El análisis del comportamiento examina las interacciones de los especímenes de malware con su
medio ambiente: el sistema de archivos, el registro (si es en Windows), la red,así como otros procesos y componentes del sistema operativo. Como el investigador de malware avisos del comportamiento características interesantes, que modifica el entorno de laboratorio para evocar nuevas características. Para realizar este trabajo, el investigador normalmente infecta el sistema aislado, mientras que las herramientas de supervisión necesarias observar la ejecución del espécimen. Algunos de las herramientas gratuitas que pueden ayudar en esta fase de análisis son el monitor de procesos,Process Explorer, Regshot y Wireshark. Varias herramientas gratuitas en línea pueden automatizar algunos aspectos de análisis de comportamiento, también hay varios libre marcos que puede utilizar para secuencia de comandos del proceso de análisis en un laboratorio local.

El análisis de código de ingeniería inversa a los programas maliciosos para entender el código que implementa el comportamiento del espécimen. Al mirar compilado programas, este proceso implica el uso de un desensamblador, un depurador y, tal vez, un descompilador para examinar conjunto del programa de bajo nivel o código de bytes instrucciones. Un desensamblador convierte las instrucciones de
su forma binaria en la forma de montaje legible. Un descompilador
los intentos de recrear el código fuente original del programa. Un depurador permite el paso de analista a través de las partes más interesantes del código, interactuar con él y observar los efectos de sus instrucciones a entender su propósito. OllyDbg y la AIF Pro Programas de dominio público son populares libre desensamblador / depuradores que puede manejar programas de Windows.

Análisis de la memoria analiza la memoria del sistema infectado para extraer artefactos relacionados con el programa malicioso. En el contexto de la inversa malware de ingeniería, el análisis de la memoria puede ayudar a identificar el código malicioso que está tratando de ocultar (es decir, rootkits), puede aclarar el programa de dependencias en tiempo de ejecución, y puede explicar cómo la muestra se utilizó en el víctima del sistema. análisis de la memoria se ahorra tiempo y permite al investigador
a tomar atajos cuando se estudia el comportamiento del espécimen o código. Libre herramientas para el análisis de la memoria se realiza la volatilidad Marco y sus complementos relacionados con el malware, así como Memoryze y el asociado de Auditoría
Visor de programa.

Fuente: blogs.sans.org