Seminar radare2 Malware-Analyse für Verteidigungsteams

Einordnung

Dieses Seminar behandelt radare2 im defensiven Malware-Analyseprozess. Im Mittelpunkt stehen sichere Laborarbeit, Ersttriage, statische Analyse, verdächtige Imports, Strings, Kontrollfluss, Debugging in Grenzen, Indikatorgewinnung und technische Dokumentation.

Inhaltsübersicht

• Sichere Labororganisation
• Ersttriage und Artefaktaufnahme
• Statische Analyse verdächtiger Funktionen
• Kontrollierte Laufzeitbeobachtung
• Indikatoren und Berichtsfähigkeit

Seminarinhalte Schritt für Schritt

1. Labor isolieren: Arbeitskopien, Netzwerkgrenzen, Snapshots und Protokolle werden vorbereitet, bevor ein Artefakt betrachtet wird.
2. Triage durchführen: Hashwerte, Format, Imports, Strings, Sektionen und auffällige Metadaten werden priorisiert erfasst.
3. Codepfade untersuchen: Verdächtige Funktionen, API-Bezüge, Entpackungsroutinen und Konfigurationszugriffe werden statisch analysiert.
4. Laufzeitdaten begrenzen: Debugging und Beobachtung werden kontrolliert eingesetzt, ohne unkontrollierte Ausführung zu fördern.
5. Indikatoren ableiten: Datei-, Speicher-, String- und Verhaltenshinweise werden technisch begründet dokumentiert.

Praktische Übungen

Die Übungen verwenden harmlose Laborartefakte mit typischen Mustern. Es wird keine operative Malware bereitgestellt und keine Anleitung für reale Fremdangriffe erstellt.

Zielgruppe

SOC, CERT, Incident Response, Malware-Analysten, Forensiker, Security Operations

Voraussetzungen

Grundlagen der IT-Sicherheit, Betriebssystemprozesse, Binärformate und sichere Laborarbeit.