Lernlabor Cybersicherheit
Das Seminar "Fortgeschrittene Schadsoftwareanalyse" richtet sich an erfahrene Schadsoftware-Analyst:innen, die ihre technischen Fähigkeiten vertiefen und ihren Werkzeugkasten erweitern möchten. Moderne Schadsoftware setzt massiv auf Code-Obfuskation, wie String- und API-Verschleierung, nutzt verschiedenste Quellsprachen und kombiniert komplexe C2-Protokolle mit verschlüsselten Konfigurationen. Ziel des Seminars ist es, diese Techniken systematisch zu erkennen, zu deobfuskieren und verwertbare Erkenntnisse für Incident Response und Threat Intelligence zu gewinnen.
Die Teilnehmenden erhalten einen praxisnahen Deep Dive in Obfuskationsverfahren und deren Gegenmaßnahmen: von Junk-Code über WinAPI-Obfuskation bis Control-Flow-Flattening und Virtualisierung. Darauf aufbauend werden automatisierte Content- und Config-Extraktion, C&C-Protokollanalyse, Code-Ähnlichkeitsanalyse sowie YARA-basiertes Hunting behandelt. Ein weiterer Schwerpunkt ist das Reverse Engineering von .NET-, Go- und Rust-basierten Samples, inklusive typischer Obfuskatoren und spezifischer Analyse-Patterns.
Im Verlauf des Seminars arbeiten die Teilnehmenden intensiv mit IDA Pro, (IDA)Python, Emulationsframeworks und spezialisierten Analyse-Tools. Die Übungen sind so gestaltet, dass sich die erlernten Techniken direkt in bestehende Analyse-Workflows integrieren lassen, von der Einzelfallanalyse bis zur Skalierung in Hunting- und CTI-Prozesse. Die Schulung wird als Präsenz-Inhouse-Seminar angeboten und setzt solide Grundlagen in Windows-Malware-Analyse und IDA Pro voraus.
Nach dem Seminar können Sie:
- Obfuskationstechniken erkennen, einordnen und gezielt deobfuskieren
- IDA Pro und IDAPython einsetzen, um Analysen zu automatisieren und Binärdateien programmatisch umzuschreiben
- Strings, Konfigurationen und weitere Artefakte automatisiert extrahieren inkl. Emulation und generischer Parsing-Ansätze
- proprietäre C&C-Protokolle analysieren, Crypto-Mechanismen verstehen und C2-Clients für Simulation und Hunting nachbilden
- Code-Ähnlichkeiten bewerten, Familienzugehörigkeit und Lineage ableiten sowie Diffing-Tools zielgerichtet einsetzen
- robuste YARA-Regeln für Code-basiertes Hunting entwickeln und mit externen Plattformen (z. B. VirusTotal) kombinieren
- typische Malware in .NET, Go und Rust erkennen, deren Besonderheiten verstehen und geeignete Analyse-Tools nutzen