0Pricing
Cyber Security Academy · Lezione

Deoffuscamento e tecniche anti-analisi

Identificate e aggirate l'offuscamento delle stringhe, il controllo di flusso appiattito, l'anti-debugging e il packing.

Deoffuscamento e tecniche anti-analisi è una lezione Cyber Security Academy gratuita su CoddyKit. Questa è la lezione 4 di 4. Puoi leggere la lezione completa qui gratuitamente — poi esercitati direttamente nel browser con un editor di codice integrato e un tutor IA disponibile 24/7. Fa parte del percorso di apprendimento Cyber Security Academy, e i tuoi progressi si sincronizzano tra il web e l'app CoddyKit. Il corso Cyber Security Academy include 4 lezioni in totale.

Perché il malware usa l’offuscamento

Gli autori di malware usano l’offuscamento del codice per eludere il rilevamento statico delle firme da parte degli antivirus, il reverse engineering degli analisti e il rilevamento da parte delle sandbox. Il deoffuscamento è il processo di ripristino di codice leggibile a partire da una forma offuscata.

Offuscamento delle stringhe

Il malware raramente memorizza URL C2 o nomi di API in chiaro. Tecniche comuni:

  • Codifica XOR: key ^ char per ogni byte
  • Codifica Base64
  • Stringhe nello stack: stringhe costruite carattere per carattere durante l’esecuzione
  • Crittografia personalizzata con una chiave hardcoded

Deoffuscare le stringhe XOR

Individuare le chiavi XOR:

# If you see single-byte XOR:
import string
for key in range(256):
    decoded = bytes([b ^ key for b in encoded])
    if all(c in string.printable for c in decoded.decode('latin1')):
        print(f"Key {key}: {decoded}")

Packer del codice

I packer comprimono o crittografano il binario originale e aggiungono uno stub che lo decomprime o decrittografa durante l’esecuzione. Il codice originale non compare mai sul disco. Esempi: UPX (uso legittimo), packer personalizzati nel malware.

Rilevamento: tabella delle importazioni ridotta + elevata entropia + firme di packer noti in PEID/Detect-It-Easy.

Tecniche anti-debug

Il malware rileva i debugger e modifica il proprio comportamento:

  • IsDebuggerPresent() — controllo tramite API Windows
  • Controlli temporali — il codice sotto debugger viene eseguito lentamente
  • Controllo ptrace — i processi Linux possono essere sottoposti a ptrace una sola volta
  • Trap INT3 — rilevamento dei breakpoint software
# Linux anti-ptrace:
if (ptrace(PTRACE_TRACEME, 0, 0, 0) == -1) {
    exit();  // already being traced!
}

Rilevamento di VM e sandbox

Il malware rileva gli ambienti virtualizzati o sandbox e rimane in attesa oppure termina:

  • Controlli CPUID del bit dell’hypervisor
  • Ricerca di chiavi del registro, processi e file specifici delle VM
  • Tempo di attività ridotto, nessun file recente e nessuna cronologia del browser
  • Controlli dei movimenti del mouse (le sandbox automatizzate non muovono il mouse)

Offuscamento del flusso di controllo

Tecniche per confondere i disassembler:

  • Offuscamento dei salti — salti indiretti attraverso indirizzi calcolati
  • Predicati opachi — condizioni sempre vere che confondono l’analisi
  • Sovrapposizione delle istruzioni — dati incorporati nel flusso delle istruzioni

Eludere l’anti-debug in GDB

Ignorare le tecniche anti-debug comuni:

# Patch IsDebuggerPresent return value:
# In GDB: set $rax = 0 after the call
# Or use NOP sled to skip the check:
# In GDB: jump *0x401234  (skip the check)
# Force ptrace to succeed:
set follow-fork-mode child

Unpacking dinamico

Per il malware compresso, lasciare eseguire lo stub di unpacking finché il codice originale non si trova in memoria, quindi eseguirne il dump:

  1. Eseguire il programma in GDB finché lo stub del packer non ha terminato
  2. Individuare l’OEP (punto di ingresso originale), spesso tramite un breakpoint su VirtualAlloc + jmp reg
  3. Eseguire il dump della memoria su file con dump binary memory

Deoffuscamento basato sull’emulazione

Strumenti che emulano il codice per rivelare le stringhe offuscate senza eseguire il binario:

  • FLOSS (FireEye) — estrae le stringhe nello stack e le stringhe offuscate
  • speakeasy — emulazione delle API Windows
  • Capa — identifica automaticamente le funzionalità del malware

Riconoscimento dei pattern

Riconoscere i pattern comuni del malware accelera l’analisi:

  • API hash: CRC32/ROR13 dei nomi delle funzioni, usato per risolvere le importazioni durante l’esecuzione
  • Pattern di reflective DLL injection
  • Stub di syscall di NTDLL (syscall dirette per eludere gli hook EDR)

Verifica rapida: anti-analisi

Un campione di malware verifica se ptrace(PTRACE_TRACEME) restituisce -1 su Linux. Quale tecnica sta utilizzando?

Riepilogo della lezione

Il malware offusca le stringhe (XOR, stringhe nello stack), comprime il codice, rileva i debugger (IsDebuggerPresent, ptrace, controlli temporali) ed elude le sandbox (controlli delle VM, inattività). Deoffuscamento: brute force della chiave XOR, unpacking dinamico (dump dopo l’OEP), FLOSS per le stringhe nello stack. Applicare patch o aggirare i controlli anti-debug in GDB. Gli strumenti di emulazione (FLOSS, speakeasy) estraggono il comportamento in sicurezza.

Domande Frequenti

La lezione «Deoffuscamento e tecniche anti-analisi» è gratuita?

Sì — il testo completo di «Deoffuscamento e tecniche anti-analisi» è gratuito qui sul web. Per esercitarvi in modo interattivo (un editor di codice integrato e un tutor IA 24/7) e sbloccare il resto del corso Cyber Security Academy, passa a CoddyKit PRO. Il corso Cyber Security Academy include 4 lezioni in totale.

Cosa imparerò in «Deoffuscamento e tecniche anti-analisi»?

Identificate e aggirate l'offuscamento delle stringhe, il controllo di flusso appiattito, l'anti-debugging e il packing. Eserciti Cyber Security Academy con codice pratico che esegui direttamente nel browser, e un tutor IA 24/7 risponde alle tue domande mentre lavori sulla lezione.

Ho bisogno di esperienza per iniziare Cyber Security Academy?

Non è richiesta alcuna esperienza precedente. Cyber Security Academy su CoddyKit è strutturato per principianti e studenti avanzati, quindi puoi iniziare da qui o dall'inizio e procedere al tuo ritmo. Questa è la lezione 4 di 4.

Quanto tempo richiede la lezione «Deoffuscamento e tecniche anti-analisi»?

La maggior parte delle lezioni CoddyKit richiede circa 5–10 minuti. Ogni lezione è breve e interattiva, quindi fai progressi costanti e riprendi esattamente da dove hai lasciato su web e app.

Posso scrivere ed eseguire codice in questa lezione Cyber Security Academy?

Sì. Ogni lezione Cyber Security Academy include un editor di codice integrato, quindi scrivi ed esegui codice reale direttamente nel tuo browser e ricevi feedback istantaneo dall'IA — nessuna configurazione locale necessaria.

Tutte le lezioni di questo corso

  1. Ghidra: navigazione e annotazione dei binari
  2. Fondamenti di assembly x86/x64 per il reverse engineering
  3. Analisi dinamica con GDB e pwndbg
  4. Deoffuscamento e tecniche anti-analisi
← Torna a Cyber Security Academy