Seminar GLIMPS Malware: Expert Advanced Malware Analysis

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Analyseauftrag und sichere Arbeitsweise
   • 2. Berichtsstruktur und Evidenz
   • 3. Statische und hybride Analyse
   • 4. Dynamische Verhaltensbewertung
   • 5. Kontextualisierung und ATT&CK
   • 6. YARA und Retro Hunting
   • 7. Export und Analystenbericht
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar vermittelt die vertiefte Analyse und Kontextualisierung verdächtiger Dateien mit GLIMPS Malware Expert. Statische, dynamische und hybride Befunde werden zu einer belastbaren Einschätzung verbunden; Indikatoren, Funktionen, Angreiferbezüge und MITRE-ATT&CK-Zuordnungen werden geprüft und für weitere Ermittlungen nutzbar gemacht.

Lernziele

• Analyseberichte strukturiert lesen und Befundqualität bewerten
• Statische, dynamische und hybride Ergebnisse zusammenführen
• Indikatoren, Funktionen und Verhaltensmuster priorisieren
• MITRE-ATT&CK-Zuordnungen und Angreiferkontext fachlich prüfen
• YARA, Retro Hunting, Whitelists und private Datensätze kontrolliert einsetzen
• Ergebnisse für SOC, Incident Response und CTI adressatengerecht exportieren

Schrittweise Seminarinhalte

1. Analyseauftrag und sichere Arbeitsweise

1. Schritt 1: Untersuchungsfrage, Herkunft, Integrität und Priorität der Probe dokumentieren.
2. Schritt 2: Sichere Vorschau und Analyseumgebung nutzen, ohne die Probe unnötig auszuführen.
3. Schritt 3: Erwartete Hypothesen und Mindestnachweise vor Beginn festlegen.
4. Schritt 4: Analysezeit, Tiefe und Eskalationskriterien nach Risiko steuern.

2. Berichtsstruktur und Evidenz

1. Schritt 1: Verdikt, Dateimetadaten, Extraktionsergebnisse und technische Auffälligkeiten systematisch erfassen.
2. Schritt 2: Befundquelle, Vertrauensniveau und mögliche Fehlinterpretationen unterscheiden.
3. Schritt 3: Widersprüchliche Ergebnisse als offene Hypothese markieren und weiter prüfen.
4. Schritt 4: Relevante Evidenz in einer nachvollziehbaren Zeitlinie zusammenführen.

3. Statische und hybride Analyse

1. Schritt 1: Dateiformat, Struktur, eingebettete Inhalte, Zeichenketten und Konfigurationsartefakte untersuchen.
2. Schritt 2: Obfuskation, Packen, Makros, Skripte und verdächtige Ressourcen bewerten.
3. Schritt 3: Erkannte Funktionen mit bekannten Angriffstechniken und möglichem Zweck verknüpfen.
4. Schritt 4: Statische Hinweise durch weitere Analysepfade bestätigen oder verwerfen.

4. Dynamische Verhaltensbewertung

1. Schritt 1: Prozess-, Datei-, Registry-, Netzwerk- und Persistenzaktivitäten priorisieren.
2. Schritt 2: Zeitabhängige, umgebungsabhängige und evasive Verhaltensweisen erkennen.
3. Schritt 3: Indikatoren aus Verhalten extrahieren und auf Stabilität sowie Wiederverwendbarkeit prüfen.
4. Schritt 4: Dynamische Ergebnisse mit statischen Befunden und Incident-Kontext korrelieren.

5. Kontextualisierung und ATT&CK

1. Schritt 1: Techniken, Taktiken und mögliche Zielsetzungen aus belastbaren Befunden ableiten.
2. Schritt 2: Automatische MITRE-ATT&CK-Zuordnungen anhand der Evidenz verifizieren.
3. Schritt 3: Familien- oder Angreiferzuordnungen mit Alternativhypothesen und Unsicherheit dokumentieren.
4. Schritt 4: Ermittlungsfragen für betroffene Systeme, Identitäten und Netzwerksegmente ableiten.

6. YARA und Retro Hunting

1. Schritt 1: Regelziel, Merkmale und gewünschte Trennschärfe vor der Regelentwicklung definieren.
2. Schritt 2: YARA-Regeln mit positiven und negativen Proben testen und kommentieren.
3. Schritt 3: Retro-Hunting-Abfragen kontrolliert ausführen und Treffer nachprüfen.
4. Schritt 4: Whitelists und private Malware-Datensätze mit Freigabe, Eigentümer und Pflegezyklus verwalten.

7. Export und Analystenbericht

1. Schritt 1: Indikatoren und Kontext für MISP, STIX oder JSON strukturiert aufbereiten.
2. Schritt 2: Technische Evidenz, Bewertung, Unsicherheit und empfohlene Maßnahmen trennen.
3. Schritt 3: Kurzbericht für SOC und ausführlichen Analysebericht für Incident Response erstellen.
4. Schritt 4: Peer Review und Qualitätskontrolle vor Weitergabe durchführen.

Praxisübungen

1. Vollständige Analyse einer mehrstufigen Beispielprobe mit Hypothesenprotokoll
2. Bewertung widersprüchlicher statischer und dynamischer Befunde
3. Erstellung und Test einer YARA-Regel mit Negativkorpus
4. Retro-Hunting-Auswertung und Priorisierung der Treffer
5. Erstellung eines technischen Analystenberichts und eines SOC-Kurzberichts

Zielgruppe und Voraussetzungen

Zielgruppe: Malware Analysts, Tier-2- und Tier-3-SOC, Threat Hunter, Incident Responder, DFIR und Cyber Threat Intelligence

Voraussetzungen: Gute Kenntnisse in Malware-Grundlagen, Betriebssystemartefakten, Netzwerkprotokollen, IOC-Analyse und MITRE ATT&CK

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.