Младший вирусный аналитик (Junior)

Команда EDR разрабатывает детектирование актуальных угроз на конечных точках. Мы разбираем свежие образцы ВПО и техники злоумышленников и превращаем результаты анализа в правила, которые находят атаки по поведению. Ищем начинающего аналитика, которому интересно разбираться в устройстве вредоносного кода и учиться писать детекты, работающие в реальных инфраструктурах.

Задачи:

• Анализ поведения вредоносных программ под Windows и Linux в песочнице и на виртуальном стенде;

• Статический анализ и реверс‐инжиниринг образцов под руководством наставника;

• Изучение публичных отчётов об актуальных угрозах, кампаниях и техниках атакующих;

• Написание правил детектирования в формате Sigma на основе результатов анализа с ревью старших коллег;

• Сопоставление поведения ВПО с телеметрией EDR и техниками MITRE ATT&CK;

• Воспроизведение действий атакующего на виртуальном стенде для проверки правил;

• Анализ ложноположительных срабатываний и доработка правил;

• Участие в поиске способов обхода детектирования;

• Тестирование правил на функциональность и производительность.

Требования:

• Понимание основных типов ВПО и техник атакующих;

• Базовые навыки чтения ассемблера x86/x64;

• Начальный опыт работы с IDA Pro или Ghidra и отладчиками x64dbg или gdb (подойдёт опыт учебных задач);

• Понимание устройства Windows (процессы, службы, реестр, WinAPI) и Linux (процессы и демоны, системные вызовы, механизмы автозапуска);

• Общее представление о форматах PE и ELF;

• Базовое знание Python, достаточное для написания небольших скриптов;

• Общее представление о матрице MITRE ATT&CK;

• Английский на уровне чтения технической документации и отчётов;

• Усидчивость и умение доводить трудоёмкие задачи до конца.

Будет плюсом:

• Участие в CTF (реверс, форензика), решение crackme;

• Опыт написания правил Sigma или YARA;

• Знакомство с источниками телеметрии: Windows Event Log, Sysmon, ETW, auditd;

• Опыт разбора обфусцированных скриптов (PowerShell, JS, VBS и т. п.);

• Опыт…