L'analisi del malware è il processo di studiare software sospetto per capire cosa fa, come si comporta e quali sistemi o dati prende di mira. Gli analisti possono ispezionare un campione staticamente, leggendo il codice e le stringhe incorporate, oppure dinamicamente, eseguendolo in una sandbox o in una macchina virtuale e osservando la sua attività di rete, le modifiche ai file e la creazione di processi. L'obiettivo è trasformare un binario o uno script sconosciuto in intelligence operativa.
Questo è importante perché gli aggressori fanno affidamento su comportamenti nascosti, esecuzione ritardata e trucchi anti-analisi per eludere il rilevamento. Una buona analisi aiuta i difensori a identificare gli indicatori di compromissione, bloccare l'infrastruttura malevola e scrivere rilevamenti migliori. In pratica, l'analisi del malware compare spesso nei flussi di lavoro di triage, dove allegati o download non attendibili vengono isolati prima di raggiungere i sistemi di produzione. È più efficace se affiancata a registrazione dei log, monitoraggio e contenimento rigoroso, poiché nessun singolo ambiente può garantire la sicurezza.