Malware triage: хороший разбор заканчивается детектом

Проблема

Статический анализ строк и импортов даёт только первый слой. Современные loaders часто скрывают полезную нагрузку, проверяют среду и меняют поведение.

Без timeline сложно понять, что важнее: удалить файл, сбросить cookie/session, проверить lateral movement или искать выгрузку архивов.

Решение

Разбор должен быть controlled: isolated VM, no real credentials, network sinkhole, immutable notes и separate evidence.

Итог - не вредоносный код, а defensive artifacts: IOC, YARA-like rule, Sigma idea, affected accounts, reset plan и monitoring window.

Что проверить руками

• Собрать file hashes, strings, imports, compile hints и packer hints.
• Построить timeline: process, file, registry/service, network.
• Не публиковать operational payload и C2 details, которые помогают злоупотреблению.
• Проверить detection на benign samples, чтобы не создавать шум.

Безопасный пример кода

YARA-like defensive rule skeleton. Пример рассчитан на owned/lab-среду и не выполняет вредоносных действий.

rule Suspicious_Loader_Behavior_Training
{
    meta:
        author = "Virusologia"
        purpose = "training rule skeleton"
        note = "Use only with owned samples and validate false positives"
    strings:
        $s1 = "VirtualAlloc" ascii
        $s2 = "CreateRemoteThread" ascii
        $s3 = "powershell" ascii nocase
    condition:
        uint16(0) == 0x5A4D and 2 of ($s*)
}

Как это должно попасть в отчёт

• Evidence: hashes, sandbox timeline, network IOC, persistence indicators.
• SOC handoff: YARA/Sigma candidates, log sources, false positive notes.
• Retest: IOC sweep clean, credentials rotated, suspicious persistence absent.