Werken als Malware Analyst

Wat doet een Malware Analyst?

Een Malware Analyst onderzoekt een schadelijk programma, script of document tot duidelijk is wat het doet, welke sporen het achterlaat en hoe je het op andere systemen herkent. Malware is volgens MITRE ATT&CK commerciële of op maat gemaakte software, gesloten of open source, die aanvallers voor kwaadaardige doeleinden gebruiken. Het werk draait om begrijpen en herkennen: de analist beschrijft wat de software doet en levert op wat collega's kunnen gebruiken.

Er bestaat geen officieel rolprofiel voor deze functie. Het European Cybersecurity Skills Framework van ENISA telt 12 rolprofielen, en de Malware Analyst hoort daar niet bij. De beschrijving hier is dus vakduiding, en de invulling verschilt per werkgever.

Een voorbeeld uit de praktijk: de EDR-tool zet op een laptop een bestand uit een mailbijlage in quarantaine, en niemand herkent het. De Incident Responder wil weten wat het doet, welke sporen het achterlaat en waar het team verder moet zoeken. De Malware Analyst kijkt eerst naar de eigenschappen van het bestand, laat het daarna in een geïsoleerde omgeving draaien en noteert welke bestanden, processen en netwerkverbindingen het aanmaakt. Is de code verhuld, dan gaat de analyst verder met een disassembler en een debugger. Het verslag levert de adressen en bestandskenmerken op waarop de rest van het team kan zoeken.

Bij sommige organisaties is de Malware Analyst een aparte functie. Bij andere doet de Incident Responder of een onderzoeksteam dit werk erbij, dus lees de vacaturetekst om te zien wat er echt gevraagd wordt. De rol hoort bij het vakgebied security operations.

Een verdacht bestand van begin tot eind

Een analyse volgt een patroon, geen vast protocol. De vraag van het team bepaalt hoe diep je gaat, want niet elk bestand verdient hetzelfde onderzoek. De stappen zien er zo uit:

1. Binnenkomst en vraag. Je weet wat het team al heeft vastgesteld en wat het wil weten: is dit bestand schadelijk, en wat doet het?
2. Eerste beoordeling. Je bekijkt de eigenschappen van het bestand, zoekt leesbare tekst erin en kijkt of het al bekend is.
3. Gedrag observeren. Het bestand draait in een geïsoleerde omgeving, en je legt vast welke bestanden, processen en verbindingen het oproept.
4. Dieper onderzoek. Alleen als de vraag dat vraagt, lees je de code zelf met een disassembler en een debugger.
5. Indicatoren en detectieregels. Je haalt de kenmerken eruit die anderen kunnen gebruiken om dit te vinden, zoals adressen, bestandskenmerken en een YARA-regel.
6. Rapport en overdracht. Het verslag gaat naar het incidentteam, de detectie-engineers of de threat-intelligence-collega's.

Bij elke stap waarin het programma draait, geldt één voorwaarde: een geïsoleerd lab. Schadelijke software draai je nooit op een gewone werkomgeving, zodat het programma geen schade doet en geen contact zoekt met de aanvaller. Het lab is daarmee de basis van het hele onderzoek, en niet iets wat je achteraf regelt.

Welke taken horen bij de functie?

Er is geen officiële takenlijst. Het European Cybersecurity Skills Framework van ENISA raakt het werk wel op twee plekken, in andere profielen. Het profiel Digital Forensics Investigator noemt kennis van hulpmiddelen voor malware-analyse. Het profiel Cyber Threat Intelligence Specialist draait om het identificeren, volgen en beoordelen van de tactieken, technieken en procedures die cyberdreigingsactoren gebruiken, door open en gesloten bronnen te analyseren. Technische analyse en rapportage zijn daar kernvaardigheden.

Afgeleid daarvan bestaat het werk van een Malware Analyst in de praktijk uit:

• bestanden onderzoeken tot duidelijk is wat ze doen
• gedrag beschrijven: welke bestanden, processen en netwerkverbindingen erbij horen
• indicatoren leveren waarop collega's kunnen zoeken
• detectieregels of YARA-regels schrijven
• rapporteren aan het team dat de zaak onderzoekt
• collega's adviseren over wat de eigenaar moet doen

De analist werkt samen met de SOC Analist, die de melding ziet, en met de Incident Responder, die de zaak leidt. De Detection Engineer bouwt regels op wat de analyse oplevert, en de Threat Hunter zoekt op andere systemen naar sporen. Het verslag dat de analist overdraagt, sluit aan op de incident response van het team.

Welke skills heb je nodig?

Technisch heb je een programmeerbasis nodig, zodat je scripts kunt lezen en kleine stukken kunt schrijven om werk te automatiseren. Een idee van assembler en processorinstructies helpt je begrijpen wat een programma op laag niveau doet, al hoef je dat bij de start nog niet helemaal te beheersen. Verder helpt het als je weet hoe Windows werkt, met processen, het register en het bestandssysteem, hoe netwerkverkeer eruitziet, en hoe je scripts in JavaScript of PowerShell leest.

Je hoeft niet alles te kunnen om te beginnen. SANS vraagt voor de cursus FOR610 vertrouwdheid met Windows en Linux en begrip van basisprogrammeerconcepten zoals variabelen, lussen en functies. Eerdere programmeerervaring is volgens SANS niet vereist.

Niet-technisch heb je geduld nodig, want een analyse duurt soms lang en loopt soms vast. Je schrijft nauwkeurig op wat je deed, zodat een collega het kan volgen. Je kunt onzekerheid benoemen, bijvoorbeeld met "dit lijkt op ..., maar ik kan niet aantonen dat ...". En je legt aan een collega die geen assembler leest uit wat de bevindingen voor de organisatie betekenen.

Welke tools en technologie gebruikt een Malware Analyst?

Het gereedschap valt in een paar soorten uiteen. Een geïsoleerde virtuele machine laat je een programma draaien en zien wat er gebeurt. Hulpmiddelen om activiteit te volgen leggen vast wat het programma doet met bestanden, het register, het netwerk en processen. Een disassembler en een debugger helpen je code te lezen en stap voor stap te volgen. Een regelmotor herkent bestanden op basis van patronen.

Voorbeelden van namen uit dit werk:

• YARA is een hulpmiddel dat onderzoekers van malware helpt om monsters te identificeren en te classificeren, al is dat niet het enige waarvoor het dient. Een YARA-regel bestaat uit beschrijvingen van tekst- of binaire patronen, met een voorwaarde die bepaalt wanneer de regel matcht. Zie de projectpagina.
• Wireshark om netwerkverkeer te lezen.
• Python om te automatiseren en scripts te begrijpen.
• PowerShell om scripts te lezen die met Windows meekomen.
• MITRE ATT&CK als gedeelde taal om gedrag te beschrijven. ATT&CK is een vrij te gebruiken kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen in de praktijk (attack.mitre.org).

De analist beschrijft gedrag als technieken uit ATT&CK, zodat collega's het kunnen vergelijken en de Detection Engineer weet waar een regel nodig is. ATT&CK is een naslagwerk, geen checklist.

Welke opleiding en certificeringen passen bij een Malware Analyst?

Er is geen vaste opleidingseis. Een hbo- of wo-opleiding in ICT of security is gangbaar. Als voorbeeld voor verdieping geldt de SANS-cursus FOR610, "Reverse-Engineering Malware: Malware Analysis in the Age of AI". SANS beschrijft die als praktijkgerichte cursus over het analyseren van Windows-dreigingen, met onder meer het bouwen van een geïsoleerd lab, het observeren van gedrag en het uithalen van indicatoren van compromittering (IOC's). De cursusnaam kan veranderen, dus raadpleeg de SANS-pagina voor de actuele informatie.

SANS noemt bij FOR610 de certificering GREM van GIAC. GIAC omschrijft die als bevestiging dat je schadelijke software kunt analyseren en reverse-engineeren, met nadruk op Windows en webbrowsers. Of een werkgever er waarde aan hecht, verschilt per organisatie. Een certificering vervangt ervaring niet, maar laat wel zien dat je je hebt verdiept.

Wie eerst basiskennis security wil aantonen, kan CompTIA Security+ als certificering kiezen.

Hoe word je Malware Analyst?

Een hbo- of wo-opleiding in ICT of security is één route. Zij-instroom komt ook voor, vanuit ontwikkeling, een SOC of een incidentteam. Wie al in zo'n team werkt, kan beginnen met het nauwkeurig beschrijven van de verdachte bestanden die daar langskomen.

Begin met scripts en programma's lezen, bij voorkeur in Python. Bouw daarna een geïsoleerd oefenlab en werk een openbare analyse van een onderzoeker zelf na. Schrijf vervolgens je eigen verslag en vergelijk dat met het origineel. Schadelijke software behandel je alleen in een geïsoleerde omgeving en binnen de afspraken van je organisatie of opleiding.

Wat je laat zien, is een heldere analyse van een voorbeeld, met indicatoren en een korte conclusie. Een portfolio bestaat uit een of twee zulke analyses. Dat is geen garantie op een baan, wel een concreet bewijs van wat je kunt.

Waar werk je als Malware Analyst?

Je vindt de functie bij beveiligingsbedrijven met een eigen onderzoeksteam, bij adviesbureaus die incidenten onderzoeken, bij grotere organisaties met een eigen incidentteam en bij de overheid. Dit zijn patronen. Bekijk de sectoren IT, SaaS en technologie, financiële dienstverlening en rijksoverheid. Bij veel organisaties bestaat de rol niet apart, dus zoek ook naar het werk onder andere titels. Zie ook werkgevers voor Malware Analyst.

Malware Analyst of Digital Forensics Specialist?

De rollen vullen elkaar aan, maar ze kijken naar iets anders. Het overzicht hieronder is een hulpmiddel, geen definitie, en de grens ligt per organisatie anders.

Er zijn meerdere richtingen waarin je kunt doorgroeien. De Senior Malware Analyst of Reverse Engineer pakt de moeilijkere monsters. De Detection Engineer bouwt regels op wat je vindt. De Threat Hunter zoekt actief naar sporen van aanvallers, en de Incident Responder leidt het incident. Threat intelligence volgt aanvallers en hun methoden. Wie de andere kant op wil, kan kijken naar de Digital Forensics Specialist. Zie dit als een overzicht van mogelijkheden, geen belofte over je loopbaan.

Vacatures en werkgevers

Open functies staan op de vacaturepagina voor Malware Analyst, en organisaties die deze rol zoeken staan op de werkgeverspagina. Lees bij elke vacature welke taken daar echt bij horen, want de invulling verschilt per organisatie. Kijk ook of de functie zelfstandig bestaat of onderdeel is van een incidentteam.