Malware-analyse: hoe experts kwaadaardige software ontleden
Stel je voor dat een deur is opengebroken en er iets vreemds op de computer is achtergebleven. Voordat je die deur simpelweg dichttimmert, wil je weten wát er precies is binnengekomen, hoe het is binnengekomen en wat het heeft gedaan. Dat is in de kern wat malware-analyse is: het systematisch onderzoeken van kwaadaardige software (malware, een samentrekking van "malicious software") om te begrijpen hoe die werkt, wat het doel ervan is en hoe je je ertegen kunt beschermen.
Het is te vergelijken met een forensisch onderzoek na een misdrijf. Een patholoog-anatoom opent geen lichaam uit morbide interesse, maar om een doodsoorzaak vast te stellen en aanwijzingen te vinden die tot de dader leiden. Malware-analisten doen iets vergelijkbaars met kwaadaardige code: ze ontleden een computervirus, een stuk ransomware (gijzelsoftware die bestanden versleutelt) of een spionageprogramma laagje voor laagje, tot ze precies weten wat het beestje doet en wie het mogelijk heeft gemaakt.
Wat is het precies?
Malware-analyse kent grofweg twee hoofdvormen, die vaak worden gecombineerd. De eerste is statische analyse: het bestuderen van de programmacode zonder deze daadwerkelijk uit te voeren. Analisten kijken dan naar de opbouw van het bestand, naar tekstfragmenten die erin verstopt zitten, en naar de machine-instructies waaruit het programma bestaat.
De tweede vorm is dynamische analyse: de malware wordt juist wél gestart, maar dan in een streng afgeschermde, geïsoleerde testomgeving die een "sandbox" wordt genoemd (letterlijk: zandbak). Binnen die sandbox kan de analist precies zien welke bestanden het programma aanmaakt of verwijdert, welke internetverbindingen het opzet en welke wijzigingen het in het besturingssysteem doorvoert, zonder dat er risico is voor echte systemen.
Omdat malware bijna altijd is gecompileerd tot machinetaal, gebruiken analisten reverse engineering (het terugvertalen van code naar iets leesbaars) met hulp van gespecialiseerde programma's. Een disassembler zet de machine-instructies om in een voor mensen beter te volgen taal, assembly genoemd, terwijl een debugger toelaat om het programma stap voor stap te laten draaien en op elk moment te bevriezen om de interne status te bekijken. Bekende voorbeelden van zulke gereedschappen zijn IDA Pro, een commercieel pakket dat al decennia de industriestandaard is, en Ghidra, een gratis alternatief dat de Amerikaanse inlichtingendienst NSA in 2019 openbaar maakte.
Het resultaat van al dit speurwerk zijn zogenoemde indicators of compromise (IOC's), oftewel concrete sporen zoals bestandsnamen, internetadressen of digitale "vingerafdrukken" van bestanden waarmee andere organisaties dezelfde dreiging kunnen herkennen. Een veelgebruikt hulpmiddel daarbij zijn YARA-regels: kleine tekstpatronen die beschrijven waaraan een stuk kwaadaardige code te herkennen is, zodat beveiligingssoftware er in de toekomst automatisch op kan scannen.
Wat wil men ermee bereiken?
Het belangrijkste doel is simpel: dreigingen begrijpen om ze te kunnen stoppen. Zonder te weten hoe malware werkt, is het onmogelijk om er goede detectie voor te bouwen in antivirussoftware of om organisaties te waarschuwen voor specifieke risico's.
Daarnaast speelt malware-analyse een centrale rol bij incident response: wanneer een bedrijf is gehackt, moeten specialisten razendsnel achterhalen wat er precies is binnengedrongen, om verdere schade te beperken en de aanvaller buiten de deur te houden. Analyse van de gebruikte malware laat vaak ook zien welke kwetsbaarheid in software is misbruikt, waardoor die kan worden gedicht.
Een ander doel is attributie: het proberen te achterhalen wie er achter een aanval zit. Door code-stijl, gebruikte technieken en infrastructuur te vergelijken met eerdere aanvallen, kunnen onderzoekers soms aanwijzingen vinden die wijzen op een specifieke criminele groep of, in sommige gevallen, een aan een staat gelieerde actor. Dit blijft echter altijd met de nodige onzekerheid omgeven, omdat aanvallers bewust sporen kunnen vervalsen om onderzoekers op het verkeerde been te zetten.
Ten slotte draagt malware-analyse bij aan threat intelligence: het delen van kennis over dreigingen tussen bedrijven, overheden en beveiligingsorganisaties, zodat de hele sector sneller kan reageren op nieuwe aanvalsgolven.
Voorbeelden uit de praktijk
Een van de bekendste voorbeelden is de ontleding van Stuxnet in 2010, een zeer geavanceerde worm die specifiek was gericht op Iraanse uraniumverrijkingsinstallaties. Onderzoekers van Symantec en het Russische Kaspersky Lab besteedden maanden aan het uitpluizen van de code en ontdekten dat het programma industriële besturingssystemen van Siemens kon manipuleren, wat destijds als een keerpunt werd gezien in de geschiedenis van digitale sabotage.
In 2017 verspreidde de ransomware WannaCry zich in razend tempo over de hele wereld. De Britse beveiligingsonderzoeker Marcus Hutchins ontdekte tijdens zijn analyse van de code per toeval een "killswitch": een niet-geregistreerd internetadres dat, zodra het werd geactiveerd, de verspreiding van de worm abrupt stopzette.
Veel van dit soort onderzoek gebeurt met open source-gereedschap zoals Cuckoo Sandbox, een sinds ongeveer 2010 ontwikkeld project waarmee analisten automatisch malwaremonsters in een veilige omgeving kunnen laten draaien en het gedrag ervan kunnen vastleggen.
Ook VirusTotal, opgericht in 2004 door het Spaanse bedrijf Hispasec en sinds 2012 eigendom van Google, speelt een grote rol: gebruikers kunnen er verdachte bestanden uploaden, waarna deze automatisch door tientallen antivirusmotoren worden gescand, wat analisten wereldwijd helpt om snel een eerste inschatting te maken.
Een recenter voorbeeld is de analyse van interne chatberichten van de Russische ransomwaregroep Conti, die begin 2022 werden gelekt nadat de groep zich had uitgesproken over de Russische invasie van Oekraïne. Onderzoekers wereldwijat bestudeerden de gelekte gesprekken naast de bijbehorende malwarecode en kregen daardoor een zeldzaam kijkje in de werkwijze en organisatiestructuur van een criminele ransomware-onderneming.
Hoe ver is de techniek?
Malware-analyse is een volwassen vakgebied, maar staat allesbehalve stil. Een grote verschuiving van de afgelopen jaren is de opkomst van automatisering: waar analisten vroeger elk bestand grotendeels handmatig moesten onderzoeken, gebeurt een steeds groter deel van de eerste "triage" (het snel inschatten hoe gevaarlijk en urgent iets is) inmiddels via geautomatiseerde sandboxes en machine learning-modellen die patronen herkennen in enorme hoeveelheden code.
Tegelijk wordt kunstmatige intelligentie ook door aanvallers ingezet, bijvoorbeeld om code automatisch te laten muteren zodat bestaande detectiepatronen minder goed werken. Dit leidt tot een voortdurende wapenwedloop tussen aanvallers en verdedigers.
Een hardnekkig obstakel is dat veel moderne malware doelbewust anti-analysetechnieken bevat: code die controleert of het programma in een sandbox draait en zich dan onschuldig gedraagt, of code die met "packing" en "obfuscatie" (het bewust versleutelen of vervormen van de eigen broncode) probeert om analyse te bemoeilijken. Analisten moeten deze lagen eerst "uitpakken" voordat het eigenlijke onderzoek kan beginnen.
Daarnaast is er een schaalprobleem: beveiligingsbedrijven ontvangen dagelijks honderdduizenden nieuwe, unieke malwaremonsters, ruim te veel om ze allemaal individueel handmatig te onderzoeken. Ook is er wereldwijd een structureel tekort aan ervaren malware-analisten, wat de druk op geautomatiseerde hulpmiddelen verder vergroot. Kortom: de techniek is krachtig en volwassen, maar analisten lopen voortdurend achter de nieuwste ontwijkingstrucs van aanvallers aan.
Wie werken eraan?
Traditionele antivirusbedrijven zoals Kaspersky, ESET en Symantec (tegenwoordig onderdeel van Broadcom) beschikken over grote onderzoeksteams die dagelijks nieuwe malware analyseren. Grote techbedrijven spelen inmiddels ook een centrale rol: Google beheert via zijn dochterbedrijf Mandiant en het platform VirusTotal enorme hoeveelheden dreigingsdata, en Microsoft onderzoekt malware onder meer via zijn Microsoft Threat Intelligence-team.
Daarnaast bestaan er gespecialiseerde threat intelligence-bedrijven zoals CrowdStrike en Recorded Future, die zich toeleggen op het volgen en analyseren van specifieke aanvalsgroepen.
Overheden zijn eveneens nauw betrokken. In Nederland coördineert het Nationaal Cyber Security Centrum (NCSC) de omgang met digitale dreigingen voor de rijksoverheid en vitale sectoren, in de Verenigde Staten vervult het CISA (Cybersecurity and Infrastructure Security Agency) een vergelijkbare rol, en op Europees niveau ondersteunt het agentschap ENISA lidstaten bij cyberbeveiligingsvraagstukken.
Ten slotte draagt de open source-gemeenschap flink bij: het gratis analysegereedschap Ghidra, ontwikkeld door de NSA en sinds 2019 openbaar beschikbaar, en het Cuckoo Sandbox-project worden wereldwijd door onafhankelijke onderzoekers, universiteiten en kleinere beveiligingsbedrijven gebruikt en verder ontwikkeld.