To kategoria zbiorcza dla kodu, który kradnie dane, zakłóca usługi, umożliwia nieuprawnioną kontrolę lub ukrywa inną aktywność. Sama metoda dostarczenia, język czy typ pliku nie przesądza o tym, czy coś jest złośliwym oprogramowaniem.
Etykiety opisują różne wymiary: wirusy i robaki się replikują; konie trojańskie używają zwodniczej prezentacji; rootkity ukrywają uprzywilejowaną obecność; spyware i ransomware opisują cele lub skutki. Jeden egzemplarz może pasować do kilku etykiet, a atakujący mogą też nadużywać legalnych narzędzi bez instalowania złośliwego oprogramowania.
Najważniejsze punkty
Wejście i wykonanieZłośliwe oprogramowanie może dotrzeć przez wykorzystane oprogramowanie, zwodnicze wiadomości, skompromitowane aktualizacje, nośniki wymienne, niebezpieczne pobrania lub wcześniejszy dostęp. Część kodu wykonuje się przez interpretery lub zaufane narzędzia systemowe.
AnalizaBadaj zachowanie, kod, zmiany konfiguracji, utrwalenie, komunikację i dotknięte zasoby. Nazwy narzędzi i badaczy mogą się różnić, więc opieraj się na zaobserwowanych właściwościach, a nie tylko nazwie rodziny.
ReakcjaOkreśl zakres aktywności, zachowaj dowody, ogranicz szkodliwe wykonanie i komunikację, usuń utrwalenie, napraw ścieżkę wejścia i odtwórz ze sprawdzonych źródeł.
Istotne ograniczenieAlert o złośliwym oprogramowaniu nie dowodzi aktora, celu, zakresu ani skutków. Czysty skan również nie potwierdza, że system jest wolny od kompromitacji; wykrywanie zależy od widoczności, pokrycia i wiedzy analitycznej.