Trasformare un campione sospetto in informazioni operative.
L'analisi malware aiuta a stabilire cosa esegue un file, quali modifiche produce, come comunica e quali meccanismi di persistenza utilizza. I risultati supportano incident response, threat hunting e creazione di regole di rilevamento.
Livelli di analisi
- triage iniziale, hashing e identificazione del formato;
- analisi statica di stringhe, import, sezioni e indicatori;
- esecuzione dinamica in ambiente controllato;
- osservazione di processi, file, registro e comunicazioni;
- valutazione di persistenza, evasione e capacità di movimento;
- reverse engineering mirato, quando necessario e previsto dallo scope.
Output operativi
- descrizione del comportamento e delle capacità osservate;
- hash, domini, IP, path, mutex e altri indicatori;
- artefatti da ricercare su endpoint e log;
- raccomandazioni di contenimento e bonifica;
- elementi per regole EDR/XDR, SIEM, IDS o YARA, se applicabili;
- limiti dell'analisi e possibili tecniche non attivate nel laboratorio.
I campioni vengono trattati in ambienti isolati e secondo procedure definite. Nessuna conclusione viene estesa oltre ciò che le evidenze consentono di dimostrare.