Dasar-Dasar Disassembly

Disassembly mengubah kode mesin biner kembali menjadi instruksi assembly yang dapat dibaca manusia. Dengan demikian, Anda dapat membaca secara tepat apa yang akan dijalankan CPU.

Hal ini penting ketika kode sumber tidak tersedia, sebagaimana selalu terjadi pada perangkat lunak berbahaya.

Disassembly menghasilkan assembly. Dekompilasi melangkah lebih jauh dengan merekonstruksi pseudocode tingkat tinggi yang menyerupai C.

Pseudocode lebih cepat dibaca, sedangkan assembly lebih presisi. Analis menggunakan keduanya dan beralih sesuai kebutuhan.

Ghidra adalah rangkaian rekayasa balik gratis dan bersumber terbuka dari NSA. Ghidra membongkar banyak arsitektur dan menyertakan decompiler yang andal.

Harga dan kemampuannya menjadikannya alat awal pilihan bagi sebagian besar analis.

IDA Pro adalah standar komersial yang telah lama digunakan, dikenal karena disassembler-nya yang kuat dan decompiler-nya (dengan plugin Hex-Rays).

IDA Free serta alat lain seperti Binary Ninja dan radare2/Cutter merupakan alternatif yang populer.

Anda mengimpor sampel ke dalam alat tersebut, yang kemudian menganalisisnya secara otomatis: mengidentifikasi fungsi, referensi silang, dan string.

Alat ini membuat peta program yang dapat Anda jelajahi, mulai dari titik masuk atau impor yang menarik.

Instruksi assembly memindahkan dan mengoperasikan data. Berikut beberapa instruksi x86 yang umum:

• mov: menyalin data.
• push / pop: operasi stack.
• call / ret: pemanggilan dan pengembalian dari fungsi.
• cmp / jmp / je: perbandingan dan percabangan.

Referensi silang (xrefs) menunjukkan tempat suatu fungsi atau string digunakan. Menemukan xrefs ke API mencurigakan seperti CreateRemoteThread akan langsung membawa Anda ke kode yang relevan.

Dengan demikian, Anda dapat menjelajah berdasarkan perilaku, bukan dengan membaca dari awal hingga akhir.

Panggilan API Windows yang diimpor mengungkapkan maksudnya. Melihat VirtualAlloc, lalu WriteProcessMemory, kemudian CreateRemoteThread merupakan urutan injeksi proses yang klasik.

Mengenali pola-pola ini merupakan inti dari reverse engineering malware.

Pembongkar kode menyediakan tampilan grafis yang menampilkan blok-blok dasar dan percabangan di antaranya. Tampilan ini memvisualisasikan alur kendali suatu fungsi, sehingga perulangan dan kondisional mudah diikuti.

Untuk logika yang kompleks, tampilan ini jauh lebih mudah dibaca daripada daftar instruksi linear.

Pembongkaran kode statis sangat cocok dipadukan dengan debugger. Saat kode disamarkan atau memodifikasi dirinya sendiri, Anda dapat memasang titik henti dan menelusurinya langkah demi langkah saat berjalan untuk melihat instruksi yang sebenarnya.

Jembatan menuju analisis dinamis ini sangat penting untuk sampel yang dikemas, yang akan dibahas pada pelajaran berikutnya.

Seiring Anda memahami fungsi dan variabel, gantilah nama keduanya dan tambahkan komentar di pembongkar kode. Mengubah sub_401000 menjadi decrypt_config membuat analisis selanjutnya jauh lebih mudah.

Pemberian label secara bertahap inilah yang digunakan analis untuk sedikit demi sedikit merekonstruksi seluruh logika sampel malware.

Ingat kembali perbedaan antara dua keluaran utama Ghidra.

Sekarang Anda memahami dasar-dasar pembongkaran kode:

• Pembongkaran kode menghasilkan assembly; dekompilasi menghasilkan pseudocode.
• Ghidra (gratis) dan IDA Pro merupakan alat utama.
• Gunakan referensi silang dan pola panggilan API (seperti urutan injeksi) untuk menelusuri program berdasarkan perilakunya.
• Tampilan grafis memvisualisasikan alur kendali; padukan dengan debugger untuk kode yang disamarkan.

Selanjutnya, Anda akan menaklukkan pengemas dengan melakukan pembongkaran kemasan.