Perché usare NotHoly per l'analisi del malware

Il triage di un campione sospetto ha due esigenze che tirano in direzioni opposte: una lettura rapida di cosa è, e un modello che lo discuta davvero. Un assistente generico rifiuta la seconda nel momento in cui appare la parola malware. Una piattaforma condivisa non dà la prima in sicurezza, perché eseguire il campione è l'unica cosa che non vuoi che faccia. NotHoly si occupa del lato statico e della spiegazione, e non esegue mai il campione. La detonazione resta nel tuo laboratorio isolato. Il caso d'uso di detection engineering copre le regole che costruisci a partire da essa.

#Triage statico senza eseguire il campione

Allega un campione nella chat o esegui notholy analyze, e il parser estrae un primo quadro senza eseguire nulla. Per un PE o ELF ricevi lo SHA-256, la dimensione, l'entropia, il formato, l'entry point, le sezioni e gli import. Ricevi le stringhe e un'anteprima di disassembly dall'inizio del file. Un archivio dà il suo albero, un documento dà il suo testo senza eseguire una macro o uno script, e un pickle di Python è disassemblato, mai caricato. Un pattern di chiave o token alza un avviso credentials_detected, e una zip bomb si ferma presto con un messaggio. Ogni file è analizzato in un sandbox usa e getta senza rete e con radice in sola lettura, perché un file caricato è trattato come ostile. Il riferimento dei file ha i tipi e i limiti.

notholy analyze ./sample.exe

#Il modello lo spiega e nomina la tecnica

Con i fatti statici in mano, il modello li legge senza bloccarsi sul fatto che l'analisi sia permessa, perché l'analisi è il lavoro. Spiega cosa suggerisce una sezione o un import, raggruppa le stringhe in ciò che pare C2, persistenza o anti-analisi, e mappa il comportamento su MITRE ATT&CK, che è nella base di conoscenza con l'attribuzione che MITRE richiede. Chiedi una regola YARA o Sigma e ne abbozza una dagli indicatori che hai confermato. Una stringa di versione o prodotto può andare a un lookup CVE, che riporta se il CVE è in CISA KEV e se ha un uso noto in ransomware. Sia la base di conoscenza sia i dati CVE si leggono dalla CLI e dall'API, così un lotto di campioni si fa triage da uno script. Quando il documento è il campione, il parser estrae il suo testo senza eseguire una macro, così un file office o PDF malevolo consegna lo script incorporato e gli URL perché il modello li legga, non li esegua. Il risultato è una lettura da mettere davanti a un collega, con la tecnica nominata e una fonte su ogni affermazione.

strings -n 8 ./sample.exe | notholy "group these by C2, persistence and anti-analysis, then draft a YARA rule"

#Il tuo campione resta contenuto

Nulla di ciò che carichi viene eseguito, e non c'è analisi dinamica, quindi il campione non gira mai dalla nostra parte né raggiunge un bersaglio. Un file che mandi per l'analisi è conservato cifrato, con una scadenza di un'ora registrata. L'eliminazione automatica non è ancora attiva, quindi scrivi a [email protected] per rimuoverne uno. L'inferenza dell'API non conserva prompt né risposta, solo metadati, quindi un'analisi che fai tramite API non viene tenuta. La base di conoscenza e il modello portano tecnica e documentazione, non malware funzionante, quindi questo è un posto per capire un campione, non un posto per procurarsene uno.

#Dove non si adatta

Questo è triage statico, non una camera di detonazione. Non c'è analisi dinamica, né cattura di rete né unpacking a run time, quindi un campione impacchettato o consapevole del sandbox consegna il suo comportamento reale solo nel tuo laboratorio. Non c'è decompilatore né grafo di flusso di controllo, e l'anteprima di disassembly è solo l'inizio del file. Il modello può nominare la famiglia sbagliata, perdere un indicatore o inventarne uno, quindi conferma ogni IOC prima che finisca in un report o in una lista di blocco. Le immagini danno solo le dimensioni, senza OCR per ora.

Tieni la detonazione nel tuo laboratorio, e lascia che NotHoly faccia triage e spieghi. Metti un saldo piccolo su prezzi e manda il primo campione.