Disassembly-Grundlagen

Disassembly wandelt den Maschinencode einer Binärdatei zurück in für Menschen lesbare Assembly-Anweisungen. Dadurch können Sie genau nachvollziehen, was die CPU ausführen wird.

Das ist unerlässlich, wenn kein Quellcode verfügbar ist, wie es bei Malware immer der Fall ist.

Disassembly erzeugt Assembly-Code. Decompilation geht noch weiter und rekonstruiert einen ungefähren, an C angelehnten Pseudocode auf höherer Ebene.

Pseudocode lässt sich schneller lesen, Assembly ist präzise. Analysten verwenden beides und wechseln je nach Bedarf zwischen den Darstellungen.

Ghidra ist eine kostenlose Open-Source-Suite für Reverse Engineering von der NSA. Sie disassembliert zahlreiche Architekturen und enthält einen leistungsfähigen Decompiler.

Der Preis und die Funktionen machen Ghidra für die meisten Analysten zum bevorzugten Einstiegswerkzeug.

IDA Pro ist seit Langem der kommerzielle Standard und bekannt für seinen leistungsfähigen Disassembler und den Decompiler (mit dem Hex-Rays-Plugin).

IDA Free sowie andere Tools wie Binary Ninja und radare2/Cutter sind beliebte Alternativen.

Sie importieren das Sample in das Tool, das es automatisch analysiert: Es identifiziert Funktionen, Querverweise und Strings.

Das Tool erstellt eine navigierbare Karte des Programms, ausgehend vom Einstiegspunkt oder von interessanten Imports.

Assembly-Anweisungen verschieben und verarbeiten Daten. Einige häufige x86-Anweisungen:

• mov: Daten kopieren.
• push / pop: Stack-Operationen.
• call / ret: Funktionsaufruf und Rückkehr.
• cmp / jmp / je: Vergleichen und Verzweigen.

Querverweise (xrefs) zeigen, wo eine Funktion oder ein String verwendet wird. Wenn Sie die xrefs zu einer verdächtigen API wie CreateRemoteThread finden, gelangen Sie direkt zum relevanten Code.

So können Sie anhand des Verhaltens navigieren, statt den Code von oben nach unten zu lesen.

Importierte Windows-API-Aufrufe geben Aufschluss über die Absicht. Auf VirtualAlloc folgt WriteProcessMemory und anschließend CreateRemoteThread – das ist eine klassische Sequenz zur Prozessinjektion.

Das Erkennen solcher Muster bildet den Kern der Malware-Analyse.

Disassembler bieten eine Graphenansicht, in der grundlegende Blöcke und die Verzweigungen zwischen ihnen dargestellt werden. Dadurch wird der Kontrollfluss einer Funktion visualisiert, sodass Schleifen und Bedingungen leicht nachzuvollziehen sind.

Bei komplexer Logik ist diese Ansicht deutlich übersichtlicher als eine lineare Liste von Anweisungen.

Statische Disassemblierung lässt sich gut mit einem Debugger kombinieren. Wenn Code verschleiert oder selbstmodifizierend ist, können Sie Haltepunkte setzen und ihn zur Laufzeit schrittweise ausführen, um die tatsächlichen Anweisungen zu sehen.

Diese Verbindung zur dynamischen Analyse ist bei gepackten Samples entscheidend; das nächste Kapitel behandelt dieses Thema.

Wenn Sie Funktionen und Variablen verstehen, benennen Sie sie um und fügen Sie im Disassembler Kommentare hinzu. Wenn Sie sub_401000 in decrypt_config umwandeln, wird die restliche Analyse deutlich einfacher.

Durch diese schrittweise Beschriftung rekonstruieren Analysten nach und nach die vollständige Logik eines Malware-Samples.

Rufen Sie sich den Unterschied zwischen den beiden wichtigsten Ausgaben von Ghidra ins Gedächtnis.

Sie verstehen nun die Grundlagen der Disassemblierung:

• Disassemblierung liefert Assembly-Code, Dekompilierung liefert Pseudocode.
• Ghidra (kostenlos) und IDA Pro sind die wichtigsten Werkzeuge.
• Verwenden Sie Querverweise und Muster von API-Aufrufen (etwa Injektionssequenzen), um anhand des Verhaltens zu navigieren.
• Die Graphenansicht visualisiert den Kontrollfluss. Bei verschleiertem Code sollten Sie sie mit einem Debugger kombinieren.

Als Nächstes werden Sie mit dem Entpacken Packprogramme außer Kraft setzen.