MOBILFORENSIK

Indikatorer på skadlig programvara (IoC), MVT och YARA

Vid undersökning av en smartphone för att upptäcka skadlig programvara används olika tekniska metoder. Särskilt viktiga är Indicators of Compromise (IoC), YARA-regler och – beroende på problemställningen – verktyg som Mobile Verification Toolkit (MVT). De underlättar identifieringen av kända avvikelser, men ersätter inte en fullständig forensisk utvärdering.

Kriminalteknisk analys
Dokumentation som kan användas i domstol
Behandling i enlighet med GDPR
Erfarna sakkunniga

TEKNISK BAKGRUND

Tekniska grunder

Indicators of Compromise (IoC) är kända tekniska kännetecken som kan tyda på en eventuell säkerhetsöverträdelse, till exempel filer, processer, domäner eller andra artefakter.

MVT används för att analysera vissa mobila artefakter och jämföra dem med kända IoC:er.

YARA-regler gör det möjligt att upptäcka vissa mönster i filer eller minnesavbildningar och används ofta för klassificering av skadlig programvara.

VÅRT TILLVÄGAGÅNGSSÄTT

Så här går undersökningen till

En transparent process – från den första förfrågan till överlämnandet av utlåtandet.

1
Lämpliga verktyg används beroende på problemställningen och den tillgängliga datagrunden. Träffar från IoC-jämförelser, MVT eller YARA granskas alltid manuellt och korreleras med ytterligare artefakter. Automatiserade resultat i sig anses inte vara tillräckligt bevis för en säkerhetsöverträdelse.
2
LanCologne utarbetar privata utlåtanden för privatpersoner, företag och advokater. Våra utlåtanden har redan använts i rättsliga förfaranden. I vissa fall har vi fått direkt uppdrag att utarbeta IT-forensiska utlåtanden. På begäran kan anonymiserade utdrag ur referensmaterialet visas upp.

TYPISKA FRÅGOR

När behövs denna analys?

  • ✔Finns det några kända IoC:er?
  • ✔Går det att identifiera misstänkta filer?
  • ✔Hur stor är den statistiska signifikansen hos MVT-träffar?
  • ✔Kan YARA-regler identifiera relevanta artefakter?
  • ✔Hur bedöms automatiserade träffar?

GRÄNSER & SLUTSATS

Vad du bör veta

IoC:er beskriver kända attackmönster. Ny eller hittills okänd skadlig programvara kan därför förbli oupptäckt. På samma sätt kan automatiserade träffar innehålla felaktiga tolkningar. Därför krävs alltid en sakkunnig rimlighetskontroll.

IoC:er, MVT och YARA är värdefulla verktyg i en modern IT-forensisk undersökning av skadlig programvara. Deras resultat blir dock först meningsfulla i kombination med en fullständig teknisk analys.

KUNDOMDÖMEN

Det här säger våra kunder

4,8 av 5 stjärnor på Trustpilot · 54 omdömen

★★★★★

“Högsta professionalism, snabb handläggning och utmärkt kommunikation. Det som verkade omöjligt blev möjligt. Så här föreställer man sig riktig kundservice – unikt i Tyskland!”

idalein

Verifierad recension på Trustpilot

★★★★★

“Mycket trevlig rådgivning, utmärkt tillgänglighet och kommunikation. Mitt problem löstes fullständigt och de förlorade uppgifterna kunde återställas. Jag är mycket nöjd och naturligtvis lättad!”

Layla Pankratz

Verifierad recension på Trustpilot

★★★★★

“Mitt problem löstes snabbt och professionellt, personalen var alltid vänlig och jag kan fortfarande vända mig till dem om jag har frågor – det är jag mycket tacksam för!”

kvinna från Köln

Verifierad recension på Trustpilot

Begär information nu – kostnadsfri inledande rådgivning

Behöver ni en grundlig analys av skadlig programvara som tar hänsyn till kända IoC:er och forensiska verktyg? LanCologne hjälper er med en objektiv teknisk utredning.

RELATERADE ÄMNE

Det här kanske också intresserar dig

VANLIGA FRÅGOR

Vanliga frågor

Klicka på en fråga för att se svaret.

Vad är IoC:er?

Tekniska egenskaper som kan tyda på att systemet har komprometterats.

Kan MVT upptäcka all spionprogramvara?

Nej. Verktyget bygger på kända indikatorer och har tekniska begränsningar.

Vad används YARA-regler till?

För att identifiera karakteristiska mönster i filer eller datamängder.

Räcker det med automatiserade träffar?

Nej. De måste alltid granskas av experter.

Kan man utarbeta ett utlåtande om detta?

Ja, förutsatt att detta ingår i uppdraget.