Pakkauksen purkaminen

Pakkaaminen tiivistää tai salaa ohjelman todellisen koodin ja käärii sen pienen tietopaketin purkajan eli stubin sisään. Ajon aikana stub purkaa alkuperäisen koodin muistiin ja suorittaa sen.

Haittaohjelmien tekijät käyttävät pakkaamista allekirjoitusten väistämiseen ja staattisen analyysin vaikeuttamiseen.

Pakatusta binääritiedostosta löytyy vain vähän merkkijonoja ja tuonteja, ja sen entropia on korkea. Merkityksellinen koodi pysyy piilossa, kunnes stub suoritetaan.

Purkaminen palauttaa alkuperäisen koodin, jotta voitte analysoida sitä staattisesti ja poimia todelliset IOC:t.

Detect It Easy (DIE) ja PEiD -työkalujen kaltaiset ohjelmat tunnistavat tunnettuja pakkaajia allekirjoituksen perusteella. Myös korkea entropia ja pieni tuontitaulu ovat vahvoja vihjeitä.

Yleisiä pakkaajia ovat UPX, ASPack ja Themida.

UPX on yleinen, ei-haitallinen pakkaaja, jonka voi purkaa sen omalla työkalulla. -d-valitsin purkaa binääritiedoston takaisin alkuperäiseen muotoonsa.

Monissa tosielämän näytteissä käytetään UPX:ää tai hieman muokattua UPX:ää, joten tämä on usein ensimmäinen kokeiltava menetelmä.

Mukautettuja pakkaajia ei voi purkaa yhdellä työkalulla. Sen sijaan stubin annetaan purkaa itsensä muistiin, minkä jälkeen tulos kaapataan.

Suunnitelma on seuraava: suorittakaa näyte virheenkorjaimessa, pysäyttäkää suoritus heti purkamisen valmistuttua ja vedostakaa nyt paljastunut koodi.

Alkuperäinen aloituspiste (OEP) on kohta, johon suoritus siirtyy purkamisen päätyttyä. OEP:n saavuttaminen tarkoittaa, että todellinen koodi on nyt muistissa.

Sen voi löytää esimerkiksi seuraamalla stubista ulos suuntautuvaa pitkää hyppäystä tai asettamalla keskeytyspisteen muistiin, johon stub kirjoittaa ja jota se sitten suorittaa.

Yleinen keino on asettaa laitteistopohjainen keskeytyspiste pinoon (stub palauttaa usein rekisterit juuri ennen hyppäämistä OEP:hen) tai yleisiin API-kutsuihin, joita purettu koodi käyttää.

Kun keskeytyspiste osuu OEP:ssä, alkuperäinen koodi on dekoodattu kokonaan.

Vedostakaa OEP:ssä prosessin muisti uuteen tiedostoon. Scylla (sisäänrakennettuna x64dbg:hen) ja PE-sieve pystyvät kaappaamaan puretun vedoksen.

Vedos sisältää nyt todelliset käskyt, mutta se ei välttämättä vielä toimi itsenäisesti.

Vedostamisen jälkeen tuontiosoitetaulu eli Import Address Table on usein rikkoutunut, koska pakkaaja ratkaisi tuonnit ajonaikaisesti. Scylla voi rakentaa IAT:n uudelleen, jotta vedostettua tiedostoa voidaan analysoida.

Kun tuonnit on korjattu, voitte ladata puhtaan vedoksen Ghidraan tai IDA:an.

Pakkaamisen lisäksi haittaohjelmissa käytetään muuta obfuskointia: ajon aikana dekoodattuja salattuja merkkijonoja, roskaohjeita, ohjausvuon litistämistä ja virheenkorjauksen vastaisia tarkistuksia.

Nämä torjutaan tapauskohtaisesti, usein yhdistämällä dynaaminen jäljitys kärsivälliseen staattiseen lukemiseen.

Kun olette vedostaneet prosessin ja rakentaneet tuonnit uudelleen, varmistakaa onnistuminen suorittamalla staattinen analyysi uudelleen: nyt pitäisi näkyä paljon enemmän merkkijonoja ja täytetty tuontitaulu.

Jos entropia on palautunut normaaliksi ja API:t näkyvät, purkaminen onnistui ja todellinen koodi on valmis analysoitavaksi.

Ymmärrätte nyt purkamisen:

• Pakkaaminen piilottaa todellisen koodin; tunnistakaa se DIE/PEiD-työkaluilla, korkean entropian ja vähäisten tuontien avulla.
• Tunnetut pakkaajat, kuten UPX, puretaan työkalulla (upx -d).
• Mukautettujen pakkaajien tapauksessa suorittakaa näyte virheenkorjaimessa, etsikää OEP, tehkää vedos Scyllalla ja rakentakaa tuonnit uudelleen.
• Muu obfuskointi (salatut merkkijonot, virheenkorjauksen esto) käsitellään tapauskohtaisesti.

Olette suorittaneet Haittaohjelmien takaisinmallinnus -kurssin.