Seminar JADX Malware-Triage und Incident Response

Verdächtige Android-Artefakte verlangen eine vorsichtige, defensive Arbeitsweise. Das Seminar zeigt, wie statische Triage mit JADX durchgeführt wird, welche Hinweise belastbar sind und wie Ergebnisse für Incident Response, Eskalation und weitere Analyse übergeben werden.

Zielgruppe

• IR-Teams, die Android-Artefakte sicher und geordnet vorsichten müssen
• SOC- und Forensik-Analysten, die statische Indikatoren bewerten
• AppSec-Teams, die verdächtiges Verhalten in Apps nachvollziehen wollen

Voraussetzungen

Vorausgesetzt werden Security-Grundlagen und Verständnis für Android-App-Strukturen. Programmierkenntnisse sind nötig, um Codepfade sinnvoll zu bewerten.

Inhaltsübersicht

• Sichere Handhabung verdächtiger Artefakte
• Statische Triage mit Manifest, Ressourcen und Code
• Berechtigungen, Services, Receiver und Startpunkte
• Strings, Endpunkte, Konfigurationen und Indikatoren
• Datenflüsse zu Netzwerk, Speicher und Kryptografie
• Obfuscation, Anti-Analyse-Hinweise und Grenzen statischer Sichtung
• Befundmatrix, Priorisierung und IR-Übergabe
• Praxisfall mit defensiver Dokumentation

Schrittweise Seminarinhalte

1. Arbeitsregeln und Ablage für verdächtige Artefakte definieren.
2. Artefakt identifizieren, Hashwerte erfassen und statische Sichtung starten.
3. Manifestdaten und Komponenten nach Triage-Relevanz auswerten.
4. Strings, Ressourcen, Konfigurationen und auffällige Endpunkte erfassen.
5. Codepfade zu Netzwerk, Speicher und Berechtigungsnutzung verfolgen.
6. Obfuscation- und Anti-Analyse-Spuren vorsichtig einordnen.
7. Indikatoren, Unsicherheiten und offene Fragen in einer Befundmatrix dokumentieren.
8. Abschlussfall mit Übergabeempfehlung für weitere IR-Schritte bearbeiten.

Praxisnutzen

Nach dem Seminar können verdächtige Android-Artefakte defensiv vorsortiert werden. Ziel ist keine Heldengeschichte, sondern ein sauberer, belastbarer Übergang in weitere Incident-Response-Arbeit.