Basisprincipes van disassembly

Disassembly zet de machinecode van een binair bestand terug om in voor mensen leesbare assembly-instructies. Zo kun je precies lezen wat de CPU zal uitvoeren.

Dit is essentieel wanneer de broncode niet beschikbaar is, zoals bij malware altijd het geval is.

Disassembly produceert assembly. Decompilatie gaat verder en reconstrueert bij benadering pseudocode op hoog niveau, vergelijkbaar met C.

Pseudocode leest sneller; assembly is nauwkeurig. Analisten gebruiken beide en wisselen zo nodig tussen de twee.

Ghidra is een gratis, opensourcepakket voor reverse engineering van de NSA. Het disassembleert veel architecturen en bevat een krachtige decompiler.

Dankzij de prijs en mogelijkheden is het voor de meeste analisten het aangewezen startprogramma.

IDA Pro is al lange tijd de commerciële standaard, bekend om zijn krachtige disassembler en decompiler (met de Hex-Rays-plug-in).

IDA Free en andere hulpmiddelen zoals Binary Ninja en radare2/Cutter zijn populaire alternatieven.

Je importeert het voorbeeld in het hulpmiddel, dat het automatisch analyseert: het identificeert functies, kruisverwijzingen en tekenreeksen.

Het hulpmiddel bouwt een kaart van het programma die je kunt doorlopen, te beginnen bij het ingangspunt of interessante imports.

Assembly-instructies verplaatsen gegevens en voeren er bewerkingen op uit. Enkele veelgebruikte x86-instructies:

• mov: gegevens kopiëren.
• push / pop: stackbewerkingen.
• call / ret: functieaanroep en terugkeer.
• cmp / jmp / je: vergelijken en vertakken.

Kruisverwijzingen (xrefs) tonen waar een functie of tekenreeks wordt gebruikt. Als je xrefs naar een verdachte API zoals CreateRemoteThread vindt, ga je rechtstreeks naar de relevante code.

Zo kun je navigeren op basis van gedrag in plaats van de code van boven naar beneden te lezen.

Geïmporteerde Windows API-aanroepen onthullen de bedoeling. Het zien van VirtualAlloc, gevolgd door WriteProcessMemory en vervolgens CreateRemoteThread, is een klassieke reeks voor procesinjectie.

Het herkennen van deze patronen vormt de kern van het reverse-engineeren van malware.

Disassemblers bieden een grafiekweergave met basisblokken en de vertakkingen daartussen. Hiermee wordt de besturingsstroom van een functie gevisualiseerd, zodat lussen en voorwaarden gemakkelijk te volgen zijn.

Voor complexe logica is dit veel leesbaarder dan een lineaire instructielijst.

Statische disassembly werkt goed samen met een debugger. Wanneer code geobfusceerd is of zichzelf wijzigt, kun je onderbrekingspunten instellen en er tijdens runtime stap voor stap doorheen gaan om de echte instructies te bekijken.

Deze verbinding met dynamische analyse is cruciaal voor ingepakte samples, die in de volgende les worden behandeld.

Naarmate je functies en variabelen beter begrijpt, kun je ze in de disassembler hernoemen en opmerkingen toevoegen. Door sub_401000 te veranderen in decrypt_config, wordt de rest van de analyse veel eenvoudiger.

Met deze stapsgewijze labels reconstrueren analisten geleidelijk de volledige logica van een malwaresample.

Je begrijpt nu de basis van disassembly:

• Disassembly levert assembly op; decompilatie levert pseudocode op.
• Ghidra (gratis) en IDA Pro zijn de belangrijkste hulpmiddelen.
• Gebruik kruisverwijzingen en patronen van API-aanroepen (zoals injectiereeksen) om op basis van gedrag door de code te navigeren.
• De grafiekweergave visualiseert de besturingsstroom; combineer deze met een debugger voor geobfusceerde code.

In de volgende les versla je packers door ze uit te pakken.