Utpakking

Pakking komprimerer eller krypterer et programs faktiske kode og pakker den inn i en liten stub. Under kjøring pakker stub-en ut den opprinnelige koden i minnet og kjører den.

Skadevareforfattere bruker pakking for å unngå signaturgjenkjenning og vanskeliggjøre statisk analyse.

En pakket binærfil inneholder få strenger, få importer og har høy entropi. Den meningsfulle koden er skjult til stub-en kjører.

Utpakking gjenoppretter den opprinnelige koden, slik at De kan analysere den statisk og hente ut reelle IOC-er.

Verktøy som Detect It Easy (DIE) og PEiD identifiserer kjente pakkere ved hjelp av signaturer. Høy entropi og en svært liten importtabell er også tydelige tegn.

Vanlige pakkere omfatter UPX, ASPack og Themida.

UPX er en vanlig, ikke-skadelig pakker som kan reverseres med sitt eget verktøy. Flagget -d dekomprimerer binærfilen tilbake til originalformatet.

Mange prøver fra virkeligheten bruker UPX eller en lett modifisert UPX, så dette er ofte det første forsøket.

Tilpassede pakkere kan ikke fjernes med et verktøy. I stedet lar De stub-en pakke ut seg selv i minnet og fanger deretter opp resultatet.

Planen er å kjøre prøven under en debugger, stoppe rett etter at utpakkingen er fullført og dumpe den nå synlige koden.

Original Entry Point (OEP) er stedet som kjøringen hopper til når utpakkingen er fullført. Når De når OEP, ligger den faktiske koden i minnet.

Teknikker for å finne det omfatter å se etter et langt hopp ut av stub-en eller å sette et bruddpunkt på minneområdet som stub-en skriver til og deretter kjører.

Et vanlig triks er å sette et maskinvarebruddpunkt på stakken (stub-en gjenoppretter ofte registre rett før den hopper til OEP) eller et bruddpunkt på vanlige API-kall som den utpakkede koden bruker.

Når bruddpunktet utløses ved OEP, er den opprinnelige koden fullstendig dekryptert.

Ved OEP dumper De prosessminnet til en ny fil. Verktøy som Scylla (innebygd i x64dbg) eller PE-sieve fanger opp det utpakkede bildet.

Dumpen inneholder nå de faktiske instruksjonene, men kan ennå ikke nødvendigvis kjøres på egen hånd.

Etter dumping er Import Address Table ofte ødelagt fordi pakkeren løste importer under kjøring. Scylla kan gjenoppbygge IAT, slik at den dumpede filen kan analyseres.

Når importene er korrigert, kan De laste den rene dumpen inn i Ghidra eller IDA.

I tillegg til pakking bruker skadevare annen obfuskering: krypterte strenger som dekrypteres under kjøring, meningsløse instruksjoner, utflating av kontrollflyten og anti-debugging-kontroller.

Disse håndteres fra tilfelle til tilfelle, ofte ved å kombinere dynamisk sporing med tålmodig statisk gjennomgang.

Etter dumping og gjenoppbygging av importer bekrefter De at det lyktes ved å kjøre statisk analyse på nytt: De bør nå se langt flere strenger og en utfylt importtabell.

Hvis entropien er tilbake på normalt nivå og API-er er synlige, var utpakkingen vellykket, og den faktiske koden er klar for analyse.

De forstår nå utpakking:

• Pakking skjuler den faktiske koden. Oppdag den med DIE/PEiD, høy entropi og få importer.
• Kjente pakkere som UPX pakkes ut med et verktøy (upx -d).
• For tilpassede pakkere kjører De prøven under en debugger, finner OEP, dumper med Scylla og gjenoppbygger importene.
• Annen obfuskering (krypterte strenger, anti-debugging) håndteres fra tilfelle til tilfelle.

De har fullført kurset i reversering av skadevare.