Malware Classification
Overview — An entry-level room on the SOC / Blue Team path that teaches an analyst to classify malware by behaviour rather than by name. It walks through the most common malware families, famous real-world examples, and the distinction between binary and script malware, closing with a hands-on simulation where you label SOC alerts based on what each suspicious process actually does.
| Platform | TryHackMe |
| Category | Blue Team & SOC |
| Difficulty | Easy |
| Room | Malware Classification |
Task 1 — Introduction
No graded question.
The room starts from a simple idea: malware is not one single thing but a toolbox for causing harm — stealing information, wrecking systems, or flooding the screen with ads. The SOC analyst's job is to spot it, classify it, and stop it. Classification matters because a file name (say system_update.exe) tells you nothing; what reveals a sample's true nature is its behaviour.
Resumen — Room introductorio de la ruta SOC / Blue Team que enseña a un analista a clasificar malware por su comportamiento en lugar de por su nombre. Recorre las familias de malware más comunes, ejemplos reales famosos y la distinción entre malware binario y de script, y cierra con una simulación práctica en la que se etiquetan alertas de un SOC según lo que hace cada proceso sospechoso.
| Plataforma | TryHackMe |
| Categoría | Blue Team & SOC |
| Dificultad | Easy |
| Room | Malware Classification |
Task 1 — Introduction
Sin pregunta puntuada.
El room parte de una idea sencilla: el malware no es una sola cosa, sino una caja de herramientas para causar daño — robar información, destruir sistemas o inundar la pantalla de anuncios. El papel del analista SOC es detectarlo, clasificarlo y detenerlo. La clasificación importa porque el nombre de un fichero (por ejemplo system_update.exe) no dice nada; lo que revela la naturaleza de una muestra es su comportamiento.
Task 2 — Malware Types
This task introduces the malware families, classified by goal and behaviour:
| Type | Characteristic behaviour |
|---|---|
| Adware | Floods the user with pop-ups and unwanted ads. |
| Spyware | Quietly watches and exfiltrates user activity. |
| Ransomware | Encrypts files and demands a ransom to restore them. |
| Wiper | Irreversibly destroys data; its goal is damage, not profit. |
| C2 / RAT | Gives the attacker remote control of the compromised host. |
| Data Stealer | Locates and steals sensitive documents and data. |
| Keylogger | Captures keystrokes to steal credentials. |
| Cryptominer | Hijacks CPU/GPU resources to mine cryptocurrency. |
Q: High CPU usage and a slow system.
A: cryptominer
Q: Locked files plus a ransom note.
A: ransomware
Q: The browser spams pop-ups.
A: adware
Q: Leaked internal documents.
A: data stealer
Task 3 — Real-World Examples
The theory is grounded in well-known real families, which help you associate each type with a historical case:
- Pegasus — government-grade mobile spyware.
- Akira — ransomware with double extortion (encrypts and also leaks).
- Shamoon — a wiper that devastated oil-sector networks.
- Agent Tesla — an infostealer with keystroke and screen capture.
- RedLine Stealer — a keylogger and data-thief hybrid.
- QakBot — a particularly resilient RAT/loader.
Q: Logs keystrokes and takes screenshots.
A: Agent Tesla
Q: Zero-click spyware on phones.
A: Pegasus
Q: Ransomware that also steals and leaks data.
A: Akira
Q: Devastated the Saudi Aramco network.
A: Shamoon
Task 4 — Binary vs Script Malware
Another classification dimension is how the malicious code is packaged:
| Aspect | Binary Malware | Script Malware |
|---|---|---|
| Form | Compiled executable (.exe, .bat, etc.) | Scripting-language code (PowerShell, etc.) |
| Attacker advantage | Robust and self-contained | Lightweight, flexible, easy to obfuscate |
| Detection | Leaves byte patterns AV can signature | Harder to signature; mutates easily |
The task shows a LummaStealer example that drops its payload straight into memory to avoid touching disk, thereby dodging file-based detection.
Why it matters: dropping a payload straight into memory instead of the disk is a textbook Defense Evasion move in the MITRE ATT&CK framework — it maps to techniques like T1055 (Process Injection) and T1027 (Obfuscated Files or Information). A sample that never touches disk defeats hash- and signature-based AV, which is exactly why modern EDR leans on behavioural telemetry instead of static scanning.
Q: Script malware's favourite downloader.
A: PowerShell
Q: Another Windows executable extension.
A: .bat
Q: Leaves byte patterns for AV detection.
A: Binaries
Task 5 — Practical SOC Analyst Roleplay
The practical part puts the analyst in front of a batch of alerts: for each suspicious process you must issue a classification based purely on the observed behaviour, not on the file name.
| # | Observed alert | Classification |
|---|---|---|
| 1 | ads_service.exe generating pop-ups | Adware |
| 2 | system_update.exe stealing clipboard/email data | Spyware |
| 3 | Mass .encrypted files plus a ransom note | Ransomware |
| 4 | disk_cleaner.exe destroying backups | Wiper |
| 5 | svchost32.exe beaconing to a C2 | Trojan (RAT) |
| 6 | docu_manager.exe stealing sensitive files | Data Stealer |
| 7 | DLL injection into winlogon.exe capturing keys | Keylogger |
| 8 | svcupdate.exe hogging CPU to mine | Cryptominer |
Note the pattern: several of the binaries (system_update.exe, svchost32.exe, svcupdate.exe) mimic legitimate Windows process names to blend in — which is exactly why classification leans on behaviour rather than the name.
Mapping to MITRE ATT&CK: each row above also lines up with a named ATT&CK technique, which is the vocabulary a real SOC uses to correlate this alert with others across the environment. The DLL injection into winlogon.exe is T1055 (Process Injection) combined with T1056 (Input Capture) for the keylogging; the beaconing from svchost32.exe falls under the Command and Control tactic (TA0011); the mass file encryption is T1486 (Data Encrypted for Impact); and the CPU hijacking for mining is T1496 (Resource Hijacking). Adware and generic spyware, by contrast, are usually bucketed as PUP/grayware rather than mapped onto this intrusion-centric matrix — a reminder that not every family in Task 2's table fits the same threat model.
Flag: THM{Malwar3_****************}
Task 6 — Conclusion
No graded question.
The room wraps up by reinforcing three ideas: malware has many faces (from noisy adware to destructive wipers); binaries leave fingerprints while scripts mutate like chameleons; and a SOC analyst survives by classifying fast and acting smart.
Key takeaways
- Classify malware by its behaviour, never by the file name — names are trivially faked.
- Each family has a behavioural signature: high CPU → cryptominer, encryption + ransom → ransomware, pop-ups → adware, exfiltration → data stealer, and so on.
- Real-world examples (Pegasus, Akira, Shamoon, Agent Tesla) anchor each theoretical type to a historical case.
- Binary malware leaves AV-signaturable byte patterns; script malware is lightweight, obfuscatable, and often runs in memory to evade file-based detection.
- In the SOC, processes impersonating legitimate Windows names (
svchost32.exe,system_update.exe) are a classic disguise tell. - Behaviour-based labels pair naturally with MITRE ATT&CK technique IDs (e.g. T1055 process injection, T1496 resource hijacking) — the common language a SOC uses to correlate this alert with the wider incident.
Task 2 — Malware Types
Esta tarea presenta las familias de malware clasificadas por objetivo y comportamiento:
| Tipo | Comportamiento característico |
|---|---|
| Adware | Inunda al usuario de pop-ups y anuncios no deseados. |
| Spyware | Vigila y exfiltra la actividad del usuario de forma sigilosa. |
| Ransomware | Cifra ficheros y exige un rescate para recuperarlos. |
| Wiper | Destruye datos de forma irreversible; su objetivo es el daño, no el lucro. |
| C2 / RAT | Da al atacante control remoto del equipo comprometido. |
| Data Stealer | Localiza y roba documentos y datos sensibles. |
| Keylogger | Captura las pulsaciones de teclado para robar credenciales. |
| Cryptominer | Secuestra los recursos de CPU/GPU para minar criptomoneda. |
Q: Uso elevado de CPU y sistema lento.
A: cryptominer
Q: Ficheros bloqueados más una nota de rescate.
A: ransomware
Q: El navegador se llena de pop-ups.
A: adware
Q: Documentos internos filtrados.
A: data stealer
Task 3 — Real-World Examples
La teoría se aterriza con familias reales bien conocidas, que ayudan a asociar cada tipo con un caso histórico:
- Pegasus — spyware de grado gubernamental para móviles.
- Akira — ransomware con doble extorsión (cifra y además filtra).
- Shamoon — wiper que arrasó redes del sector petrolero.
- Agent Tesla — infostealer con captura de teclas y pantalla.
- RedLine Stealer — híbrido de keylogger y ladrón de datos.
- QakBot — RAT/loader especialmente resistente.
Q: Registra pulsaciones de teclado y capturas de pantalla.
A: Agent Tesla
Q: Spyware zero-click sobre teléfonos.
A: Pegasus
Q: Ransomware que además roba y filtra datos.
A: Akira
Q: Arrasó la red de Saudi Aramco.
A: Shamoon
Task 4 — Binary vs Script Malware
Otra dimensión de clasificación es como está empaquetado el código malicioso:
| Aspecto | Binary Malware | Script Malware |
|---|---|---|
| Forma | Ejecutable compilado (.exe, .bat, etc.) | Código en lenguaje de scripting (PowerShell, etc.) |
| Ventaja para el atacante | Robusto y autónomo | Ligero, flexible y fácil de ofuscar |
| Detección | Deja patrones de bytes que el AV puede firmar | Más difícil de firmar; muta con facilidad |
La tarea muestra un ejemplo de LummaStealer que suelta su payload directamente en memoria para evitar tocar disco y esquivar así la detección basada en ficheros.
Por qué importa: soltar el payload directamente en memoria en lugar de en disco es un movimiento de manual de Defense Evasion en el framework MITRE ATT&CK — corresponde a técnicas como T1055 (Process Injection) y T1027 (Obfuscated Files or Information). Una muestra que nunca toca el disco esquiva el AV basado en hashes y firmas, que es justo la razón por la que el EDR moderno se apoya en telemetría de comportamiento en lugar de escaneo estático.
Q: Descargador favorito del malware de script.
A: PowerShell
Q: Otra extensión de ejecutable en Windows.
A: .bat
Q: Deja patrones de bytes para la detección por AV.
A: Binaries
Task 5 — Practical SOC Analyst Roleplay
La parte práctica pone al analista frente a una tanda de alertas: para cada proceso sospechoso hay que emitir una clasificación basándose exclusivamente en el comportamiento observado, no en el nombre del fichero.
| # | Alerta observada | Clasificación |
|---|---|---|
| 1 | ads_service.exe generando pop-ups | Adware |
| 2 | system_update.exe robando datos de portapapeles/correo | Spyware |
| 3 | Ficheros .encrypted en masa más nota de rescate | Ransomware |
| 4 | disk_cleaner.exe destruyendo backups | Wiper |
| 5 | svchost32.exe haciendo beaconing a un C2 | Trojan (RAT) |
| 6 | docu_manager.exe robando ficheros sensibles | Data Stealer |
| 7 | Inyección de DLL en winlogon.exe capturando teclas | Keylogger |
| 8 | svcupdate.exe acaparando CPU para minar | Cryptominer |
Fíjate en el patrón: varios de los binarios (system_update.exe, svchost32.exe, svcupdate.exe) imitan nombres de procesos legítimos de Windows para pasar desapercibidos — justamente por eso la clasificación se apoya en el comportamiento y no en el nombre.
Correspondencia con MITRE ATT&CK: cada fila de la tabla anterior también encaja con una técnica ATT&CK con nombre propio, que es el vocabulario que usa un SOC real para correlacionar esta alerta con otras del entorno. La inyección de DLL en winlogon.exe es T1055 (Process Injection) combinada con T1056 (Input Capture) para el keylogging; el beaconing de svchost32.exe cae bajo la táctica de Command and Control (TA0011); el cifrado masivo de ficheros es T1486 (Data Encrypted for Impact); y el secuestro de CPU para minar es T1496 (Resource Hijacking). El adware y el spyware genérico, en cambio, suelen clasificarse como PUP/grayware en lugar de mapearse sobre esta matriz centrada en intrusiones — un recordatorio de que no todas las familias de la tabla de Task 2 encajan en el mismo modelo de amenaza.
Flag: THM{Malwar3_****************}
Task 6 — Conclusion
Sin pregunta puntuada.
El room cierra reforzando tres ideas: el malware tiene muchas caras (del ruidoso adware al destructivo wiper); los binarios dejan huellas mientras que los scripts mutan como camaleones; y un analista SOC sobrevive clasificando rápido y actuando con criterio.
Puntos clave
- Se clasifica el malware por su comportamiento, nunca por el nombre del fichero — los nombres se falsifican trivialmente.
- Cada familia tiene una firma de comportamiento: CPU alta → cryptominer, cifrado + rescate → ransomware, pop-ups → adware, exfiltración → data stealer, etc.
- Ejemplos reales (Pegasus, Akira, Shamoon, Agent Tesla) anclan cada tipo teórico a un caso histórico.
- El malware binario deja patrones de bytes firmables por AV; el de script es ligero, ofuscable y a menudo se ejecuta en memoria para evadir la detección por ficheros.
- En el SOC, procesos que imitan nombres legítimos de Windows (
svchost32.exe,system_update.exe) son una señal clásica de disfraz. - Las etiquetas basadas en comportamiento encajan de forma natural con los ID de técnica de MITRE ATT&CK (p. ej. T1055 inyección de proceso, T1496 secuestro de recursos) — el lenguaje común que usa un SOC para correlacionar esta alerta con el incidente más amplio.