Zwei Samples haben denselben Imphash. Lässt sich daraus schließen, dass sie zur selben Malware-Familie gehören?
Kurzantwort
Nein, nicht schlüssig. Ein Imphash fasst die geordnete Liste der importierten Bibliotheken und Funktionen einer PE-Datei zusammen: Ein Treffer bedeutet identische Import-Tabellen und deutet auf einen ähnlichen Build hin. Gemeinsame Builder oder Packer sowie kleine Tools mit wenigen Imports können aber Kollisionen erzeugen, und Angreifer können ihn verändern. Er ist ein Hinweis zum Pivotieren und Clustern, der durch weitere Belege bestätigt werden muss.
Der Imphash wird gern zum Clustern von PE-Samples genutzt, und die Interviewfalle ist, einen Treffer als Attribution zu behandeln.
Was ein Imphash ist
Mandiant beschreibt, einen „Hash auf Basis der Bibliotheks-/API-Namen und ihrer genauen Reihenfolge in der ausführbaren Datei“ zu bilden. Namen werden kleingeschrieben, Ordinals aufgelöst, Dateiendungen der Module entfernt und die geordnete Liste mit MD5 gehasht. Die Funktion steckt in der Bibliothek pefile als get_imphash().
Warum er funktioniert
Der Linker baut die Import Address Table in einer Reihenfolge, die von Quellcode und Build abhängt; laut Mandiant haben Dateien mit gleichem Imphash „dieselbe IAT, was impliziert, dass sie aus demselben Quellcode auf dieselbe Weise kompiliert wurden“. Nützlich zum Pivotieren auf verwandte Samples und zum Verfolgen von Backdoors über die Zeit.
Warum er kein Beweis ist
Derselbe Beitrag warnt, dass übereinstimmende Dateien „nicht garantiert von derselben Gruppe stammen“, etwa bei einem gemeinsam genutzten Builder. Bei gepackten Samples oder einfachen Tools mit wenigen Imports ist der Wert womöglich nicht eindeutig genug für eine Attribution. Angreifer können auch Quell- oder Link-Reihenfolge ändern oder den Hash modifizieren.
Warum die Distraktoren verlocken
„Gleicher Code, gleiche Gruppe“ überdehnt die Quelle. „Byte-identisch“ verwechselt ihn mit einem Datei-Hash.
Was Interviewer hören wollen
„Ein starker Cluster-Hinweis, nie alleiniger Beleg — mit Code, Infrastruktur und Verhalten untermauern.“
Wahrscheinliche Anschlussfragen
- Wie wird ein Imphash berechnet, und welche Normalisierung wendet er an?
- Wie kann ein Angreifer den Imphash ändern, ohne das Verhalten zu ändern?
- Welche weiteren Ähnlichkeitssignale würden Sie kombinieren, etwa YARA-Regeln oder Fuzzy Hashes?