Seminar Joe Sandbox – Intensivseminar Malwareanalyse, Evasion und Threat Intelligence

Das fünftägige Intensivseminar bündelt die Analysten- und Detection-Themen des Portfolios. Windows-, Linux-, macOS- und Android-Analyse, Live Interaction, Berichte, ATT&CK, Netzwerk, TLS, PCAP, Speicher, Unpacking, YARA, Sigma, Suricata, Evasion, Hypervisor, Hybrid Code Analysis, Joe Lab, Supply Chain, DFIR und Threat Hunting werden zu einem durchgängigen Analysepfad verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Malware plattformübergreifend und hypothesengeleitet analysieren.
• Berichte, Netzwerk-, Speicher- und Codeartefakte vollständig auswerten.
• Live Interaction, Regeln und Analystenlabor gezielt einsetzen.
• Evasion mit Hypervisor, Hybrid Code Analysis und Execution Graph erkennen.
• Threat Intelligence, Hunts, Detections und Incident-Handoffs ableiten.

Schrittweise Seminarinhalte

1. Analystenworkflow und sichere Probenhandhabung

Schwerpunkt: Intake, Chain of Custody, Hashwerte, Hypothese, Systemwahl, Analyseprofile, Mehrfachläufe, Datenschutz und Eskalation.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Analystenworkflow und sichere Probenhandhabung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Intake, Chain of Custody, Hashwerte, Hypothese, Systemwahl, Analyseprofile, Mehrfachläufe, Datenschutz und Eskalation strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen vollständigen Analysten- und Intake-Standard dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. Windows-Malware-Analyse

Schwerpunkt: Prozessbaum, Kommandozeilen, Persistenz, Injection, Skripte, PowerShell, Credential Access, Defense Evasion und Folgepayloads.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Windows-Malware-Analyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Prozessbaum, Kommandozeilen, Persistenz, Injection, Skripte, PowerShell, Credential Access, Defense Evasion und Folgepayloads strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine belastbare Windows-Verhaltensbewertung dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Linux-, macOS- und Android-Analyse

Schwerpunkt: ELF, Mach-O, PKG, DMG, APK, Berechtigungen, Plattformpersistenz, Prozesse, Netzwerk und normalisierte IOCs.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Linux-, macOS- und Android-Analyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von ELF, Mach-O, PKG, DMG, APK, Berechtigungen, Plattformpersistenz, Prozesse, Netzwerk und normalisierte IOCs strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine plattformübergreifende Analyse- und Vergleichsmatrix dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Reports, Verdikt und MITRE ATT&CK

Schwerpunkt: Score, Konfidenz, Berichtstypen, Prozess- und Verhaltensergebnisse, ATT&CK, Malware-Familie, Analysegrenzen und Managementaussage.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Reports, Verdikt und MITRE ATT&CK“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Score, Konfidenz, Berichtstypen, Prozess- und Verhaltensergebnisse, ATT&CK, Malware-Familie, Analysegrenzen und Managementaussage strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen standardisierten Analyse- und Reviewbericht dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Netzwerk, TLS und PCAP

Schwerpunkt: DNS, HTTP, TLS, C2, Beaconing, Downloads, Exfiltration, entschlüsselter Verkehr, PCAP-Varianten, Suricata und Netzwerk-IOCs.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Netzwerk, TLS und PCAP“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von DNS, HTTP, TLS, C2, Beaconing, Downloads, Exfiltration, entschlüsselter Verkehr, PCAP-Varianten, Suricata und Netzwerk-IOCs strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein vollständiges Netzwerk- und IOC-Paket dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

6. Speicher, Unpacking und Code-Artefakte

Schwerpunkt: Memory Dumps, Strings, entpackte PE-Dateien, .NET, Injection, Konfiguration, IDA-Artefakte, Payloadbeziehungen und Reverse-Engineering-Handoff.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Speicher, Unpacking und Code-Artefakte“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Memory Dumps, Strings, entpackte PE-Dateien, .NET, Injection, Konfiguration, IDA-Artefakte, Payloadbeziehungen und Reverse-Engineering-Handoff strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine priorisierte Speicher- und Payloadanalyse dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

7. Live Interaction und manuelle Vertiefung

Schwerpunkt: benutzerdefinierte Ausführung, Zusatzwerkzeuge, Browserinteraktion, Echtzeitdaten, verlängerte Laufzeit, Evidenz, Fehlerfälle und Reproduzierbarkeit.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Live Interaction und manuelle Vertiefung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von benutzerdefinierte Ausführung, Zusatzwerkzeuge, Browserinteraktion, Echtzeitdaten, verlängerte Laufzeit, Evidenz, Fehlerfälle und Reproduzierbarkeit strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen kontrollierten interaktiven Analystenworkflow dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

8. YARA, Sigma und Suricata

Schwerpunkt: Datei, Speicher, DOM, Ereignisse, Netzwerk, Metadaten, Score, ATT&CK, Live Tests, Gutproben, False Positives und Regel-Lifecycle.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „YARA, Sigma und Suricata“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Datei, Speicher, DOM, Ereignisse, Netzwerk, Metadaten, Score, ATT&CK, Live Tests, Gutproben, False Positives und Regel-Lifecycle strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen qualitätsgesicherten Detection-Regelsatz dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

9. Evasion und Umgebungsvariation

Schwerpunkt: VM-Erkennung, Timing, Sleeps, Benutzeraktivität, Hardwaremerkmale, Netzwerkbedingungen, Systemvarianten, Laufzeit und Abdeckungsstrategie.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Evasion und Umgebungsvariation“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von VM-Erkennung, Timing, Sleeps, Benutzeraktivität, Hardwaremerkmale, Netzwerkbedingungen, Systemvarianten, Laufzeit und Abdeckungsstrategie strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen mehrstufigen Evasion-Testplan dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

10. Hypervisor, Hybrid Code und Execution Graph

Schwerpunkt: hardwaregestützte Inspektion, Bare Metal, nicht ausgeführter Code, Logikbedingungen, API-Ketten, Kontrollfluss, Coverage und Konfidenz.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Hypervisor, Hybrid Code und Execution Graph“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von hardwaregestützte Inspektion, Bare Metal, nicht ausgeführter Code, Logikbedingungen, API-Ketten, Kontrollfluss, Coverage und Konfidenz strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine belastbare Bewertung verborgener Funktionalität dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

11. Joe Lab und Supply-Chain-Analyse

Schwerpunkt: Bare-Metal-Systeme, Images, Zustände, VNC, PCAP, Langzeitbeobachtung, Installer, Updates, Signaturen, Abhängigkeiten und Versionsvergleich.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Joe Lab und Supply-Chain-Analyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Bare-Metal-Systeme, Images, Zustände, VNC, PCAP, Langzeitbeobachtung, Installer, Updates, Signaturen, Abhängigkeiten und Versionsvergleich strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen Analystenlabor- und Softwareprüfprozess dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

12. DFIR, Threat Hunting und Threat Intelligence

Schwerpunkt: Scope, Evidenz, IOCs, ATT&CK, Containment, Hunts, SIEM, EDR, Kampagnenkontext, Detection-Handoff und Incident-Bericht.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „DFIR, Threat Hunting und Threat Intelligence“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Scope, Evidenz, IOCs, ATT&CK, Containment, Hunts, SIEM, EDR, Kampagnenkontext, Detection-Handoff und Incident-Bericht strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein vollständiges DFIR-, Hunt- und Threat-Intelligence-Paket dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Analyse einer mehrstufigen Windows-Probe und einer Cross-Platform-Probe.
• Auswertung von PCAP, TLS, Speicherabbild und entpackten Payloads.
• Manuelle Vertiefung eines evasiven Falls mit Live Interaction und Vergleichsläufen.
• Entwicklung und Tuning je einer YARA-, Sigma- und Suricata-Regel.
• Entwurf einer Bare-Metal- oder Joe-Lab-Eskalation.
• Erstellung eines DFIR-, Threat-Hunting- und Threat-Intelligence-Handoffs.

Zielgruppe und Voraussetzungen

Zielgruppe: Malware-Analysten, DFIR, Threat Research, CERT, Detection Engineering, Threat Hunting und Incident Response.

Voraussetzungen: Gute Kenntnisse in Betriebssystemen, Prozessen, Netzwerken, Malware-Taktiken und grundlegender statischer Analyse.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.