فك التغليف

يعمل التغليف على ضغط الشيفرة الحقيقية للبرنامج أو تشفيرها، ثم يضعها داخل جزء تمهيدي صغير. وعند التشغيل، يفك الجزء التمهيدي تغليف الشيفرة الأصلية في الذاكرة ثم يشغلها.

يستخدم مؤلفو البرمجيات الخبيثة التغليف لتجنب التواقيع وإعاقة التحليل الساكن.

يحتوي الملف الثنائي المغلف على عدد قليل من السلاسل والاستيرادات، وعلى إنتروبيا مرتفعة. وتظل الشيفرة المهمة مخفية حتى يعمل الجزء التمهيدي.

يستعيد فك التغليف الشيفرة الأصلية كي تتمكنوا من تحليلها تحليلاً ساكناً واستخراج مؤشرات الاختراق الحقيقية.

تحدد أدوات مثل Detect It Easy (DIE) وPEiD أدوات التغليف المعروفة باستخدام التوقيع. كما تُعد الإنتروبيا المرتفعة وجدول الاستيراد الصغير مؤشرين قويين.

تشمل أدوات التغليف الشائعة UPX وASPack وThemida.

تُعد UPX أداة تغليف شائعة وغير خبيثة، ويمكن إجراء هندسة عكسية لها باستخدام أداتها الخاصة. تعمل العلامة -d على فك ضغط الملف الثنائي وإعادته إلى صورته الأصلية.

تستخدم عينات كثيرة من العالم الحقيقي UPX أو نسخة معدلة قليلاً منها، لذلك تُعد هذه المحاولة الأولى المتكررة.

لا يمكن التراجع عن التغليف المخصص باستخدام أداة جاهزة. بدلاً من ذلك، تتركون الجزء التمهيدي يفك التغليف بنفسه في الذاكرة، ثم تلتقطون النتيجة.

الخطة هي: تشغيل العينة تحت مصحح أخطاء، وإيقافها فور اكتمال فك التغليف، ثم تفريغ الشيفرة التي ظهرت الآن.

تمثل نقطة الدخول الأصلية (OEP) الموضع الذي ينتقل إليه التنفيذ بعد انتهاء فك التغليف. والوصول إلى OEP يعني أن الشيفرة الحقيقية أصبحت الآن في الذاكرة.

تشمل تقنيات العثور عليها مراقبة قفزة بعيدة خارج الجزء التمهيدي، أو تعيين نقطة توقف على ذاكرة يكتب فيها الجزء التمهيدي ثم ينفذها.

تتمثل إحدى الحيل الشائعة في وضع نقطة توقف عتادية على المكدس (إذ يعيد الجزء التمهيدي غالباً السجلات قبل الانتقال إلى OEP مباشرة)، أو وضع نقطة توقف على استدعاءات API الشائعة التي تستخدمها الشيفرة التي فُك تغليفها.

عندما تُفعّل نقطة التوقف عند OEP، تكون الشيفرة الأصلية قد فُك تشفيرها بالكامل.

عند OEP، فرّغ ذاكرة العملية إلى ملف جديد. تلتقط أدوات مثل Scylla (المضمّنة في x64dbg) أو PE-sieve الصورة التي فُك تغليفها.

يحتوي التفريغ الآن على التعليمات الحقيقية، لكنه قد لا يعمل بمفرده بعد.

بعد التفريغ، غالباً ما يكون جدول عناوين الاستيراد معطلاً لأن أداة التغليف حلت الاستيرادات أثناء التشغيل. ويمكن لـScylla إعادة بناء IAT حتى يصبح الملف المفرغ قابلاً للتحليل.

بعد إصلاح الاستيرادات، يمكنكم تحميل التفريغ النظيف في Ghidra أو IDA.

إلى جانب التغليف، تستخدم البرمجيات الخبيثة أشكالاً أخرى من التمويه، مثل السلاسل المشفرة التي تُفك أثناء التشغيل، والتعليمات غير المفيدة، وتسطيح تدفق التحكم، وفحوصات مكافحة تصحيح الأخطاء.

يُتغلب على هذه الأساليب حالةً بحالة، غالباً من خلال الجمع بين التتبع الديناميكي والقراءة الساكنة المتأنية.

بعد التفريغ وإعادة بناء الاستيرادات، تحققوا من نجاح العملية بإعادة تشغيل التحليل الساكن؛ إذ يفترض أن تروا الآن عدداً أكبر بكثير من السلاسل وجدول استيراد ممتلئاً.

إذا عادت الإنتروبيا إلى طبيعتها وأصبحت واجهات API ظاهرة، فقد نجح فك التغليف وأصبحت الشيفرة الحقيقية جاهزة للتحليل.

تذكروا ما الذي تشير إليه OEP أثناء فك التغليف اليدوي.

أصبحتم الآن تفهمون فك التغليف:

• يخفي التغليف الشيفرة الحقيقية؛ اكتشفوه باستخدام DIE/PEiD والإنتروبيا المرتفعة وقلة الاستيرادات.
• تُفك أدوات التغليف المعروفة مثل UPX باستخدام أداة (upx -d).
• بالنسبة إلى أدوات التغليف المخصصة، شغّلوا العينة تحت مصحح أخطاء، واعثروا على OEP، ثم نفّذوا التفريغ باستخدام Scylla وأعيدوا بناء الاستيرادات.
• تُعالج أشكال التمويه الأخرى (السلاسل المشفرة ومكافحة تصحيح الأخطاء) حالةً بحالة.

لقد أكملتم دورة الهندسة العكسية للبرمجيات الخبيثة.