Forstå obfuskeringsteknikker

En vanlig obfuskeringsteknikk er anti-feilsøking. Dette innebærer at kode forsøker å oppdage om den kjøres i en debugger.

Hvis en debugger oppdages, kan programmet:

• avslutte seg selv.
• endre virkemåten for å villede analytikeren.
• gå inn i en uendelig løkke.

Hvordan oppdager kode en debugger? Den bruker ulike kontroller:

• API-kall: I Windows kan funksjoner som IsDebuggerPresent() brukes.
• Tidskontroller: Debuggere gjør ofte kjøringen langsommere. Koden kan måle kjøretiden for bestemte operasjoner.
• Debug-registre: Kontroll av endringer i CPU-ens debug-registre (DR0-DR7).
• Kontroll av overordnet prosess: Undersøke den overordnede prosessen for å se om den er en kjent debugger.

Anti-disassemblering har som mål å forvirre verktøy for statisk analyse, som disassemblere og dekompilatorer.

Målet er å gjøre den genererte assemblerkoden eller pseudokoden vanskelig å tolke, slik at programmets egentlige logikk skjules.

Her er noen måter anti-disassemblering fungerer på:

• Ubrukte instruksjoner: Sette inn ugyldige eller meningsløse instruksjoner som disassemblere kan tolke feil.
• Utflating av kontrollflyt: Erstatte direkte hopp og kall med komplekse switch-setninger eller indirekte hopp, slik at programmets flyt blir vanskelig å følge.
• Ugjennomsiktige predikater: Betingede uttrykk som alltid evalueres til sant eller usant, men som er utformet slik at de er vanskelige for verktøy for statisk analyse å fastslå.
• Selvmodifiserende kode: Kode som endrer seg selv under kjøring, slik at den første statiske analysen blir unøyaktig.

Kodevirtualisering er en avansert obfuskeringsteknikk. I stedet for å kjøre innebygd maskinkode direkte på CPU-en, transformeres den opprinnelige koden til et egendefinert instruksjonssett.

Dette egendefinerte instruksjonssettet kjøres deretter av en liten, innebygd tolk for virtuell maskin (VM) i selve programmet.

Se for Dem en mini-CPU inne i programmet. Her er grunnideen:

• Tilpassede opkoder: De opprinnelige instruksjonene (for eksempel ADD, JMP) erstattes med unike, tilpassede «virtuelle» opkoder (for eksempel V_ADD, V_JMP).
• VM-tolker: Et spesialskrevet kodestykke fungerer som en CPU ved å hente disse virtuelle opkodene, dekode dem og utføre de tilsvarende nativoperasjonene.
• Tilstandsbehandling: VM-en vedlikeholder sine egne virtuelle registre og sin egen stack, helt atskilt fra den faktiske CPU-en.

Dette gjør analysen svært krevende, siden man ikke lenger ser på standardiserte CPU-instruksjoner.

I tillegg til anti-debugging, anti-disassembly og virtualisering finnes det andre teknikker:

• Pakking/kryptering: Hele binærfilen eller deler av den komprimeres eller krypteres, og må pakkes ut eller dekrypteres under kjøring.
• Obfuskering av strenger: Følsomme strenger (som URL-er og API-nøkler) krypteres eller kodes for å hindre at de enkelt kan finnes i binærfilen.
• Beskyttelse mot manipulering: Kode som kontrollerer sin egen integritet for å sikre at den ikke er blitt endret av en angriper.

I denne leksjonen utforsket vi ulike teknikker for obfuskering av kode:

• Anti-debugging: Oppdage og reagere på debuggere.
• Anti-disassembly: Forvirre verktøy for statisk analyse med søppelkode, utflating av kontrollflyt og ugjennomsiktige predikater.
• Kodevirtualisering: Transformere nativ kode til et tilpasset instruksjonssett som kjøres av en innebygd virtuell maskin.
• Andre metoder, som pakking, kryptering og beskyttelse mot manipulering.

Disse teknikkene gjør reverse engineering betydelig mer krevende, enten formålet er legitim beskyttelse av immaterielle rettigheter eller å unngå oppdagelse ved skadelige handlinger.