Human-Verified AI-Assisted Evidence Interpretation in Comparative Malware Analysis: WhiteSnake, Donex, and Emotet Samples

In de digitale wereld werkt kwaadaardige software als een stille indringer, die computers binnenslupt om geheimen te stelen, bestanden te vergrendelen of systemen te kapen voor verdere aanvallen. Om deze indringers te stoppen, moeten beveiligingsexperts precies begrijpen hoe ze werken. Dit vereist een zorgvuldig tweestaps-proces: eerst kijken naar de code zonder deze uit te voeren om te zien welke instrumenten het met zich meedraagt, en ten tweede observeren wat het daadwerkelijk doet wanneer het in een veilige, geïsoleerde kamer wordt toegelaten om te draaien. De uitdaging ligt in het onderscheid maken tussen wat een stuk software zou kunnen doen op basis van de code, en wat het daadwerkelijk deed tijdens een specifieke test. Als een expert een slotenmakerstool in de zak van een verdachte ziet, weet hij dat de verdachte de capaciteit heeft om in te breken, maar hij kan niet zeker weten of er een inbraak heeft plaatsgevonden, tenzij hij ziet dat de deur opengaat. Dit onderscheid is essentieel voor het bouwen van nauwkeurige verdedigingen, maar het wordt vaak vertroebeld wanneer rapporten potentiële vermogens mengen met bevestigde acties.

Een onderzoeker pakte dit probleem onlangs aan door drie verschillende stukken kwaadaardige software te onderzoeken: één ontworpen om wachtwoorden te stelen, één bedoeld om bestanden te versleutelen voor losgeld, en één die fungeert als een loader om andere dreigingen binnen te halen. De onderzoeker heeft geen nieuwe experimenten vanaf nul gecreëerd; in plaats daarvan is een gedetailleerd project uit 2025, voltooid door studenten, opnieuw onderzocht. De onderzoeker behandelde de originele studentlogs, screenshots en gegevens als een historisch verslag dat geaudit moest worden. Het doel was om een nieuwe analysemethode toe te passen die menselijke expertise combineerde met kunstmatige intelligentie om door het bewijsmateriaal te sorteren. De AI fungeerde als een krachtige assistent die duizenden datapunten organiseerde en mogelijke interpretaties suggereerde, maar de AI nam nooit het laatste besluit. Elke conclusie werd gecontroleerd en geverifieerd door een menselijke analist om ervoor te zorgen dat geen enkele gok werd verward met een feit.

Het eerste specimen, bekend als WhiteSnake, was een programma gebouwd met een specifieke technologie die het mogelijk maakte om op veel verschillende computersystemen te draaien. Wanneer de onderzoeker naar de code keek, bleek deze zwaar vermomd te zijn, een techniek genaamd obfuscation, die de instructies moeilijk leesbaar maakt. Belangrijker nog, de code bevatte een lange lijst met woorden gerelateerd aan virtuele machines en sandbox-omgevingen, zoals "vmware" en "vbox". Dit suggereerde dat het programma was ontworpen om te controleren of het in een veilige testkamer draaide en om zichzelf te stoppen als het een dergelijke omgeving detecteerde. Wanneer het programma in het geïsoleerde laboratorium werd uitgevoerd, probeerde het via het netwerk contact te maken, specifiek zoekend naar een verbinding met een berichtendienst. Omdat het laboratorium echter was afgesneden van het echte internet, mislukte de verbinding. De onderzoeker kon de poging zien, maar kon niet bevestigen dat het programma succesvol wachtwoorden had gestolen of gegevens naar een externe server had verzonden. Het bewijs toonde de intentie om te stelen, maar niet de daad van diefstal.

Het tweede specimen, Donex, leek een ransomware-programma te zijn, ontworpen om gebruikersbestanden te vergrendelen. De code bevatte verwijzingen naar krachtige encryptietools en commando's die een computer konden afsluiten of systeemlogs konden verwijderen. Dit waren duidelijke indicatoren van waar het programma voor gebouwd was. Echter, toen de onderzoeker het uitvoerde, trad de verwachte ramp niet op. De bestanden op de testcomputer werden niet versleuteld, er verscheen geen losgeldbericht op het scherm en het systeem startte niet opnieuw op, zoals de code suggereerde dat het zou kunnen doen. Het programma vertoonde tekenen van instabiliteit en maakte wat lokale netwerkruis, maar slaagde er niet in zijn primaire functie uit te voeren. De studie concludeerde dat hoewel Donex de middelen had om schade aan te richten, het dit in deze specifieke test niet daadwerkelijk deed. De aanwezigheid van de tools was echt, maar de schade niet.

Het derde specimen, Emotet, arriveerde in een misleidende verpakking: een bestand dat leek op een standaard tekstverwerkingsdocument, maar een verborgen tweede extensie had om de gebruiker te misleiden. Eenmaal geopend, probeerde het contact op te nemen met een specifiek adres op het netwerk. In het geïsoleerde lab leidde dit adres naar een lokaal machine, en de verbindingspoging mislukte met een melding dat de bestemming onbereikbaar was. Het programma bewoog zo snel dat de monitoringsinstrumenten er niet in slaagden een stabiel verslag van de activiteit vast te leggen. Het is mogelijk dat het programma zichzelf in een ander proces injecteerde of simpelweg zijn taak voltooide voordat de camera's zich konden focussen, maar de onderzoeker kon dit niet bewijzen. Men kon alleen bevestigen dat het programma probeerde contact te maken en faalde vanwege de laboratoriumomstandigheden.

Een cruciaal onderdeel van deze studie was hoe de onderzoeker met de kunstmatige intelligentie omging. De onderzoeker gebruikte de AI om de rommelige gegevens van de drie tests te organiseren en om mogelijke verklaringen voor wat men zag voor te stellen. De AI suggereerde dat de gedragingen overeenkwamen met bekende tactieken die door cybercriminelen worden gebruikt. De menselijke teams hebben echter elke suggestie beoordeeld. Zij verwierpen het idee dat de programma's succesvol gegevens hadden gestolen of bestanden hadden versleuteld, omdat het directe bewijs ontbrak. Ze verwierpen ook het idee dat de programma's succesvol detectie hadden omzeild, zelfs al suggereerde de code dat ze dat probeerden. De AI bood een lijst met mogelijkheden, maar de menselijke analisten leverden de waarheid op basis van wat er daadwerkelijk werd vastgelegd.

Het uiteindelijke resultaat van dit werk is een heldere, voorzichtige kaart van wat er is gebeurd. De onderzoeker stelde vast dat deze drie programma's over de capaciteiten beschikten om gegevens te stelen, bestanden te versleutelen en hun sporen uit te wissen. Toch voltooide geen van hen, onder de specifieke omstandigheden van deze test, hun belangrijkste missies. De studie benadrukt dat het zien van een capaciteit in de code niet hetzelfde is als het zien van de actie in de echte wereld. Door te scheiden wat werd waargenomen van wat slechts werd gesuggereerd, creëerde het team een betrouwbaarder beeld van de dreiging. Deze aanpak zorgt ervoor dat beveiligingsverdedigingen worden gebouwd op bevestigde feiten in plaats van aannames, waardoor overschatting van gevaar wordt voorkomen terwijl de potentie voor schade nog steeds wordt erkend. Het werk dient als een herinnering dat in de strijd tegen digitale dreigingen geduld en verificatie net zo belangrijk zijn als de instrumenten die worden gebruikt om de vijand te vinden.