Forståelse af obfuskeringsteknikker

En almindelig teknik til kodesløring er anti-debugging. Den går ud på, at koden forsøger at registrere, om den kører i en debugger.

Hvis der registreres en debugger, kan programmet:

• Afslutte sig selv.
• Ændre sin adfærd for at vildlede analytikeren.
• Gå ind i en uendelig løkke.

Hvordan registrerer kode en debugger? Den bruger forskellige kontroller:

• API-kald: I Windows kan funktioner som IsDebuggerPresent() bruges.
• Tidskontroller: Debuggere gør ofte udførelsen langsommere. Koden kan måle udførelsestiden for bestemte handlinger.
• Debugregistre: Kontrol af ændringer i CPU'ens debugregistre (DR0-DR7).
• Kontrol af overordnet proces: Kontrol af den overordnede proces for at se, om det er en kendt debugger.

Teknikker til anti-disassembly har til formål at forvirre værktøjer til statisk analyse, som disassemblere og decompilere.

Målet er at gøre den genererede assemblykode eller pseudokode svær at fortolke, så programmets egentlige logik skjules.

Her er nogle måder, anti-disassembly fungerer på:

• Meningsløse instruktioner: Indsættelse af ugyldige eller unyttige instruktioner, som disassemblere kan fortolke forkert.
• Udjævning af kontrolflow: Direkte spring og kald erstattes af komplekse switch-sætninger eller indirekte spring, så programmets flow bliver svært at følge.
• Uigennemsigtige prædikater: Betingede sætninger, der altid evalueres til sand eller falsk, men er designet til at være svære for værktøjer til statisk analyse at afgøre.
• Selvmodificerende kode: Kode, der ændrer sig selv under kørsel, så den indledende statiske analyse bliver unøjagtig.

Kodevirtualisering er en avanceret teknik til kodesløring. I stedet for at køre den oprindelige maskinkode direkte på CPU'en omdannes koden til et brugerdefineret instruktionssæt.

Dette brugerdefinerede instruktionssæt udføres derefter af en lille, indlejret fortolker til en virtuel maskine (VM) i selve programmet.

Forestil dig en mini-CPU inde i dit program. Grundideen er:

• Tilpassede opkoder: De oprindelige instruktioner (f.eks. ADD, JMP) erstattes med unikke, tilpassede "virtuelle" opkoder (f.eks. V_ADD, V_JMP).
• VM-fortolker: Et særligt stykke kode fungerer som en CPU, henter disse virtuelle opkoder, afkoder dem og udfører de tilsvarende native-operationer.
• Håndtering af tilstand: VM'en vedligeholder sine egne virtuelle registre og sin egen stack, fuldstændigt adskilt fra den faktiske CPU's.

Det gør analysen ekstremt vanskelig, fordi du ikke længere ser på standard-CPU-instruktioner.

Ud over anti-debugging, anti-disassembly og virtualisering omfatter andre teknikker:

• Pakning/kryptering: Hele binærfilen eller dele af den komprimeres eller krypteres, så den skal pakkes ud eller dekrypteres under kørsel.
• Sløring af strenge: Følsomme strenge (f.eks. URL'er og API-nøgler) krypteres eller kodes for at forhindre, at de let kan findes i binærfilen.
• Beskyttelse mod manipulering: Kode, der kontrollerer sin egen integritet for at sikre, at den ikke er blevet ændret af en angriber.

I denne lektion gennemgik vi forskellige sløringsteknikker til kode:

• Anti-debugging: Registrering af debuggere og reaktion på dem.
• Anti-disassembly: Forvirring af værktøjer til statisk analyse med ubrugelig kode, udjævning af kontrolflow og uigennemsigtige prædikater.
• Virtualisering af kode: Omdannelse af native-kode til et tilpasset instruktionssæt, der udføres af en indlejret virtuel maskine.
• Andre metoder som pakning, kryptering og beskyttelse mod manipulering.

Disse teknikker gør reverse engineering betydeligt vanskeligere, uanset om formålet er legitim beskyttelse af immaterielle rettigheder eller ondsindet undvigelse.