Основы дизассемблирования

Дизассемблирование преобразует машинный код двоичного файла обратно в понятные человеку инструкции ассемблера. Оно позволяет точно прочитать, что будет выполнять CPU.

Это необходимо, когда исходный код недоступен, как всегда бывает с вредоносным ПО.

Дизассемблирование создаёт ассемблерный код. Декомпиляция идёт дальше, восстанавливая приблизительный псевдокод высокого уровня, похожий на C.

Псевдокод быстрее читать, а ассемблер точнее. Аналитики используют оба представления, переключаясь между ними по необходимости.

Ghidra — бесплатный набор инструментов с открытым исходным кодом для реверс-инжиниринга, созданный NSA. Он дизассемблирует код для многих архитектур и включает мощный декомпилятор.

Благодаря цене и возможностям это основной стартовый инструмент для большинства аналитиков.

IDA Pro — давно известный коммерческий стандарт с мощным дизассемблером и декомпилятором (при использовании расширения Hex-Rays).

Популярными альтернативами являются IDA Free и такие инструменты, как Binary Ninja и radare2/Cutter.

Вы импортируете образец в инструмент, который автоматически анализирует его: определяет функции, перекрёстные ссылки и строки.

Инструмент создаёт карту программы, по которой можно перемещаться, начиная с точки входа или интересующих импортов.

Инструкции ассемблера перемещают данные и выполняют над ними операции. Вот несколько распространённых инструкций x86:

• mov: копирование данных.
• push / pop: операции со стеком.
• call / ret: вызов и возврат из функции.
• cmp / jmp / je: сравнение и переход.

Перекрёстные ссылки (xrefs) показывают, где используется функция или строка. Поиск перекрёстных ссылок на подозрительный API, например CreateRemoteThread, сразу переводит Вас к соответствующему коду.

Это позволяет перемещаться по программе, ориентируясь на поведение, а не читать её от начала до конца.

Импортированные вызовы Windows API раскрывают назначение программы. Последовательность VirtualAlloc, затем WriteProcessMemory, а затем CreateRemoteThread — классический пример внедрения процесса.

Распознавание таких шаблонов — основа реверс-инжиниринга вредоносных программ.

Дизассемблеры предоставляют представление в виде графа, показывающее базовые блоки и переходы между ними. Это визуализирует поток управления функции, благодаря чему циклы и условные конструкции легко отслеживать.

При сложной логике такое представление гораздо удобнее для чтения, чем линейный список инструкций.

Статическая дизассемблировка хорошо сочетается с отладчиком. Если код обфусцирован или сам изменяет себя, можно установить точки останова и пошагово выполнять его во время работы, чтобы увидеть настоящие инструкции.

Эта связь с динамическим анализом особенно важна для упакованных образцов, которым посвящён следующий урок.

По мере того как Вы разбираетесь в функциях и переменных, переименовывайте их и добавляйте комментарии в дизассемблере. Преобразование sub_401000 в decrypt_config значительно упрощает дальнейший анализ.

Именно так, постепенно добавляя обозначения, аналитики шаг за шагом восстанавливают всю логику образца вредоносной программы.

Вспомните различие между двумя основными результатами работы Ghidra.

Теперь Вы понимаете основы дизассемблировки:

• Дизассемблировка выдаёт ассемблерный код, а декомпиляция — псевдокод.
• Ghidra (бесплатная) и IDA Pro — основные инструменты.
• Используйте перекрёстные ссылки и шаблоны вызовов API (например, последовательности внедрения), чтобы ориентироваться по поведению программы.
• Представление в виде графа визуализирует поток управления; для обфусцированного кода сочетайте его с отладчиком.

Далее Вы научитесь обезвреживать упаковщики с помощью распаковки.