Objetivos y comportamientos del Malware Behavior Catalog

El MBC se organiza en objetivos, que hacen el papel de las tácticas, y comportamientos dentro de cada objetivo, con métodos cuando hace falta afinar. Muchos de sus objetivos coinciden con tácticas de ATT&CK (persistencia, descubrimiento, mando y control), pero hay dos que no tienen equivalente: Anti-Behavioral Analysis y Anti-Static Analysis. Agrupan lo que una muestra hace contra quien la analiza: comprobar si corre en una máquina virtual o en un entorno aislado, detectar un depurador, esconder su código para que no se pueda leer sin ejecutarlo.

A una empresa que se defiende le importa poco si la muestra esquiva al analista; al analista le importa mucho, porque explica por qué un informe salió vacío o por qué dos ejecuciones no se parecen. El catálogo no sustituye a ATT&CK: lo complementa y, donde una técnica ya existe allí, la referencia en vez de duplicarla.

En el hallazgo M1 la muestra se comportó de dos maneras según dónde corría. Lee la evidencia con cuidado: el catálogo distingue entre detectar un depurador, detectar un entorno aislado en general y detectar que se está dentro de una máquina virtual, y la elección depende de qué comprobó la muestra, no de lo que consiguió.

Abre el laboratorio, lee hallazgos_htg y busca en catalogo_mbc el comportamiento que describe exactamente lo que comprobó.

Igual que en ATT&CK, un mismo comportamiento puede servir a varios objetivos. El empaquetado de M2, por ejemplo, aparece en el catálogo bajo tres: dificulta la observación, dificulta la lectura sin ejecutar y dificulta el trabajo de las defensas del equipo. En el informe de una muestra se escriben los que la evidencia de ese hallazgo sostiene.

La evidencia de M2 sale del análisis estático: entropía, importaciones escasas, un cargador. Lee en objetivos_mbc qué pregunta responde cada objetivo.

Los identificadores del catálogo dicen de dónde viene cada entrada. La B marca un comportamiento propio del MBC. La E marca una técnica de ATT&CK que el catálogo amplía con detalle de malware, y conserva el número de la técnica original. La F marca una subtécnica ampliada, con numeración propia. Los micro-comportamientos, que verás en la sala siguiente, llevan C.

Gracias a esa regla, quien lee un informe con identificadores del MBC puede volver a ATT&CK sin tabla de equivalencias. El hallazgo M5 es una conducta que ATT&CK ya describe.

El informe de HTG-2051 va a ir al SOC de Tacarigua, que trabaja con ATT&CK, y a un equipo de análisis externo, que trabaja con el MBC. La tentación es elegir uno y olvidar el otro, o duplicar cada fila con dos códigos distintos sin decir cómo se relacionan.