Deobfuscation und Anti-Analyse-Tricks

Malware-Autoren obfuskieren Code, um die Erkennung durch statische AV-Signaturen, das Reverse Engineering durch Analysten und die Erkennung von Sandboxes zu erschweren. Deobfuskation bezeichnet den Prozess, lesbaren Code aus einer obfuskierten Form wiederherzustellen.

Malware speichert C2-URLs oder API-Namen nur selten im Klartext. Häufige Techniken:

• XOR-Kodierung: key ^ char für jedes Byte
• Base64-Kodierung
• Stack-Strings: Strings, die zur Laufzeit Zeichen für Zeichen aufgebaut werden
• Benutzerdefinierte Verschlüsselung mit einem fest kodierten Schlüssel

XOR-Schlüssel finden:

Packers komprimieren oder verschlüsseln das ursprüngliche Binärprogramm und fügen einen Stub hinzu, der es zur Laufzeit entpackt oder entschlüsselt. Der ursprüngliche Code erscheint nie auf der Festplatte. Beispiele: UPX (legitime Verwendung), benutzerdefinierte Packers in Malware.

Erkennung: kleine Importtabelle + hohe Entropie + bekannte Packer-Signaturen in PEID/Detect-It-Easy.

Malware erkennt Debugger und ändert ihr Verhalten:

• IsDebuggerPresent() — Windows-API-Prüfung
• Timing checks — Code läuft unter einem Debugger langsamer
• ptrace check — Linux-Prozesse können nur einmal per ptrace überwacht werden
• INT3 traps — Erkennung von Software-Breakpoints

Malware erkennt virtualisierte oder als Sandbox ausgeführte Umgebungen und wartet oder beendet sich:

• CPUID-Prüfungen auf das Hypervisor-Bit
• Nach VM-spezifischen Registry-Schlüsseln, Prozessen und Dateien suchen
• Geringe Betriebszeit, keine aktuellen Dateien, kein Browserverlauf
• Mausbewegungsprüfungen (automatisierte Sandboxes bewegen die Maus nicht)

Techniken, die Disassembler verwirren:

• Jump obfuscation — indirekte Sprünge über berechnete Adressen
• Opaque predicates — immer wahre Bedingungen, die die Analyse verwirren
• Instruction overlapping — in den Instruktionsstrom eingebettete Daten

Häufige Anti-Debugging-Tricks umgehen:

Lassen Sie bei gepackter Malware den Entpack-Stub laufen, bis der ursprüngliche Code im Speicher liegt, und dumpen Sie ihn anschließend:

1. Führen Sie sie in GDB aus, bis der Packer-Stub abgeschlossen ist
2. Ermitteln Sie den OEP (Original Entry Point) – häufig über einen Breakpoint auf VirtualAlloc + jmp reg
3. Speichern Sie den Speicher mit dump binary memory in einer Datei

Werkzeuge, die Code emulieren, um obfuskierte Strings sichtbar zu machen, ohne das Binärprogramm auszuführen:

• FLOSS (FireEye) — extrahiert Stack-Strings und obfuskierte Strings
• speakeasy — emuliert Windows-APIs
• Capa — identifiziert Malware-Fähigkeiten automatisch

Das Erkennen gängiger Malware-Muster beschleunigt die Analyse:

• Hash-API: CRC32/ROR13 von Funktionsnamen, die zur Laufzeit zum Auflösen von Imports verwendet werden
• Muster für Reflective-DLL-Injection
• NTDLL-Syscall-Stubs (direkte Syscalls, um EDR-Hooks zu umgehen)

Malware obfuskiert Strings (XOR, Stack-Strings), packt Code, erkennt Debugger (IsDebuggerPresent, ptrace, Timing) und umgeht Sandboxes (VM-Prüfungen, Inaktivität). Deobfuskation: Brute-Force von XOR-Schlüsseln, dynamisches Entpacken (Dump nach OEP), FLOSS für Stack-Strings. Umgehen oder patchen Sie Anti-Debugging-Prüfungen in GDB. Emulationswerkzeuge (FLOSS, speakeasy) extrahieren Verhalten sicher.