Desofuscación y técnicas anti análisis

Los autores de malware ofuscan el código para impedir la detección estática de firmas por parte de los antivirus, dificultar la ingeniería inversa de los analistas y evadir la detección de sandboxes. La desofuscación es el proceso de restaurar código legible a partir de una forma ofuscada.

El malware rara vez almacena las URL de C2 o los nombres de API en texto plano. Técnicas habituales:

• Codificación XOR: key ^ char para cada byte
• Codificación Base64
• Cadenas en la pila: cadenas construidas carácter a carácter en tiempo de ejecución
• Cifrado personalizado con una clave codificada en el binario

Búsqueda de claves XOR:

Los packers comprimen o cifran el binario original y añaden un stub que lo desempaqueta o descifra en tiempo de ejecución. El código original nunca aparece en el disco. Ejemplos: UPX (uso legítimo) y packers personalizados en malware.

Detección: tabla de importaciones pequeña + entropía alta + firmas conocidas de packers en PEID/Detect-It-Easy.

El malware detecta depuradores y cambia su comportamiento:

• IsDebuggerPresent() — comprobación de la API de Windows
• Comprobaciones de tiempo — el código se ejecuta lentamente bajo un depurador
• Comprobación de ptrace — los procesos de Linux solo pueden rastrearse con ptrace una vez
• Trampas INT3 — detección de puntos de interrupción de software

El malware detecta entornos virtualizados o sandboxes y se suspende o se cierra:

• Comprobaciones de CPUID para detectar el bit de hipervisor
• Comprobación de claves del registro, procesos y archivos específicos de máquinas virtuales
• Tiempo de actividad reducido, ausencia de archivos recientes y de historial del navegador
• Comprobaciones del movimiento del ratón (los sandboxes automatizados no mueven el ratón)

Técnicas para confundir a los desensambladores:

• Ofuscación de saltos — saltos indirectos mediante direcciones calculadas
• Predicados opacos — condiciones siempre verdaderas que confunden el análisis
• Solapamiento de instrucciones — datos incrustados en el flujo de instrucciones

Elusión de técnicas antidepuración comunes:

En el caso de malware empaquetado, deje que el stub de desempaquetado se ejecute hasta que el código original esté en memoria y, después, vuelque su contenido:

1. Ejecute el programa en GDB hasta que termine el stub del packer
2. Encuentre el OEP (punto de entrada original), a menudo mediante un punto de interrupción en VirtualAlloc + jmp reg
3. Vuelque la memoria a un archivo con dump binary memory

Herramientas que emulan código para revelar cadenas ofuscadas sin ejecutar el binario:

• FLOSS (FireEye) — extrae cadenas en la pila y cadenas ofuscadas
• speakeasy — emulación de la API de Windows
• Capa — identifica automáticamente las capacidades del malware

Reconocer patrones habituales de malware acelera el análisis:

• API de hash: CRC32/ROR13 de nombres de funciones, utilizados para resolver importaciones en tiempo de ejecución
• Patrones de inyección reflectiva de DLL
• Stubs de llamadas al sistema de NTDLL (llamadas al sistema directas para eludir hooks de EDR)

Una muestra de malware comprueba si ptrace(PTRACE_TRACEME) devuelve -1 en Linux. ¿Qué técnica es esta?

El malware ofusca cadenas (XOR, cadenas en la pila), empaqueta código, detecta depuradores (IsDebuggerPresent, ptrace y comprobaciones de tiempo) y evade sandboxes (comprobaciones de VM e inactividad). Desofuscación: fuerza bruta de claves XOR, desempaquetado dinámico (volcado después del OEP) y FLOSS para extraer cadenas en la pila. Parchee o eluda las comprobaciones antidepuración en GDB. Las herramientas de emulación (FLOSS y speakeasy) extraen el comportamiento de forma segura.