Fundamentos da desmontagem

A desmontagem converte o código de máquina de um binário novamente em instruções de montagem legíveis por humanos. Ela permite ler exatamente o que a CPU executará.

Isso é essencial quando o código-fonte não está disponível, como sempre ocorre com malware.

A desmontagem produz código de montagem. A descompilação vai além, reconstruindo um pseudocódigo aproximado de alto nível semelhante a C.

O pseudocódigo é mais rápido de ler; a montagem é precisa. Os analistas usam ambos, alternando conforme necessário.

O Ghidra é um conjunto gratuito e de código aberto para engenharia reversa, desenvolvido pela NSA. Ele desmonta várias arquiteturas e inclui um descompilador robusto.

Seu preço e seus recursos fazem dele a ferramenta inicial preferida da maioria dos analistas.

O IDA Pro é o padrão comercial tradicional, conhecido por seu poderoso desmontador e pelo descompilador incluído no plug-in Hex-Rays.

O IDA Free e outras ferramentas, como Binary Ninja e radare2/Cutter, são alternativas populares.

Você importa a amostra para a ferramenta, que a analisa automaticamente: identificando funções, referências cruzadas e strings.

A ferramenta cria um mapa do programa pelo qual você pode navegar, começando pelo ponto de entrada ou por importações interessantes.

As instruções de montagem movem e operam sobre dados. Veja algumas instruções x86 comuns:

• mov: copia dados.
• push / pop: operações da pilha.
• call / ret: chamada e retorno de função.
• cmp / jmp / je: comparação e desvio.

As referências cruzadas (xrefs) mostram onde uma função ou string é usada. Encontrar xrefs para uma API suspeita, como CreateRemoteThread, leva você diretamente ao código relevante.

Isso permite navegar pelo comportamento, em vez de ler o código de cima a baixo.

As chamadas importadas da API do Windows revelam a intenção. Ver VirtualAlloc, depois WriteProcessMemory e então CreateRemoteThread corresponde a uma sequência clássica de injeção de processos.

Reconhecer esses padrões é o cerne da engenharia reversa de malware.

Os desmontadores oferecem uma visualização em grafo que mostra blocos básicos e os desvios entre eles. Isso representa visualmente o fluxo de controle de uma função, facilitando o acompanhamento de loops e condicionais.

Para lógicas complexas, é muito mais legível do que uma listagem linear de instruções.

A desmontagem estática combina bem com um depurador. Quando o código está ofuscado ou se modifica sozinho, pode definir pontos de interrupção e percorrê-lo durante a execução para ver as instruções reais.

Essa ligação com a análise dinâmica é crucial para amostras empacotadas, que serão abordadas na próxima lição.

À medida que compreender as funções e as variáveis, renomeie-as e adicione comentários no desmontador. Transformar sub_401000 em decrypt_config torna o restante da análise muito mais fácil.

Essa rotulagem incremental é como os analistas reconstroem gradualmente toda a lógica de uma amostra de malware.

Relembre a diferença entre as duas principais saídas do Ghidra.

Agora você entende os conceitos básicos da desmontagem:

• A desmontagem produz assembly; a descompilação produz pseudocódigo.
• Ghidra (gratuito) e IDA Pro são as principais ferramentas.
• Use referências cruzadas e padrões de chamadas de API (como sequências de injeção) para navegar pelo comportamento.
• A visualização em grafo representa o fluxo de controle; combine-a com um depurador para código ofuscado.

Em seguida, você derrotará empacotadores com o desempacotamento.