Hämärtämistekniikoiden ymmärtäminen

Yksi yleinen obfuskointitekniikka on virheenkorjauksen esto. Siinä koodi yrittää havaita, suoritetaanko sitä virheenkorjaimen sisällä.

Jos virheenkorjain havaitaan, ohjelma saattaa:

• lopettaa toimintansa
• muuttaa toimintaansa analysoijan johtamiseksi harhaan
• siirtyä ikuiseen silmukkaan

Miten koodi tunnistaa virheenkorjaimen? Se käyttää erilaisia tarkistuksia:

• API-kutsut: Windowsissa voidaan käyttää esimerkiksi funktioita IsDebuggerPresent().
• Aikatarkistukset: Virheenkorjaimet hidastavat usein suoritusta. Koodi voi mitata tiettyihin toimintoihin kuluvaa aikaa.
• Virheenkorjausrekisterit: CPU:n virheenkorjausrekistereihin (DR0–DR7) tehtyjen muutosten tarkistaminen.
• Isäntäprosessin tarkistus: Pääprosessin tutkiminen sen selvittämiseksi, onko se tunnettu virheenkorjain.

Purkamisen eston tekniikoilla pyritään hämmentämään staattisen analyysin työkaluja, kuten purkuohjelmia ja dekompilaattoreita.

Tavoitteena on tehdä muodostetusta assembly-koodista tai pseudokoodista vaikeasti tulkittavaa ja piilottaa ohjelman todellinen logiikka.

Purkamisen esto voi toimia esimerkiksi seuraavilla tavoilla:

• Roskaohjeet: Virheellisten tai hyödyttömien käskyjen lisääminen niin, että purkuohjelmat saattavat tulkita ne väärin.
• Ohjausvirran litistäminen: Suorien hyppyjen ja kutsujen korvaaminen monimutkaisilla switch-lauseilla tai epäsuorilla hypyillä, jolloin ohjelman suorituspolkua on vaikea seurata.
• Sameat predikaatit: Ehtolauseet, joiden tulos on aina tosi tai epätosi mutta jotka on suunniteltu vaikeasti staattisen analyysin työkaluilla pääteltäviksi.
• Itsensä muuttava koodi: Koodi muuttaa itseään suorituksen aikana, jolloin alkuperäinen staattinen analyysi ei ole tarkka.

Koodin virtualisointi on kehittynyt obfuskointitekniikka. Sen sijaan että alkuperäinen konekoodi suoritettaisiin suoraan suorittimella, koodi muunnetaan mukautetuksi käskykannaksi.

Tämän mukautetun käskykannan suorittaa ohjelman sisälle upotettu pieni virtuaalikoneen (VM) tulkki.

Kuvittele ohjelmasi sisään rakennettu mini-CPU. Perusidea on seuraava:

• Mukautetut opkoodit: Alkuperäiset käskyt (esimerkiksi ADD ja JMP) korvataan yksilöllisillä mukautetuilla ”virtuaalisilla” opkoodeilla (esimerkiksi V_ADD ja V_JMP).
• VM-tulkki: Erityinen koodiosa toimii CPU:na: se noutaa virtuaaliset opkoodit, purkaa ne ja suorittaa niitä vastaavat natiivit toiminnot.
• Tilan hallinta: VM ylläpitää omia virtuaalisia rekistereitään ja pinoaan täysin erillään varsinaisen CPU:n rekistereistä ja pinosta.

Tämä vaikeuttaa analysointia huomattavasti, koska tarkasteltavana eivät enää ole CPU:n vakiokäskyt.

Debuggauksen estämisen, disassemblyn estämisen ja virtualisoinnin lisäksi käytössä on myös muita tekniikoita:

• Pakkaus/salaus: Koko binääri tai sen osia pakataan tai salataan, minkä jälkeen ne on purettava tai purettava salauksesta ajonaikaisesti.
• Merkkijonojen häivytys: Arkaluonteiset merkkijonot, kuten URL-osoitteet ja API-avaimet, salataan tai koodataan, jotta niitä ei olisi helppo löytää binääristä.
• Muokkausten estäminen: Koodi tarkistaa oman eheytensä varmistaakseen, ettei hyökkääjä ole muuttanut sitä.

Tässä oppitunnissa tutustuimme erilaisiin koodin häivytystekniikoihin:

• Debuggauksen estäminen: Debuggerien havaitseminen ja niihin reagoiminen.
• Disassemblyn estäminen: Staattisen analyysin työkalujen hämääminen roskakoodilla, ohjausvuon litistämisellä ja läpinäkymättömillä predikaateilla.
• Koodin virtualisointi: Natiivikoodin muuntaminen mukautetuksi käskykannaksi, jonka upotettu virtuaalikone suorittaa.
• Muita menetelmiä, kuten pakkaus, salaus ja muokkausten estäminen.

Nämä tekniikat vaikeuttavat reverse engineeringia huomattavasti riippumatta siitä, käytetäänkö niitä laillisen immateriaalioikeuden suojaamiseen vai haitallisen toiminnan piilottamiseen.