Bases du désassemblage

Le désassemblage convertit le code machine d’un binaire en instructions d’assembleur lisibles par l’être humain. Il vous permet de lire exactement ce que le CPU va exécuter.

Cette étape est essentielle lorsque le code source n’est pas disponible, ce qui est toujours le cas pour les logiciels malveillants.

Le désassemblage produit de l’assembleur. La décompilation va plus loin en reconstruisant un pseudo-code approximatif de haut niveau, similaire au langage C.

Le pseudo-code est plus rapide à lire ; l’assembleur est précis. Les analystes utilisent les deux et passent de l’un à l’autre selon leurs besoins.

Ghidra est une suite gratuite et libre de rétro-ingénierie créée par la NSA. Elle désassemble de nombreuses architectures et inclut un décompilateur performant.

Son prix et ses capacités en font l’outil de départ privilégié de la plupart des analystes.

IDA Pro est depuis longtemps la référence commerciale, connue pour son puissant désassembleur et son décompilateur (avec le module externe Hex-Rays).

IDA Free et d’autres outils comme Binary Ninja et radare2/Cutter sont des solutions populaires.

Vous importez l’échantillon dans l’outil, qui l’analyse automatiquement : il identifie les fonctions, les références croisées et les chaînes.

L’outil construit une carte du programme que vous pouvez parcourir, en commençant par le point d’entrée ou par des importations intéressantes.

Les instructions d’assembleur déplacent et traitent des données. Voici quelques instructions x86 courantes :

• mov : copier des données.
• push / pop : opérations sur la pile.
• call / ret : appel et retour de fonction.
• cmp / jmp / je : comparaison et branchement.

Les références croisées (xrefs) indiquent où une fonction ou une chaîne est utilisée. Trouver les xrefs vers une API suspecte comme CreateRemoteThread vous conduit directement au code pertinent.

Vous pouvez ainsi naviguer en fonction du comportement plutôt que de lire le code de haut en bas.

Les appels aux API Windows importés révèlent l'intention. Voir VirtualAlloc, puis WriteProcessMemory, puis CreateRemoteThread constitue une séquence classique d'injection de processus.

La reconnaissance de ces schémas est au cœur de l'analyse à rebours des logiciels malveillants.

Les désassembleurs proposent une vue en graphe qui affiche les blocs de base et les branchements entre eux. Elle représente le flux de contrôle d'une fonction, ce qui facilite le suivi des boucles et des conditions.

Pour une logique complexe, elle est bien plus lisible qu'une liste linéaire d'instructions.

Le désassemblage statique s'associe bien à un débogueur. Lorsque le code est obfusqué ou se modifie lui-même, vous pouvez définir des points d'arrêt et l'exécuter pas à pas lors de l'exécution afin d'observer les véritables instructions.

Ce lien avec l'analyse dynamique est essentiel pour les échantillons protégés par un empaqueteur, que la prochaine leçon présentera.

À mesure que vous comprenez les fonctions et les variables, renommez-les et ajoutez des commentaires dans le désassembleur. Transformer sub_401000 en decrypt_config rend la suite de l'analyse beaucoup plus facile.

Ce marquage progressif permet aux analystes de reconstituer peu à peu toute la logique d'un échantillon malveillant.

Rappelez-vous la différence entre les deux principales sorties de Ghidra.

Vous comprenez maintenant les bases du désassemblage :

• Le désassemblage produit de l'assembleur ; la décompilation produit du pseudocode.
• Ghidra (gratuit) et IDA Pro sont les principaux outils.
• Utilisez les références croisées et les schémas d'appels d'API (comme les séquences d'injection) pour vous orienter grâce au comportement.
• La vue en graphe représente le flux de contrôle ; associez-la à un débogueur pour le code obfusqué.

Ensuite, vous neutraliserez les empaqueteurs en procédant au dés-empaquetage.