Desempaquetado

El packing comprime o cifra el código real de un programa y lo envuelve en un pequeño stub. Durante la ejecución, el stub desempaqueta el código original en memoria y lo ejecuta.

Los autores de malware usan packing para evadir las firmas y dificultar el análisis estático.

Un binario empaquetado muestra pocas cadenas, pocas importaciones y una entropía alta. El código relevante permanece oculto hasta que se ejecuta el stub.

El desempaquetado recupera el código original para que pueda analizarlo estáticamente y extraer IOCs reales.

Herramientas como Detect It Easy (DIE) y PEiD identifican packers conocidos mediante su firma. Una entropía alta y una tabla de importaciones pequeña también son indicios importantes.

Entre los packers comunes se incluyen UPX, ASPack y Themida.

UPX es un packer común y no malicioso que puede revertirse con su propia herramienta. La opción -d descomprime el binario y lo devuelve a su forma original.

Muchas muestras del mundo real usan UPX o una versión de UPX ligeramente modificada, por lo que este suele ser el primer intento.

Los packers personalizados no pueden revertirse con una herramienta. En su lugar, debe dejar que el stub se desempaquete en memoria y después capturar el resultado.

El plan es ejecutar la muestra bajo un depurador, detenerla justo después de que termine el desempaquetado y volcar el código recién revelado.

El punto de entrada original (OEP) es el lugar al que salta la ejecución cuando termina el desempaquetado. Llegar al OEP significa que el código real ya está en memoria.

Entre las técnicas para encontrarlo se incluyen observar un salto lejano fuera del stub o establecer un punto de interrupción en la memoria que el stub escribe y luego ejecuta.

Un truco habitual consiste en establecer un punto de interrupción de hardware en la pila (el stub suele restaurar los registros justo antes de saltar al OEP) o un punto de interrupción en llamadas comunes a la API que utiliza el código desempaquetado.

Cuando el punto de interrupción se activa en el OEP, el código original está completamente decodificado.

En el OEP, vuelque la memoria del proceso a un archivo nuevo. Herramientas como Scylla (integrada en x64dbg) o PE-sieve capturan la imagen desempaquetada.

El volcado ya contiene las instrucciones reales, pero es posible que todavía no se ejecute por sí solo.

Después del volcado, la tabla de direcciones de importación suele estar dañada porque el packer resolvió las importaciones durante la ejecución. Scylla puede reconstruir la IAT para que el archivo volcado se pueda analizar.

Una vez corregidas las importaciones, puede cargar el volcado limpio en Ghidra o IDA.

Además del packing, el malware utiliza otras técnicas de ofuscación: cadenas cifradas que se descodifican durante la ejecución, instrucciones basura, aplanamiento del flujo de control y comprobaciones antidepuración.

Estas técnicas se neutralizan caso por caso, a menudo combinando el seguimiento dinámico con una lectura estática minuciosa.

Después de volcar la memoria y reconstruir las importaciones, confirme que el proceso tuvo éxito repitiendo el análisis estático: ahora debería ver muchas más cadenas y una tabla de importaciones poblada.

Si la entropía ha vuelto a la normalidad y las API son visibles, el desempaquetado funcionó y el código real está listo para analizarse.

Recuerde qué representa el OEP durante el desempaquetado manual.

Ahora comprende el desempaquetado:

• El packing oculta el código real; puede detectarlo con DIE/PEiD, una entropía alta y pocas importaciones.
• Los packers conocidos, como UPX, se desempaquetan con una herramienta (upx -d).
• Para los packers personalizados, ejecute la muestra bajo un depurador, encuentre el OEP, haga un volcado con Scylla y reconstruya las importaciones.
• Las demás técnicas de ofuscación (cadenas cifradas y antidepuración) se tratan caso por caso.

Ha completado el curso de ingeniería inversa de malware.