АНАЛІЗ ПРОГРАМНОГО ІНСТРУМЕНТУ THREATLENS ДЛЯ КРИМІНАЛІСТИЧНОГО-ДОСЛІДЖЕННЯ ШКІДЛИВИХ ФАЙЛІВ ТА ВИЯВЛЕННЯ ІНДИКАТОРІВ КОМПРОМЕТАЦІЇ
DOI:
https://doi.org/10.28925/2663-4023.2026.35.1396Ключові слова:
цифрова криміналістика, інциденти кібербезпеки, кіберзагрози, безпека програмного забезпечення, шкідливе програмне забезпечення, сигнатурний аналіз, програмування, HTTP-трафік, інформаційно-комунікаційні системи, Python, YARA, MITRE ATT&CKАнотація
У статті розглянуто питання автоматизації аналізу цифрових артефактів у задачах кібербезпеки та цифрової криміналістики. Актуальність роботи зумовлена необхідністю швидкого опрацювання значної кількості файлів, мережевих даних і журналів подій під час розслідування інцидентів інформаційної безпеки. Для вирішення цієї задачі представлено розроблений програмний засіб ThreatLens, призначений для автоматизованого статичного аналізу потенційно небезпечних цифрових артефактів без їх безпосереднього виконання. Розглянуто архітектуру та основні функціональні можливості ThreatLens, зокрема вилучення та валідацію індикаторів компрометації, аналіз PE-файлів, PCAP та журналів, визначення хешів, мережевих адрес, доменів, URL та інших характерних ознак. Реалізовано механізми визначення потенційно небезпечної поведінки з використанням правил MITRE ATT&CK, перевірки індикаторів за допомогою зовнішніх джерел Threat Intelligence та сигнатурного аналізу з використанням YARA. Додатково передбачено формування часової шкали подій, оцінювання рівня загрози, збереження результатів аналізу та побудову кореляційного графіку у веб інтерфейсі, що дає змогу встановлювати взаємозв’язки між виявленими артефактами та ознаками компрометації. Особливу увагу приділено безпечній обробці недовірених даних. Потенційно небезпечні операції ізольовано в окремому процесі з обмеженням часу виконання, а статичний характер аналізу виключає необхідність запуску досліджуваного програмного забезпечення. Визначено також основні обмеження програмного засобу, пов’язані з підтримкою окремих мережевих протоколів, обсягом YARA-сканування та можливостями перевірки цифрових підписів. Запропоновані напрями подальшого розвитку стосуються розширення підтримуваних форматів і протоколів, оптимізації аналізу великих обсягів даних та вдосконалення механізмів перевірки отриманих результатів.
Завантаження
Посилання
Al-Sada, B., Sadighian, A., & Oligeri, G. (2024). Analysis and characterization of cyber threats leveraging the MITRE ATT&CK database. IEEE Access, 12, 1217–1234. https://doi.org/10.1109/ACCESS.2023.3344680
Chen, S. S., Hwang, R. H., Ali, A., Lin, Y. D., Wei, Y. C., & Pai, T. W. (2024). Improving quality of indicators of compromise using STIX graphs. Computers & Security, 144, 103972. https://doi.org/10.1016/j.cose.2024.103972
Iqbal, S., & Zulkernine, M. (2018). SpyDroid: A framework for employing multiple real-time malware detectors on Android. In 2018 13th International Conference on Malicious and Unwanted Software (MALWARE) (pp. 1–8). IEEE. https://doi.org/10.1109/MALWARE.2018.8659365
Kent, K., Chevalier, S., Grance, T., & Dang, H. (2006). Guide to integrating forensic techniques into incident response (NIST Special Publication 800-86). National Institute of Standards and Technology. https://csrc.nist.gov/pubs/sp/800/86
MITRE. (n.d.). Enterprise tactics. MITRE ATT&CK. https://attack.mitre.org/tactics/enterprise/
Murali, R., Ravi, A., & Agarwal, H. (2020). A malware variant resistant to traditional analysis techniques. In 2020 International Conference on Emerging Trends in Computer Technologies and Engineering (ic-ETITE) (pp. 1–7). IEEE. https://doi.org/10.1109/icETITE47903.2020.264
Paine, K., Whitehouse, O., Sellwood, J., & Shaw, A. (2023). Indicators of compromise (IoCs) and their role in attack defence (RFC 9424). Internet Engineering Task Force. https://www.rfc-editor.org/info/rfc9424
SLIFER: Investigating performance and robustness of malware detection pipelines. (2024). Computers & Security. https://www.sciencedirect.com/science/article/pii/S0167404824005704
Sun, H., Shu, H., Kang, F., Zhao, Y., & Huang, Y. (2024). Malware2ATT&CK: A sophisticated model for mapping malware to ATT&CK techniques. Computers & Security, 140, 103772. https://doi.org/10.1016/j.cose.2024.103772
Tang, H., Lin, D., Li, W., Zhang, W., & Zhao, J. (2024). Cyber threat indicators extraction based on contextual knowledge prompt. Computer Networks, 254, 110839. https://doi.org/10.1016/j.comnet.2024.110839
YARA. (n.d.). Writing YARA rules. https://yara.readthedocs.io/en/stable/writingrules.html
Havrysh, B. M., Tymchenko, O. V., Borzov, Y. O., & Kobevko, A. T. (2022). Klasyfikatsiia shkidlyvoho prohramnoho zabezpechennia ta osnovni metody zakhystu [Classification of malicious software and main protection methods]. Kompiuterni tekhnolohii drukarstva, 2(48), 142–154.
Polotai, O. I. (2023). Vykorystannia kompiuternoi kryminalistyky dlia zabezpechennia efektyvnoho rozsliduvannia intsydentiv informatsiinoi ta kiberbezpeky [Use of computer forensics to ensure effective investigation of information and cybersecurity incidents]. Visnyk Lvivskoho derzhavnoho universytetu bezpeky zhyzniediialnosti, 28, 73–80.
Polotai, O. I., & Kasprivskyi, D. V. (2025). Syhnaturnyi analiz shkidlyvoho prohramnoho kodu v systemakh zakhystu informatsiino-komunikatsiinykh merezh [Signature analysis of malicious software code in information and communication network protection systems]. In Science and society: Interdisciplinary horizons (pp. 284–289). https://eu-conf.com/en/events/science-and-society-interdisciplinary-horizons/
Опубліковано
Як цитувати
Номер
Розділ
Ліцензія
Авторське право (c) 2026 Орест Полотай, Артур Ткаченко, Наталія Кухарська, Дмитро Каспрівський
Ця робота ліцензується відповідно до Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International License.
