Podstawy dezasemblacji

Dezasemblacja przekształca kod maszynowy pliku binarnego z powrotem w czytelne dla człowieka instrukcje asemblera. Pozwala dokładnie odczytać, co wykona procesor.

Jest niezbędna, gdy kod źródłowy nie jest dostępny, co w przypadku malware'u jest regułą.

Dezasemblacja tworzy kod asemblera. Dekompilacja idzie dalej, odtwarzając przybliżony pseudokod na wysokim poziomie, przypominający język C.

Pseudokod czyta się szybciej, natomiast asembler jest precyzyjny. Analitycy używają obu metod, przełączając się między nimi w razie potrzeby.

Ghidra to bezpłatny pakiet narzędzi do inżynierii wstecznej o otwartym kodzie źródłowym, opracowany przez NSA. Wykonuje dezasemblację dla wielu architektur i zawiera zaawansowany dekompilator.

Połączenie ceny i możliwości sprawia, że dla większości analityków jest to podstawowe narzędzie na początek.

IDA Pro to od dawna komercyjny standard, znany z potężnego deasemblera oraz dekompilatora dostępnego z wtyczką Hex-Rays.

IDA Free i inne narzędzia, takie jak Binary Ninja oraz radare2/Cutter, są popularnymi alternatywami.

Importujesz próbkę do narzędzia, które automatycznie ją analizuje: identyfikuje funkcje, odwołania krzyżowe i ciągi znaków.

Narzędzie tworzy mapę programu, po której można się poruszać, zaczynając od punktu wejścia lub interesujących importów.

Instrukcje asemblera przenoszą dane i wykonują na nich operacje. Oto kilka typowych instrukcji x86:

• mov: kopiowanie danych.
• push / pop: operacje na stosie.
• call / ret: wywołanie i powrót z funkcji.
• cmp / jmp / je: porównywanie i rozgałęzianie.

Odwołania krzyżowe (xrefs) pokazują, gdzie używana jest dana funkcja lub ciąg znaków. Znalezienie xrefs do podejrzanego API, takiego jak CreateRemoteThread, przenosi bezpośrednio do odpowiedniego kodu.

Dzięki temu możesz poruszać się po programie według zachowania, zamiast czytać go od początku do końca.

Zaimportowane wywołania Windows API ujawniają zamiary. Sekwencja VirtualAlloc, następnie WriteProcessMemory, a potem CreateRemoteThread to klasyczny ciąg wstrzykiwania do procesu.

Rozpoznawanie takich wzorców jest kluczowym elementem analizy wstecznej złośliwego oprogramowania.

Dezasemblery udostępniają widok grafu przedstawiający podstawowe bloki i łączące je rozgałęzienia. Pozwala to zwizualizować przepływ sterowania funkcji, dzięki czemu łatwo śledzić pętle i instrukcje warunkowe.

W przypadku złożonej logiki jest to znacznie czytelniejsze niż liniowa lista instrukcji.

Dezasemblacja statyczna dobrze współpracuje z debuggerem. Gdy kod jest zaciemniony lub samomodyfikujący się, można ustawić pułapki i wykonywać go krokowo w czasie działania, aby zobaczyć rzeczywiste instrukcje.

To połączenie z analizą dynamiczną ma kluczowe znaczenie w przypadku spakowanych próbek, którym poświęcona jest następna lekcja.

W miarę poznawania funkcji i zmiennych należy je przemianowywać oraz dodawać komentarze w dezasemblerze. Zamiana sub_401000 na decrypt_config znacznie ułatwia dalszą analizę.

To stopniowe opisywanie elementów pozwala analitykom krok po kroku odtwarzać pełną logikę próbki złośliwego oprogramowania.

Proszę przypomnieć sobie różnicę między dwoma głównymi wynikami działania Ghidra.

Znają już Państwo podstawy dezasemblacji:

• Dezasemblacja daje kod asemblera, a dekompilacja — pseudokod.
• Ghidra (bezpłatna) i IDA Pro to główne narzędzia.
• Do poruszania się po kodzie na podstawie zachowania należy używać odwołań krzyżowych oraz wzorców wywołań API, takich jak ciągi wstrzykiwania.
• Widok grafu wizualizuje przepływ sterowania; w przypadku zaciemnionego kodu warto połączyć go z debuggerem.

W następnej części pokonają Państwo packery za pomocą rozpakowywania.