Fondamenti del disassemblaggio

Il disassemblaggio converte il codice macchina di un binario in istruzioni assembly leggibili dall'essere umano. Consente di leggere esattamente ciò che la CPU eseguirà.

È essenziale quando il codice sorgente non è disponibile, come accade sempre con i malware.

Il disassemblaggio produce assembly. La decompilazione va oltre, ricostruendo uno pseudocodice approssimativo di alto livello simile al C.

Lo pseudocodice è più rapido da leggere; l'assembly è preciso. Gli analisti usano entrambi, alternandoli secondo necessità.

Ghidra è una suite gratuita e open source per il reverse engineering, sviluppata dalla NSA. Disassembla molte architetture e include un potente decompiler.

Il prezzo e le funzionalità ne fanno lo strumento di partenza preferito dalla maggior parte degli analisti.

IDA Pro è da tempo lo standard commerciale, noto per il suo potente disassembler e per il decompiler (con il plugin Hex-Rays).

IDA Free e altri strumenti come Binary Ninja e radare2/Cutter sono alternative diffuse.

Importa il campione nello strumento, che lo analizza automaticamente: identifica funzioni, riferimenti incrociati e stringhe.

Lo strumento crea una mappa del programma che può navigare, partendo dall'entry point o da import interessanti.

Le istruzioni assembly spostano ed elaborano dati. Alcune istruzioni x86 comuni:

• mov: copia i dati.
• push / pop: operazioni sullo stack.
• call / ret: chiamata e ritorno da una funzione.
• cmp / jmp / je: confronto e diramazione.

I riferimenti incrociati (xref) mostrano dove viene usata una funzione o una stringa. Trovare gli xref verso un'API sospetta come CreateRemoteThread porta direttamente al codice pertinente.

Questo consente di orientarsi in base al comportamento anziché leggere il codice dall'inizio alla fine.

Le chiamate all'API di Windows importate rivelano l'intento. Vedere VirtualAlloc, poi WriteProcessMemory e infine CreateRemoteThread costituisce una sequenza classica di iniezione di processo.

Riconoscere questi schemi è il cuore del reverse engineering del malware.

I disassembler offrono una vista a grafo che mostra i blocchi di base e i rami che li collegano. In questo modo viene visualizzato il flusso di controllo di una funzione, rendendo facili da seguire cicli e condizioni.

Per la logica complessa è molto più leggibile di un elenco lineare di istruzioni.

Il disassemblaggio statico si abbina bene a un debugger. Quando il codice è offuscato o automodificante, è possibile impostare breakpoint ed eseguirlo passo passo durante l'esecuzione per vedere le istruzioni effettive.

Questo collegamento all'analisi dinamica è fondamentale per i campioni impacchettati, che saranno trattati nella prossima lezione.

Quando comprende le funzioni e le variabili, le rinomini e aggiunga commenti nel disassembler. Trasformare sub_401000 in decrypt_config rende molto più semplice il resto dell'analisi.

Questa etichettatura progressiva consente agli analisti di ricostruire gradualmente la logica completa di un campione di malware.

Ricordi la differenza tra i due output principali di Ghidra.

Ora conosce le basi del disassemblaggio:

• Il disassemblaggio produce assembly; la decompilazione produce pseudocodice.
• Ghidra (gratuito) e IDA Pro sono gli strumenti principali.
• Utilizzi le cross-reference e gli schemi delle chiamate API (come le sequenze di iniezione) per orientarsi in base al comportamento.
• La vista a grafo visualizza il flusso di controllo; la abbini a un debugger per il codice offuscato.

Ora affronterà i packer con l'unpacking.