Analityk złośliwego oprogramowania: umiejętności, narzędzia i jak zacząć
Analityk złośliwego oprogramowania analizuje złośliwe oprogramowanie, aby ustalić, jak działa, w jaki sposób przedostało się do systemu, z jakimi serwerami się łączy oraz jak je wykrywać w innych miejscach. Analitycy złośliwego oprogramowania pracują w zespołach CERT i CSIRT, bankowych centrach operacyjnych (SOC) oraz firmach zajmujących się bezpieczeństwem, zazwyczaj po zdobyciu doświadczenia w reagowaniu na incydenty lub pracy w centrum operacyjnym (SOC).
Czym zajmuje się analityk złośliwego oprogramowania na co dzień?
Większość pracy analityka złośliwego oprogramowania dzieli się na trzy etapy. Pierwszym z nich jest wstępna klasyfikacja: próbka trafia z centrum operacyjnego SOC, skrzynki pocztowej lub piaskownicy, a analityk musi szybko zdecydować, czy jest to znane złośliwe oprogramowanie, nowy wariant, czy fałszywy alarm. Skorzystanie z hashów, sprawdzenie reputacji, uruchomienie w zautomatyzowanej piaskownicy oraz wstępna analiza ciągów znaków i importów często pozwalają uzyskać odpowiedź w ciągu kilku minut.
Drugim etapem jest właściwa analiza. Uruchamia się próbkę w izolowanym środowisku i obserwuje, jak wpływa ona na system, rejestr i sieć, a następnie otwiera się ją w deasemblerze, aby zrozumieć elementy, które ukrywają się przed analizą dynamiczną. Trzeci poziom polega na przekształceniu wyników analizy w coś, z czego mogą skorzystać inni: wskaźniki naruszenia bezpieczeństwa (IOC), reguły YARA, reguły wykrywania dla systemu SIEM, raport dla zespołu ds. incydentów oraz, na wyższym szczeblu, narzędzia automatyzujące kolejną analizę tej samej rodziny złośliwego oprogramowania.
Wynik jest równie ważny jak sama analiza. Genialna sesja inżynierii odwrotnej, która kończy się bez jasnej listy domen do zablokowania i plików do wykrycia, nikomu nie pomaga. Dlatego ogłoszenia o pracy na te stanowiska wymieniają umiejętność sporządzania raportów obok umiejętności technicznych.
Jak przebiega typowy przypadek?
Znany scenariusz w Polsce: pracownicy otrzymują wiadomość e-mail dotyczącą niezapłaconej faktury lub paczki, za którą należy uiścić opłatę za dostawę, napisaną poprawnym językiem polskim, zawierającą załącznik lub link. Ktoś ją otwiera. System EDR generuje alert, a centrum SOC przekazuje plik dyżurującemu analitykowi ds. złośliwego oprogramowania.
W piaskownicy okazuje się, że próbka jest programem ładującym, który pobiera kolejny etap. Drugi etap jest spakowany, więc go rozpakowujesz, znajdujesz procedurę odszyfrowującą jego konfigurację i wyodrębniasz adresy serwerów dowodzenia i kontroli. Stamtąd wskaźniki IOC trafiają do systemu SIEM i zapór sieciowych, zespół ds. incydentów sprawdza, które inne komputery łączyły się z tymi samymi serwerami, a napisana przez ciebie reguła YARA wykrywa dwie kolejne kopie na udziałach plików. Wskaźniki są często przekazywane do branżowego CSIRT lub CERT Polska, dzięki czemu inne organizacje mogą zablokować tę samą kampanię.
Ten łańcuch pokazuje coś, co pomija wiele przewodników. Analityk złośliwego oprogramowania rzadko pracuje samodzielnie: jego praca stanowi ogniwo łączące wykrywanie, reagowanie na incydenty i analizę zagrożeń, a wartość jego pracy zależy od tego, jak szybko dotrze ona do osób, które blokują, tropią i usuwają zagrożenia.
Jakie umiejętności są wymagane w analizie złośliwego oprogramowania?
Właśnie w tym zakresie rola ta różni się od większości stanowisk związanych z bezpieczeństwem. Analiza złośliwego kodu oznacza odczytywanie go na poziomie, na jakim widzi go procesor, więc podstawowe umiejętności to umiejętności niskopoziomowe:
- Asembler x86 i x64, konwencje wywołań oraz możliwość śledzenia przebiegu kontroli w deasemblerze bez kodu źródłowego.
- Wewnętrzne mechanizmy systemu Windows: procesy, wątki, rejestr, usługi, interfejs API systemu Windows oraz format plików PE. Większość próbek, które trafiają do polskich firm, nadal jest przeznaczona dla systemu Windows.
- Inne platformy: pliki binarne ELF dla systemu Linux i urządzeń IoT, złośliwe oprogramowanie oparte na platformie .NET i skryptach (PowerShell, JavaScript, makra VBA) oraz, w coraz większym stopniu, aplikacje na Androida wykorzystywane w oszustwach bankowych.
- Techniki analizy statycznej i dynamicznej, w tym rozpakowywanie, pokonywanie technik zaciemniania kodu i sztuczek utrudniających analizę oraz analiza ruchu złośliwego oprogramowania.
- Programowanie, przede wszystkim w języku Python, do tworzenia skryptów odszyfrowujących konfiguracje, wyodrębniających wskaźniki zagrożenia (IOC) oraz automatyzujących powtarzalne zadania; znajomość języka C ułatwia odczytywanie zdekompilowanego kodu.
- Sieci: TCP/IP, DNS, HTTP i SMTP, ponieważ ruch typu „command-and-control” ukrywa się w zwykłych protokołach.
W polskich ogłoszeniach dla zespołów CERT wymagane jest również praktyczne doświadczenie w pracy z systemem Linux, znajomość wektorów ataków i profilowania zagrożeń oraz bardzo dobra znajomość języka angielskiego. Raporty, dokumentacja dostawców oraz większość materiałów badawczych, z których będziesz czerpać wiedzę, są w języku angielskim.
Jakich narzędzi używa analityk złośliwego oprogramowania?
Disassembler i dekompilator stanowią serce zestawu narzędzi. Ghidra, udostępniana za darmo, jest powszechnie używana w polskich zespołach i stanowi naturalny wybór na początek nauki; IDA Pro to komercyjny standard, za który zazwyczaj płaci pracodawca. Debuggery, takie jak x64dbg i WinDbg, umożliwiają analizę dynamiczną w systemie Windows, przy czym ProcMon i podobne narzędzia pokazują, jak próbka wpływa na system, a Wireshark – jakie dane wysyła przez sieć.
Środowiska typu sandbox automatyzują wstępną analizę próbki, a dystrybucja REMnux dla systemu Linux łączy wiele narzędzi analitycznych w jednym miejscu. YARA to wspólny język służący do opisywania rodzin złośliwego oprogramowania. Warto również wiedzieć, że CERT Polska opracowuje i publikuje narzędzia analityczne typu open source, w tym repozytorium złośliwego oprogramowania MWDB oraz środowisko DRAKVUF Sandbox, a niektóre polskie zespoły opierają na nich swoje procesy pracy. Znajomość tych narzędzi pokazuje rekruterowi, że śledzisz lokalną scenę.
Gdzie pracują analitycy złośliwego oprogramowania?
Liczba pracodawców jest ograniczona, co stanowi jedną z charakterystycznych cech tej pracy. Główne grupy to:
- Krajowe zespoły CSIRT: CERT Polska działający w ramach NASK, CSIRT GOV prowadzony przez ABW oraz CSIRT MON. NASK ogłasza oferty pracy na stanowiska takie jak specjalista ds. inżynierii odwrotnej złośliwego oprogramowania.
- CERT-y i SOC-i sektora bankowego i finansowego, gdzie analiza złośliwego oprogramowania często wspiera zapobieganie oszustwom, a także firmy świadczące usługi SOC i CERT na rzecz innych podmiotów.
- Firmy z branży bezpieczeństwa posiadające laboratoria badawcze, w których analitycy pracują nad rozwiązaniami wykrywającymi zagrożenia dla produktów stosowanych na całym świecie.
- Duże przedsiębiorstwa z branży energetycznej, telekomunikacyjnej i przemysłowej posiadające własne zespoły reagowania na incydenty.
Zmieniona ustawa o krajowym systemie cyberbezpieczeństwa (polski akt wdrażający dyrektywę NIS2), obowiązująca od 3 kwietnia 2026 r., przewiduje utworzenie sektorowych zespołów CSIRT w ciągu 18 miesięcy. Z czasem powinno to oznaczać większą liczbę zespołów zajmujących się incydentami w konkretnych branżach.
Zespoły sektora publicznego i obronnego często wymagają poświadczenia bezpieczeństwa wydanego na podstawie ustawy o ochronie informacji niejawnych. Proces weryfikacji zajmuje czas, dlatego należy liczyć się z dłuższym procesem rekrutacji. Klasyfikacja KZiS nie zawiera oddzielnego kodu dla analityków złośliwego oprogramowania. Najbliższe pozycje, dodane w wydaniu z lat 2025/2026, to 252913 (badacz ds. cyberbezpieczeństwa), 252908 (specjalista ds. analizy cyberzagrożeń) oraz 252906 (osoba reagująca na incydenty cybernetyczne), a także 252904 dla kryminalistyki cyfrowej.
Jak zostać analitykiem złośliwego oprogramowania?
Prawie nikt nie rozpoczyna kariery jako analityk złośliwego oprogramowania. Typowa ścieżka kariery prowadzi przez stanowisko w pierwszej linii centrum operacyjnego bezpieczeństwa (SOC) lub stanowisko młodszego analityka w zespole CERT, następnie przez reagowanie na incydenty, a dopiero potem do bardziej zaawansowanej pracy z złośliwym oprogramowaniem. Polskie ogłoszenia CERT dotyczące stanowisk analityków są otwarte nawet dla studentów ostatniego roku, ale analiza złośliwego oprogramowania i inżynieria odwrotna są w nich wymienione jako atut, a nie punkt wyjścia.
Studia z zakresu informatyki lub cyberbezpieczeństwa, kierunki oferowane przez wiele polskich uczelni, zapewniają podstawową wiedzę na temat systemów operacyjnych, sieci i programowania. To, co faktycznie otwiera drzwi do kariery, to praktyczne doświadczenie: rozwiązywanie zadań typu „crackme”, udział w zawodach CTF, w których polskie drużyny cieszą się doskonałą reputacją, oraz publikowanie opisów przeanalizowanych próbek. Wpis na blogu, w którym krok po kroku opisujesz proces rozpakowywania prawdziwej próbki, mówi o tobie więcej niż jakikolwiek wpis w CV.
Certyfikaty odgrywają tu mniejszą rolę niż w przypadku innych stanowisk związanych z bezpieczeństwem. Najbardziej znanym certyfikatem ukierunkowanym bezpośrednio na tę pracę jest GIAC GREM (Reverse Engineering Malware). Jest on ceniony, ale drogi i nie jest wymagany w polskich ogłoszeniach, więc zazwyczaj warto go zdobyć dopiero wtedy, gdy już wykonujesz tę pracę, a pracodawca pokrywa koszty jego uzyskania.
Jakie są warunki pracy?
Pracujesz z aktywnym, niebezpiecznym kodem, więc izolacja jest częścią rutyny: dedykowane maszyny analityczne, maszyny wirtualne z migawkami, oddzielone sieci i surowe zasady dotyczące przenoszenia plików. Nieostrożne dwukrotne kliknięcie na laptopie produkcyjnym to jedyny błąd, którego ta praca nie wybacza. Praca nad złośliwym kodem jest legalna w ramach uprawnień nadanych przez pracodawcę; eksperymentowanie na systemach, które nie są twoją własnością, już nie.
Praca ta ma w większości spokojny i wymagający skupienia charakter, polegający na długich godzinach spędzanych nad deasemblerem, przerywanych okresami wzmożonego napięcia, gdy aktywny incydent wymaga rozwiązania w ciągu kilku godzin. Zespoły zajmujące się incydentami często pracują w systemie dyżurów, w tym w nocy i w weekendy. Praca zdalna jest powszechna w firmach prywatnych, natomiast zespoły sektora publicznego zajmujące się materiałami niejawnymi zazwyczaj oczekują obecności pracownika na miejscu.
Wynagrodzenie analityka złośliwego oprogramowania: co na nie wpływa?
Wynagrodzenie na stanowiskach początkowych na ścieżce kariery w analizie złośliwego oprogramowania, takich jak analitycy pierwszej linii w centrum operacyjnym bezpieczeństwa (SOC), może początkowo nieznacznie przewyższać średnią krajową. Doświadczeni analitycy zajmujący się inżynierią odwrotną złożonych próbek zarabiają znacznie powyżej średniej krajowej, zwłaszcza w sektorze bankowym i u dostawców rozwiązań bezpieczeństwa.
Rodzaj pracodawcy w dużej mierze wyjaśnia tę różnicę. Instytucje publiczne często płacą mniej niż banki i firmy prywatne, ale oferują stabilność, unikalne przypadki i doświadczenie, które później jest cenione na rynku. Głębia umiejętności inżynierii odwrotnej, doświadczenie w zakresie złośliwego oprogramowania mobilnego, znajomość języka angielskiego na poziomie wystarczającym do publikowania wyników badań, poświadczenie bezpieczeństwa oraz płatne dyżury podnoszą wynagrodzenie. Umowy B2B występują głównie w firmach prywatnych, podczas gdy zespoły sektora publicznego zatrudniają pracowników na podstawie umowy o pracę.
Czy sztuczna inteligencja zmieni analizę złośliwego oprogramowania?
Tak już się dzieje, po obu stronach. Modele językowe pomagają analitykom zmieniać nazwy funkcji, streszczać zdekompilowany kod oraz tworzyć pierwsze wersje reguł wykrywania, a wtyczki do głównych deasemblerów wprowadzają to do codziennej pracy. Jednocześnie atakujący wykorzystują te same narzędzia do szybszego tworzenia kolejnych wariantów, przez co rośnie liczba próbek.
Samo wykrywanie w coraz większym stopniu opiera się na klasyfikatorach opartych na uczeniu maszynowym, które dostawcy trenują, a inżynier MLOps utrzymuje w środowisku produkcyjnym. Nic z tego nie eliminuje potrzeby zatrudnienia osoby, która potrafi otworzyć plik binarny i sprawdzić, co on robi. Zautomatyzowana selekcja zajmuje się rutynowymi zadaniami, a analitycy poświęcają więcej czasu na próbki, które prześlizgnęły się przez ten proces.
Jakie zawody są zbliżone do analizy złośliwego oprogramowania?
Najbardziej pokrewne role są powiązane z tym samym łańcuchem zdarzeń. Specjalista ds. reagowania na incydenty kieruje działaniami w całej organizacji, specjalista ds. analizy zagrożeń śledzi grupy atakujących i ich kampanie, a specjalista ds. kryminalistyki cyfrowej rekonstruuje przebieg zdarzeń na podstawie obrazów dysków i pamięci. Jeśli wolisz budować zabezpieczenia niż analizować ataki, naturalną alternatywą jest stanowisko inżyniera ds. bezpieczeństwa, a jeśli wolisz atakować systemy za zgodą, rozważ zawód tester penetracyjny.
Często zadawane pytania
Czy potrzebuję dyplomu, aby zostać analitykiem złośliwego oprogramowania?
Żadne przepisy tego nie wymagają. Polscy pracodawcy często wymagają dyplomu z informatyki lub pokrewnej dziedziny, a niektóre zespoły CERT przyjmują również studentów ostatniego roku. W praktyce większe znaczenie mają udokumentowane umiejętności: opublikowane analizy, wyniki w konkursach CTF oraz doświadczenie w centrum operacyjnym bezpieczeństwa (SOC) lub zespole reagowania na incydenty. W przypadku stanowisk w sektorze publicznym może być wymagane poświadczenie bezpieczeństwa, którego uzyskanie zajmuje trochę czasu.
Jakie języki programowania powinien znać analityk złośliwego oprogramowania?
Python jest podstawowym narzędziem do tworzenia skryptów służących do odszyfrowywania konfiguracji i wyodrębniania wskaźników. Znajomość języka asemblera dla architektur x86 i x64 jest niezbędna do odczytywania złośliwego kodu, a język C pomaga zrozumieć wyniki dekompilacji. Znajomość PowerShell, JavaScript i VBA pomaga w pracy ze złośliwym oprogramowaniem opartym na skryptach, natomiast podstawy języków Java i Kotlin są przydatne w przypadku próbek oprogramowania dla systemu Android wykorzystywanych w oszustwach bankowych.
Czy praca ze złośliwym oprogramowaniem jest legalna?
Analiza złośliwego oprogramowania w ramach pracy, na zlecenie pracodawcy i w izolowanym laboratorium, jest normalną działalnością zawodową. Problemy pojawiają się, gdy ktoś uruchamia lub rozpowszechnia złośliwy kod poza tym zleceniem lub testuje go na systemach, które nie są jego własnością. Jeśli analizujesz próbki prywatnie w celach edukacyjnych, przechowuj je w izolowanych maszynach wirtualnych i nigdy nie używaj ich przeciwko nikomu.
Jaka jest różnica między analitykiem złośliwego oprogramowania a pentesterem?
Pentester atakuje systemy za zgodą właściciela, aby wykryć słabe punkty, zanim zrobią to przestępcy. Analityk złośliwego oprogramowania zajmuje się drugą stroną incydentu: otrzymuje kod, z którego skorzystali już atakujący, i ustala, jak działa oraz jak go wykryć. Obie role wymagają dogłębnej wiedzy technicznej, ale analiza złośliwego oprogramowania opiera się w znacznie większym stopniu na inżynierii odwrotnej i wiedzy z zakresu niskopoziomowych mechanizmów.
Czy analityk złośliwego oprogramowania może pracować zdalnie?
W prywatnych firmach i u dostawców rozwiązań bezpieczeństwa praca zdalna lub hybrydowa jest powszechna, ponieważ analiza odbywa się na dedykowanych maszynach, do których można uzyskać bezpieczny dostęp. Zespoły sektora publicznego i obronnego, zwłaszcza te zajmujące się informacjami niejawnymi, zazwyczaj oczekują pracy na miejscu. Podczas aktywnych incydentów nawet zespoły zdalne mogą poprosić o dyspozycyjność poza normalnymi godzinami pracy.