Инструмент для анализа вредоносного ПО и цифровой криминалистики

[DмᴛʀSpy]

Hatching Triage — облачная песочница нового поколения для анализа вредоносных файлов и APT-атак​

В мире, где каждую секунду запускаются новые малвари-постройки, эксплойты и zero-day атаки, классические антивирусы и статический анализ уже не спасают. Организациям и исследователям нужен инструмент, который не просто сверяет сигнатуры, а показывает реальное поведение вредоноса. Эту задачу решает Hatching Triage — облачная песочница, которая за секунды разворачивает виртуальную жертву и показывает, что именно сделает файл в реальной системе.

Что такое Hatching Triage?​

Triage — это динамическая платформа анализа вредоносных объектов, которая запускает подозрительные файлы или ссылки в изолированной виртуальной среде и наблюдает за их поведением. В отличие от антивирусов, которые слепо полагаются на базы сигнатур, Triage фиксирует каждое действие — от подключений к C2-серверам до создания бэкдора в автозагрузке Windows.

Кому это нужно?​

• SOC и Blue Team — выявлять цепочки заражений и быстро собирать IoC.
• Red Team и пентестеры — проверять, как сработает кастомный payload в боевых условиях.
• Malware-аналитики — детальный разбор нового трояна, бота или криптолокера.
• OSINT-исследователи — анализ фишинговых URL и вредоносных вложений.
• MSSP и MDR-провайдеры — автоматизация массовых проверок.

​

Основные возможности Triage​

1. Облачная архитектура
– Не требует разворачивания железа.
– Достаточно загрузить файл или вставить ссылку — анализ стартует мгновенно.
– Масштабируется от единичного анализа до потоковой обработки трафика.

2. Поддержка сложных угроз
– Отрабатывает dropper → downloader → payload.
– Понимает обфускацию, полиморфизм и fileless-атаки.
– Запускает PowerShell и JS напрямую из памяти.

3. Поведенческий анализ
– Логирует создание файлов и процессов.
– Отслеживает модификации реестра Windows.
– Захватывает сетевой трафик (DNS, HTTP/S, IP).
– Фиксирует обращения к API и библиотекам.

4. Поддержка ОС и форматов
– Windows, Linux, Android.
– Форматы: PE (.exe, .dll), Office, PDF, JS/VBS/PS1, ZIP/RAR/7z, ISO, APK, URL.

5. Выгрузка артефактов
– PCAP сетевого трафика.
– Memory dump для реверс-инжиниринга.
– Все созданные или изменённые вредоносом файлы.

Интеграция и автоматизация​

Triage имеет REST API, что позволяет:
– Подключать его к SIEM, EDR, SOAR.
– Отправлять подозрительные файлы напрямую из корпоративной почты.
– Встраивать в пайплайны пентеста и Red Team.
– Интегрировать с MISP, TheHive, Splunk, Cortex.

Таким образом, Triage превращается не просто в песочницу, а в центр автоматического анализа угроз.

Отчётность​

Каждый анализ генерирует детальный отчёт:
– Полная хронология поведения файла.
– Сетевые индикаторы (C2, подозрительные IP и домены).
– IOC в готовом формате для SIEM.
– Визуальные графы цепочек атаки.

Форматы: HTML, PDF, JSON. Можно просматривать вручную или загружать в сторонние системы.

Практическое применение для хакеров и Red Team​

Для Red Team:
– Проверка детектируемости кастомных payload’ов до запуска в реальной сети.
– Анализ поведения собственного эксплойта в «песочнице», чтобы понять, какие IOC оставит атака.
– Тестирование малвари на обход EDR.

Для пентестеров:
– Проверка подозрительных вложений, полученных при OSINT.
– Быстрая оценка трофейных файлов, найденных при LFI/RFI.

Для malware-разработчиков (этичный ресерч):
– Отладка поведения собранного образца.
– Проверка устойчивости обфускации.

Конфиденциальность​

– Private Cloud или On-Prem версии.
– Полный контроль над артефактами.
– Вся аналитика может храниться только внутри инфраструктуры заказчика.

Red Team Use-Case: Тестирование payload в Hatching Triage

Шаг 1. Подготовка​

Red Team собрала кастомный payload (например, reverse shell на Cobalt Strike или Beacon).
Задача: понять, как он поведёт себя на машине жертвы и что именно увидит Blue Team, если попадёт в их SOC.

Шаг 2. Загрузка в Triage​

– Заходим в Hatching Triage.
– Загружаем свой payload.exe или скрипт (PowerShell/JS).
– Запускаем анализ в Windows 10 VM.

Шаг 3. Наблюдаем поведение​

Triage покажет:
– создание процессов (например, powershell.exe -nop -w hidden -enc ...),
– попытки подключиться к C2,
– DNS-запросы и IP-адреса,
– модификацию реестра (автозагрузка),
– API-вызовы (например, CreateRemoteThread).

Это позволяет понять: где именно payload «палится».

Шаг 4. Анализ IOC​

Triage автоматически собирает:
– Indicators of Compromise (IoC),
– сетевые артефакты (C2-адреса, домены),
– сигнатуры антивирусов,
– поведение, подозрительное для EDR.

Red Team видит, что IOC слишком очевидные → корректирует сборку (например, меняет обфускацию или шифрование).

Шаг 5. Итерация​

После изменений payload снова загружается в Triage.
– Если IOC меньше, поведение стало «тише» — значит, кастомизация успешна.
– Если всё ещё палится → продолжаем править until stealth mode.

Шаг 6. Подготовка к реальной атаке​

Теперь Red Team имеет:
– payload, который ведёт себя максимально незаметно,
– список IOC, которые могут спалить SOC,
– понимание, какие логи останутся после атаки.

Это даёт огромное преимущество в боевых условиях, потому что команда уже заранее знает, на что обратить внимание.