Seminar Joe Sandbox – Automatisierte Malware-Analyse für Windows

Das Seminar führt durch einen vollständigen Windows-Malware-Analyseprozess von der sicheren Probenannahme bis zur technischen Bewertung. Prozessbäume, Verhalten, Persistenz, Injection, Skripte, PowerShell, Netzwerkaktivität, Konfigurationsdaten und extrahierte Artefakte werden systematisch ausgewertet und in handlungsfähige Ergebnisse überführt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Windows-Proben sicher übernehmen und passende Analyseprofile auswählen.
• Prozessketten, Verhaltenssignaturen und Ausführungspfade systematisch interpretieren.
• Persistenz, Injection, Skriptmissbrauch, Credential Access und Defense Evasion erkennen.
• Netzwerk- und Dateiartefakte zu belastbaren IOCs verdichten.
• Eine reproduzierbare technische Bewertung mit Eskalationskriterien erstellen.

Schrittweise Seminarinhalte

1. Sichere Probenannahme und Hypothese

Schwerpunkt: Hashwerte, Herkunft, Kontext, Klassifizierung, Quarantäne, Archivkennwort, Analyseziel und rechtliche Freigabe.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Sichere Probenannahme und Hypothese“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Hashwerte, Herkunft, Kontext, Klassifizierung, Quarantäne, Archivkennwort, Analyseziel und rechtliche Freigabe strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen nachvollziehbaren Intake- und Hypothesenbogen dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. System-, Cookbook- und Optionsauswahl

Schwerpunkt: Windows-Version, Office- und Browserstand, Sprache, Internetmodus, Analysezeit, Argumente, Begleitdateien und Mehrfachläufe.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „System-, Cookbook- und Optionsauswahl“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Windows-Version, Office- und Browserstand, Sprache, Internetmodus, Analysezeit, Argumente, Begleitdateien und Mehrfachläufe strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein begründetes Windows-Analyseprofil dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Prozessbaum und Ausführungskette

Schwerpunkt: Eltern-Kind-Beziehungen, Kommandozeilen, Skriptinterpreter, LOLBins, Services, Tasks, Prozessstatus und zeitlicher Ablauf.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Prozessbaum und Ausführungskette“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Eltern-Kind-Beziehungen, Kommandozeilen, Skriptinterpreter, LOLBins, Services, Tasks, Prozessstatus und zeitlicher Ablauf strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine kommentierte Ausführungskette dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Verhalten, Persistenz und Privilegien

Schwerpunkt: Registry, Autostart, Services, geplante Aufgaben, Treiber, UAC, Rechteausweitung, Systemänderungen und Löschversuche.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Verhalten, Persistenz und Privilegien“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Registry, Autostart, Services, geplante Aufgaben, Treiber, UAC, Rechteausweitung, Systemänderungen und Löschversuche strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine priorisierte Verhaltens- und Persistenzbewertung dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Injection, Speicher und entpackte Nutzlasten

Schwerpunkt: fremde Speicherbereiche, Prozessmanipulation, Reflection, Shellcode, entpackte PE-Dateien, Speicherstrings und Folgepayloads.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Injection, Speicher und entpackte Nutzlasten“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von fremde Speicherbereiche, Prozessmanipulation, Reflection, Shellcode, entpackte PE-Dateien, Speicherstrings und Folgepayloads strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine Payload- und Injection-Übersicht dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

6. Netzwerk, Konfiguration und IOCs

Schwerpunkt: DNS, HTTP, TLS, C2, Downloads, Exfiltration, Konfigurationsextraktoren, Domains, IPs, URLs und Hashwerte.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Netzwerk, Konfiguration und IOCs“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von DNS, HTTP, TLS, C2, Downloads, Exfiltration, Konfigurationsextraktoren, Domains, IPs, URLs und Hashwerte strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen qualitätsgesicherten IOC-Satz dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

7. Verdikt, ATT&CK und technische Übergabe

Schwerpunkt: Score, Konfidenz, Malware-Familie, MITRE-ATT&CK-Zuordnung, False Positives, Untersuchungsbedarf, Bericht und Eskalation.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Verdikt, ATT&CK und technische Übergabe“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Score, Konfidenz, Malware-Familie, MITRE-ATT&CK-Zuordnung, False Positives, Untersuchungsbedarf, Bericht und Eskalation strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen belastbaren Analystenbericht mit Handlungsempfehlungen dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Analyse einer mehrstufigen Windows-Probe mit Prozess- und Verhaltenstimeline.
• Identifikation von Persistenz, Injection und nachgeladenen Payloads.
• Erstellung eines IOC-Pakets und eines technischen Incident-Handoffs.

Zielgruppe und Voraussetzungen

Zielgruppe: Malware-Analysten, SOC- und CERT-Teams, Incident Response, Detection Engineering und Threat Intelligence.

Voraussetzungen: Grundkenntnisse in Windows, Prozessen, Registry, Dateisystem, Netzwerken und Malware-Taktiken.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.