Omgåelse af foranstaltninger mod analyse

En enkel måde at besejre simple API-kald som IsDebuggerPresent() på er at patche binærfilen.

Når programmet kalder denne funktion, forventer det returværdien TRUE (debugger til stede) eller FALSE (ingen debugger). Vi kan ændre den eksekverbare fil i hukommelsen (eller på disken), så den altid returnerer FALSE.

Her er en konceptuel idé:

Nogle anti-debugging-kontroller er mere komplekse. For at omgå dem kan vi få brug for teknikker til at skjule debuggere:

• Ændring af PEB: Ændr manuelt flaget BeingDebugged i PEB til nul.
• Nulstilling af NtGlobalFlag: Et andet flag i PEB (specifikt ved offset 0x68 i 64-bit Windows), som angiver debugging. Hvis du sætter det til nul, kan du omgå kontroller.
• Debugger-plugins: Specialiserede plugins til værktøjer som IDA Pro eller x64dbg kan automatisere mange af disse omgåelser og gøre debuggeren "usynlig".

Tricks til anti-disassembly har til formål at forvirre værktøjer til statisk analyse og selv menneskelige analytikere. De manipulerer ofte programmets kontrolflow.

• Ubrugelig kode: Indsættelse af irrelevante instruktioner, som ikke påvirker logikken, men gør analysen vanskeligere.
• Uigennemsigtige prædikater: Betingede spring, hvor betingelsen altid er sand eller altid er falsk, men hvor disassembleren ikke let kan afgøre det, hvilket fører til forkerte flowgrafer.

Omgåelse af disse foranstaltninger kræver ofte manuel analyse for at identificere den rigtige sti eller brug af værktøjer, der kan evaluere disse prædikater.

Malware forsøger ofte at registrere, om den kører inde i en virtuel maskine (VM) eller et sandboxmiljø. Hvis det opdages, kan den nægte at udføre sin ondsindede payload.

Almindelige registreringsmetoder omfatter:

• Kontrol af bestemte registreringsdatabasenøgler eller filer fra VM'en.
• Søgning efter unikke hardwareidentifikatorer for VM'en (MAC-adresser og CPU-funktioner).
• Måling af udførelsestider for CPU-instruktioner (VM'er kan være langsommere).

For at omgå dette kan du ændre VM-indstillinger, forfalske identifikatorer eller bruge specialiserede værktøjer, der får VM'en til at ligne en rigtig maskine.

Det kan være tidskrævende manuelt at omgå hvert anti-analyse-trick. Det er her, automatiseret de-obfuskering kommer ind i billedet.

Teknikker som emulering (f.eks. med frameworks som Unicorn Engine) gør det muligt at udføre små, slørede kodestykker sikkert og observere deres virkelige adfærd uden at køre hele programmet.

Symbolsk eksekvering er en anden avanceret metode, der udforsker alle mulige udførelsesstier i et program og dermed hjælper med at afsløre skjult logik og evaluere komplekse betingelser.

Importadressetabellen (IAT) er en liste over funktioner, som et program importerer fra andre biblioteker (f.eks. Windows-DLL'er). IAT-hooking er et anti-analyse-trick, hvor malware ændrer denne tabel for at omdirigere legitime API-kald til sine egne ondsindede funktioner.

Sådan kan du omgå dette:

• Undersøg IAT: Se efter usædvanlige adresser eller uventede spring.
• Gendan oprindelige pointere: Værktøjer eller manuel patching kan føre IAT-posterne tilbage til adresserne på deres legitime biblioteksfunktioner.

Det afslører de faktiske API-kald, som programmet har til hensigt at foretage.

Godt arbejde! Du har udforsket forskellige strategier til at besejre anti-analyseforanstaltninger. Vi gennemgik:

• Anti-debugging: Patching af API-kald, ændring af PEB-flag og brug af debugger-plugins.
• Anti-disassembly: Genkendelse af og navigation gennem ubrugelig kode og uigennemsigtige prædikater.
• Anti-VM/sandbox: Forfalskning af miljøkontroller for at narre ondsindet kode.
• Avancerede teknikker: Begreber som automatiseret de-obfuskering via emulering og registrering af IAT-hooks.

Disse teknikker er afgørende for effektiv reverse engineering af beskyttet software. Bliv ved med at øve dig for at skærpe dine færdigheder!