<\/p>\n<p style=\"text-align: justify;\">Como usar a plataforma de an\u00e1lise de malware SNDBOX?<\/p>\n<p style=\"text-align: justify;\">Dispon\u00edvel em https:\/\/app.sndbox.com, a plataforma SNDBOX pode ser acessada apenas criando uma conta online gratuita.<\/p>\n<p>&nbsp;<\/p>\n<div class=\"separator\" style=\"color: #212121; text-align: center;\"><a style=\"font-weight: inherit; font-style: inherit; color: #395697;\" href=\"https:\/\/1.bp.blogspot.com\/-LgIwbrzsnzI\/XAeK06FjWsI\/AAAAAAAAyxg\/3GPqQZW7hHE9APNWWCvCJNo0PULW2cxLgCLcBGAs\/s728-e100\/automated-malware-analysis-sandbox-3.jpg\" class=\"gallery_colorbox\"><img loading=\"lazy\" decoding=\"async\" style=\"font-weight: inherit; font-style: inherit;\" title=\"automated malware analysis sandbox\" src=\"https:\/\/1.bp.blogspot.com\/-LgIwbrzsnzI\/XAeK06FjWsI\/AAAAAAAAyxg\/3GPqQZW7hHE9APNWWCvCJNo0PULW2cxLgCLcBGAs\/s728-e100\/automated-malware-analysis-sandbox-3.jpg\"  alt=\"automated malware analysis sandbox\" width=\"575\" height=\"300\" border=\"0\" data-original-height=\"380\" data-original-width=\"728\" \/><\/a><\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: center;\">Fonte: The Hacker News (2018)<\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: center;\"><\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: left;\"><\/div>\n<p style=\"text-align: justify;\">Ap\u00f3s o login, o painel oferece aos usu\u00e1rios o envio de uma amostra para verifica\u00e7\u00e3o automatizada ou a pesquisa no banco de dados para amostras de malware previamente analisadas, classificadas em diferentes palavras-chave e tags de comportamento.<\/p>\n<p style=\"text-align: justify;\">O painel de resultados de an\u00e1lise foi cuidadosamente projetado para fornecer alta visibilidade e explica\u00e7\u00f5es baseadas em dados para dimensionar os recursos de pesquisa de malware e reduzir o tempo de pesquisa.<\/p>\n<p style=\"text-align: justify;\">Como mostrado nas imagens abaixo que os pesquisadores compartilharam exclusivamente com o The Hacker News, que tamb\u00e9m pode ser acessado ao vivo no site SNDBOX, o painel foi dividido em quatro se\u00e7\u00f5es principais, com suas subse\u00e7\u00f5es clic\u00e1veis, conforme mostrado abaixo:<\/p>\n<p>Scoring system]<\/p>\n<p>Mutex, Handle, File exists, Process Tree<br \/>\nStatic<\/p>\n<p>Static Analysis, Metadata, Import\/Export tables<br \/>\nDynamic Analysis<\/p>\n<p>Process Tree, Behavioral Indicators (WMI, Anti-VM, Abnormal Behavior, etc.), API Windows, Info and Insight Tabs<br \/>\nNetwork Analysis<\/p>\n<p>Network and DNS traffic with its payload information<\/p>\n<p>&nbsp;<\/p>\n<p style=\"text-align: justify;\">O sistema de pontua\u00e7\u00e3o exibe [top left] para a pontua\u00e7\u00e3o final maliciosa, em porcentagem, para um arquivo enviado, que \u00e9 calculado ap\u00f3s a compara\u00e7\u00e3o dos resultados com os dados analisados \u200b\u200banteriormente.<\/p>\n<p style=\"text-align: center;\"><br class=\"Apple-interchange-newline\" \/><img loading=\"lazy\" decoding=\"async\" style=\"font-weight: inherit; font-style: inherit;\" title=\"automated malware analysis sandbox\" src=\"https:\/\/1.bp.blogspot.com\/-VRzVmTVXvso\/XAeIW_nhbgI\/AAAAAAAAyxM\/LLHc-0UBOtEDcSWU2xGER_TkPIxXYvz0ACLcBGAs\/s728-e100\/automated-malware-analysis-sandbox-1.jpg\" alt=\"automated malware analysis sandbox\" width=\"585\" height=\"402\" border=\"0\" data-original-height=\"500\" data-original-width=\"728\" \/><\/p>\n<p style=\"text-align: center;\"><span style=\"color: #212121;\">Fonte: The Hacker News (201<\/span><span style=\"color: #212121;\">8)<\/span><\/p>\n<p style=\"text-align: justify;\"><span style=\"color: #212121;\">A guia de an\u00e1lise est\u00e1tica mostra uma an\u00e1lise completa de malware sem executar o malware.<\/span><br style=\"color: #212121;\" \/><br style=\"color: #212121;\" \/><span style=\"color: #212121;\">A guia An\u00e1lise din\u00e2mica exibe a \u00e1rvore de processo completa que revela que o movimento lateral acontece em uma m\u00e1quina de destino durante a execu\u00e7\u00e3o, por exemplo, processo de esvaziamento, cria\u00e7\u00e3o de processo, inje\u00e7\u00e3o de processo e assim por diante.<\/span><br style=\"color: #212121;\" \/><br style=\"color: #212121;\" \/><span style=\"color: #212121;\">&#8220;N\u00f3s apoiamos todas as formas mais recentes de assinaturas de movimento lateral (Incluindo AtomBombing e ProcessDoppelganging, que s\u00e3o m\u00e9todos relativamente novos de maneiras de criar processos e evitar a detec\u00e7\u00e3o de antiv\u00edrus&#8221;, dizem os pesquisadores.<\/span><\/p>\n<div class=\"separator\" style=\"color: #212121; text-align: center;\"><a style=\"font-weight: inherit; font-style: inherit; color: #395697;\" href=\"https:\/\/1.bp.blogspot.com\/-nFTqyfcFcK8\/XAeJa_ocegI\/AAAAAAAAyxU\/o2WdgHTH7RMX8CRY0FSRR5cFoN61jutRwCLcBGAs\/s728-e100\/automated-malware-analysis-sandbox-2.jpg\" class=\"gallery_colorbox\"><img loading=\"lazy\" decoding=\"async\" style=\"font-weight: inherit; font-style: inherit;\" title=\"automated malware analysis sandbox\" src=\"https:\/\/1.bp.blogspot.com\/-nFTqyfcFcK8\/XAeJa_ocegI\/AAAAAAAAyxU\/o2WdgHTH7RMX8CRY0FSRR5cFoN61jutRwCLcBGAs\/s728-e100\/automated-malware-analysis-sandbox-2.jpg\"  alt=\"automated malware analysis sandbox\" width=\"603\" height=\"414\" border=\"0\" data-original-height=\"500\" data-original-width=\"728\" \/><\/a><\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: center;\">Fonte: The Hacker News (2018)<\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: center;\"><\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: center;\"><\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: left;\">\n<p>Na guia Indicadores Comportamentais, o SNDBOX destaca se o execut\u00e1vel malicioso:<\/p>\n<p>&nbsp;<\/p>\n<p>usa qualquer inje\u00e7\u00e3o de processo ou t\u00e9cnicas de esvaziamento,<\/p>\n<p>Dropa arquivos,<\/p>\n<p>verifica processos instalados,<\/p>\n<p>usa qualquer t\u00e9cnica anti-VM,<\/p>\n<p>modifica qualquer firewall do Windows ou regra de registro,<\/p>\n<p>rouba informa\u00e7\u00f5es confidenciais, como dados do navegador,<\/p>\n<p>criptografa arquivos como o ransomware,<br \/>\nganha persist\u00eancia,<\/p>\n<p>executa qualquer comportamento anormal no sistema,<\/p>\n<p>e muito mais indicadores.<\/p>\n<p>Cada parte da \u00e1rvore de processos \u00e9 clic\u00e1vel, o que revela mais informa\u00e7\u00f5es sobre cada processo em guias de informa\u00e7\u00f5es e API.<\/p>\n<\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: left;\"><\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: left;\"><\/div>\n<div class=\"separator\" style=\"color: #212121; text-align: left;\">\n<div class=\"separator\" style=\"text-align: justify;\">\n<p>&#8220;Para cada indicador de comportamento que encontramos, n\u00f3s fornecemos o pseudoc\u00f3digo completo que desencadeou esse comportamento. Essa \u00e9 uma forma de fornecermos uma enorme visibilidade do que aconteceu na m\u00e1quina&#8221;, disseram os pesquisadores ao The Hacker News.<\/p>\n<p>Para nossos leitores, os pesquisadores tamb\u00e9m compartilharam a an\u00e1lise do SNDBOX para alguns malwares infames, listados abaixo:<\/p>\n<p>&nbsp;<\/p>\n<p>Spora Ransomware, o SNDBOX mostra como ele abusa do Windows Management Instrumentation (WMI).<\/p>\n<p>Zeus Banking Malware, o SNDBOX mostra informa\u00e7\u00f5es interessantes, como a visibilidade do movimento lateral &#8220;Hollowing&#8221; e &#8220;Injection&#8221; no sistema.<\/p>\n<p>WannaCry Ransomware, destacando seu comportamento de alterar as configura\u00e7\u00f5es do registro, usando criptografia de arquivos e criando arquivos com diferentes extens\u00f5es.<\/p>\n<p>&nbsp;<\/p>\n<p>O SNDBOX tamb\u00e9m intercepta conex\u00f5es de rede e solicita\u00e7\u00f5es de DNS originadas da m\u00e1quina virtual infectada enquanto monitora as amostras enviadas e exibe resultados na guia de an\u00e1lise de rede, revelando informa\u00e7\u00f5es detalhadas sobre porta de origem, endere\u00e7o IP de destino, porta de destino, servi\u00e7o de protocolo de transporte, dura\u00e7\u00e3o e registro de data e hora .<\/p>\n<p>Al\u00e9m disso, a se\u00e7\u00e3o de rede tamb\u00e9m revela atividades suspeitas e estranhas baseadas em v\u00e1rias assinaturas e vetores, como indica\u00e7\u00e3o se o malware usa a rede Tor para comunica\u00e7\u00e3o criptografada.<\/p>\n<\/div>\n<div class=\"separator\" style=\"text-align: justify;\"><\/div>\n<div class=\"separator\" style=\"text-align: justify;\">\n<p>O banco de dados de an\u00e1lise de malware do SNDBOX \u00e9 pesquis\u00e1vel<\/p>\n<p>Cada amostra de malware enviada para a plataforma SNDBOX usando uma conta gratuita e seus resultados podem ser acessados \u200b\u200bpublicamente por meio de seu poderoso recurso de pesquisa.<\/p>\n<p>&nbsp;<\/p>\n<\/div>\n<p style=\"text-align: center;\"><iframe loading=\"lazy\" src=\"https:\/\/www.youtube.com\/embed\/xRfQ3L0gn2g\" width=\"560\" height=\"315\" frameborder=\"0\" allowfullscreen=\"allowfullscreen\"><\/iframe><\/p>\n<p style=\"text-align: center;\">Fonte: The Hacker News (2018)<\/p>\n<p style=\"text-align: justify;\">Como mencionei anteriormente, o SNDBOX usa t\u00e9cnicas de aprendizado de m\u00e1quina para categorizar e rotular amostras de malware analisadas com base em atributos extra\u00eddos, ajudando o recurso de pesquisa na exibi\u00e7\u00e3o de resultados relevantes com mais precis\u00e3o.<\/p>\n<p style=\"text-align: justify;\">&#8220;Nosso mecanismo de reputa\u00e7\u00e3o trabalha em conjunto com a pesquisa da intelig\u00eancia artificial para reduzir falsos positivos. Resultados altamente semelhantes s\u00e3o retornados e pontuados com base em sua relev\u00e2ncia&#8221;, disseram os pesquisadores.<br \/>\n&#8220;Todos os dados de pesquisa, conclus\u00f5es e explica\u00e7\u00f5es de especialistas correspondentes est\u00e3o dispon\u00edveis em nossa plataforma de pesquisa aberta, apoiando a capacidade da comunidade de ampliar os esfor\u00e7os para combater coletivamente o malware evasivo.&#8221;<\/p>\n<p>Fonte: <a title=\"SNDBOX\" href=\"https:\/\/thehackernews.com\/2018\/12\/sndbox-malware-analysis-tool.html?utm_source=feedburner&amp;utm_medium=feed&amp;utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29&amp;_m=3n.009a.1886.is0ao0d70p.15sc\" target=\"_blank\" rel=\"noopener noreferrer\">The Hacker News<\/a><\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Software automatizado de an\u00e1lise de malware desenvolvido por Pesquisadores israelenses de seguran\u00e7a cibern\u00e9tica e malware apresentado na confer\u00eancia Black Hat \u00e9 uma revolucion\u00e1ria plataforma de pesquisa de malware e intelig\u00eancia artificial que ajuda os usu\u00e1rios com a identifica\u00e7\u00e3o de amostras desconhecidas de malware antes do ataque. Com o nome de SNDBOX, a ferramenta de an\u00e1lise [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":9797,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105,99],"tags":[],"class_list":["post-9796","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias","category-novidades"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/9796","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=9796"}],"version-history":[{"count":9,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/9796\/revisions"}],"predecessor-version":[{"id":10214,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/9796\/revisions\/10214"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/9797"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=9796"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=9796"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=9796"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}