Membongkar Kemasan

Pengemasan memampatkan atau mengenkripsi kode asli program, lalu membungkusnya dalam rintisan kecil. Saat berjalan, rintisan tersebut membongkar kode asli ke dalam memori dan menjalankannya.

Penulis malware menggunakan pengemasan untuk menghindari tanda tangan dan mempersulit analisis statis.

Biner yang dikemas hanya menampilkan sedikit string, sedikit impor, dan entropi tinggi. Kode yang bermakna tersembunyi hingga rintisan dijalankan.

Pembongkaran kemasan memulihkan kode asli agar Anda dapat menganalisisnya secara statis dan mengekstrak IOC yang sebenarnya.

Alat seperti Detect It Easy (DIE) dan PEiD mengidentifikasi pengemas yang dikenal berdasarkan tanda tangan. Entropi tinggi dan tabel impor yang sangat kecil juga merupakan petunjuk kuat.

Pengemas yang umum mencakup UPX, ASPack, dan Themida.

UPX adalah pengemas umum yang tidak berbahaya dan dapat dibalikkan dengan alatnya sendiri. Bendera -d mendekompresi biner kembali ke bentuk aslinya.

Banyak sampel di dunia nyata menggunakan UPX atau UPX yang sedikit dimodifikasi, sehingga langkah ini sering menjadi upaya pertama.

Pengemas khusus tidak dapat dibatalkan dengan sebuah alat. Sebagai gantinya, biarkan rintisan membongkar dirinya sendiri di dalam memori, lalu tangkap hasilnya.

Rencananya adalah menjalankan sampel di bawah debugger, menghentikannya tepat setelah pembongkaran selesai, lalu membuang kode yang kini telah terungkap.

Titik Masuk Asli (OEP) adalah lokasi yang dituju eksekusi setelah pembongkaran selesai. Mencapai OEP berarti kode asli kini berada di dalam memori.

Teknik untuk menemukannya mencakup mengamati lompatan jauh keluar dari rintisan, atau memasang titik henti pada memori yang ditulis lalu dijalankan oleh rintisan.

Trik yang umum adalah memasang titik henti perangkat keras pada stack (rintisan sering memulihkan register tepat sebelum melompat ke OEP), atau memasang titik henti pada panggilan API umum yang digunakan kode yang telah dibongkar.

Saat titik henti tercapai di OEP, kode asli telah sepenuhnya didekodekan.

Di OEP, buang memori proses ke sebuah file baru. Alat seperti Scylla (bawaan x64dbg) atau PE-sieve menangkap citra yang telah dibongkar.

Buangan tersebut kini berisi instruksi yang sebenarnya, tetapi mungkin belum dapat berjalan sendiri.

Setelah pembuangan, Tabel Alamat Impor sering rusak karena pengemas menyelesaikan impor saat runtime. Scylla dapat membangun ulang IAT agar file hasil pembuangan dapat dianalisis.

Setelah impor diperbaiki, Anda dapat memuat buangan yang bersih ke Ghidra atau IDA.

Selain pengemasan, malware menggunakan penyamaran lain: string terenkripsi yang didekodekan saat runtime, instruksi sampah, perataan alur kendali, dan pemeriksaan anti-debugging.

Semua ini ditangani satu per satu sesuai kasus, sering kali dengan menggabungkan pelacakan dinamis dan pembacaan statis yang cermat.

Setelah membuang memori dan membangun ulang impor, pastikan keberhasilannya dengan menjalankan kembali analisis statis: kini Anda seharusnya melihat lebih banyak string dan tabel impor yang terisi.

Jika entropi telah kembali normal dan API terlihat, pembongkaran berhasil dan kode asli siap dianalisis.

Ingat kembali arti OEP selama pembongkaran manual.

Sekarang Anda memahami pembongkaran kemasan:

• Pengemasan menyembunyikan kode asli; deteksi dengan DIE/PEiD, entropi tinggi, dan sedikit impor.
• Pengemas yang dikenal seperti UPX dapat dibongkar dengan alat (upx -d).
• Untuk pengemas khusus, jalankan di bawah debugger, temukan OEP, lakukan pembuangan dengan Scylla, dan bangun ulang impor.
• Penyamaran lain (string terenkripsi, anti-debug) ditangani sesuai kasus.

Anda telah menyelesaikan kursus Reverse Engineering Malware.