Por que o malware nem sempre é ativado em um laboratório de testes de segurança?

Resposta curta: Os invasores projetam o malware para permanecer inativo, a menos que receba um sinal de validação de um servidor de comando e controle (C2) ativo que eles controlam. Quando uma amostra chega a um banco de dados de malware, a infraestrutura de C2 geralmente já foi movida — então os pesquisadores costumam estar testando uma amostra órfã que não faz nada.

Por que os invasores incorporam a inatividade

• Minimização de inteligência: o malware inativo não executa nenhuma ação maliciosa observável, dando aos analistas menos informações para documentar e aos fornecedores menos elementos para criar assinaturas.
• Prevenção de sequestro: exigir um aperto de mão secreto garante que um rival ou pesquisador que se apodere do servidor C2 não possa simplesmente direcionar o malware e coletar os dados roubados.

O que isso significa para a avaliação de ferramentas de segurança

Um teste de laboratório contra uma amostra desconectada mede muito pouco. A pergunta relevante não é se uma ferramenta reage a um malware inativo e parado, mas se ela impede ataques ativos e rápidos enquanto eles acontecem. O Cyber Crucible foi criado para isso: ele monitora os pontos de entrada de roubo de identidade e de dados visados por ataques reais, avalia a intenção em menos de 200 milissegundos e impede o roubo antes que ele seja concluído.