Fundamentos del desensamblado

El desensamblado convierte el código máquina de un binario en instrucciones de ensamblador legibles. Permite leer exactamente lo que ejecutará la CPU.

Es esencial cuando no se dispone del código fuente, como ocurre siempre con el malware.

El desensamblado produce ensamblador. La descompilación va más allá y reconstruye un pseudocódigo aproximado de alto nivel similar a C.

El pseudocódigo se lee más rápido; el ensamblador es preciso. Los analistas utilizan ambos y cambian de uno a otro según sea necesario.

Ghidra es una suite gratuita y de código abierto para ingeniería inversa, desarrollada por la NSA. Desensambla muchas arquitecturas e incluye un decompilador potente.

Su precio y sus capacidades la convierten en la herramienta de inicio preferida por la mayoría de los analistas.

IDA Pro es el estándar comercial consolidado, conocido por su potente desensamblador y su descompilador (con el plugin Hex-Rays).

IDA Free y otras herramientas como Binary Ninja y radare2/Cutter son alternativas populares.

Importe la muestra en la herramienta, que la analiza automáticamente: identifica funciones, referencias cruzadas y cadenas.

La herramienta crea un mapa del programa por el que puede navegar, empezando por el punto de entrada o por importaciones interesantes.

Las instrucciones de ensamblador mueven y operan sobre datos. Algunas instrucciones x86 habituales son:

• mov: copia datos.
• push / pop: operaciones con la pila.
• call / ret: llamada y retorno de funciones.
• cmp / jmp / je: comparación y salto condicional.

Las referencias cruzadas (xrefs) muestran dónde se utiliza una función o cadena. Encontrar xrefs a una API sospechosa como CreateRemoteThread le lleva directamente al código relevante.

Esto permite navegar por comportamiento en lugar de leer de principio a fin.

Las llamadas a la API de Windows importadas revelan la intención. Ver VirtualAlloc, luego WriteProcessMemory y después CreateRemoteThread constituye una secuencia clásica de inyección de procesos.

Reconocer estos patrones es fundamental para aplicar ingeniería inversa al malware.

Los desensambladores ofrecen una vista de grafo que muestra los bloques básicos y las bifurcaciones entre ellos. Esto permite visualizar el flujo de control de una función, por lo que resulta fácil seguir los bucles y las condicionales.

Para lógicas complejas, es mucho más legible que una lista lineal de instrucciones.

El desensamblado estático combina bien con un depurador. Cuando el código está ofuscado o se modifica a sí mismo, puede establecer puntos de interrupción y recorrerlo paso a paso durante la ejecución para ver las instrucciones reales.

Este vínculo con el análisis dinámico es crucial para las muestras empaquetadas, que se tratarán en la siguiente lección.

A medida que comprenda las funciones y las variables, cámbieles el nombre y añada comentarios en el desensamblador. Convertir sub_401000 en decrypt_config facilita mucho el resto del análisis.

Esta asignación gradual de etiquetas es la forma en que los analistas reconstruyen poco a poco toda la lógica de una muestra de malware.

Recuerde la diferencia entre las dos salidas principales de Ghidra.

Ahora comprende los conceptos básicos del desensamblado:

• El desensamblado produce ensamblador; la descompilación produce pseudocódigo.
• Ghidra (gratuito) e IDA Pro son las herramientas principales.
• Use las referencias cruzadas y los patrones de llamadas a la API (como las secuencias de inyección) para orientarse según el comportamiento.
• La vista de grafo visualiza el flujo de control; combínela con un depurador para analizar código ofuscado.

A continuación, neutralizará los packers mediante el desempaquetado.