Распаковка

Упаковка сжимает или шифрует настоящий код программы и помещает его в небольшую распаковочную оболочку. Во время работы оболочка распаковывает исходный код в памяти и запускает его.

Авторы вредоносных программ используют упаковку, чтобы обходить сигнатуры и затруднять статический анализ.

В упакованном двоичном файле мало строк, мало импортов и высокая энтропия. Значимый код скрыт до запуска оболочки.

Распаковка восстанавливает исходный код, чтобы Вы могли проанализировать его статически и извлечь настоящие IOC.

Такие инструменты, как Detect It Easy (DIE) и PEiD, распознают известные упаковщики по сигнатуре. Высокая энтропия и очень маленькая таблица импорта также являются важными признаками.

К распространённым упаковщикам относятся UPX, ASPack и Themida.

UPX — распространённый безопасный упаковщик, который можно обратить с помощью собственного инструмента. Флаг -d распаковывает двоичный файл, возвращая его к исходному виду.

Во многих реальных образцах используется UPX или слегка изменённая версия UPX, поэтому это часто первая попытка распаковки.

Пользовательские упаковщики нельзя распаковать одним инструментом. Вместо этого нужно позволить оболочке распаковать себя в памяти, а затем перехватить результат.

План таков: запустить образец под отладчиком, остановиться сразу после завершения распаковки и выгрузить уже раскрытый код.

Исходная точка входа (OEP) — это место, куда передаётся управление после завершения распаковки. Достижение OEP означает, что настоящий код уже находится в памяти.

Для её поиска можно отслеживать дальний переход из оболочки или установить точку останова на область памяти, в которую оболочка записывает данные, а затем передаёт ей управление.

Распространённый приём — установить аппаратную точку останова на стек (оболочка часто восстанавливает регистры прямо перед переходом к OEP) или точку останова на распространённые вызовы API, используемые распакованным кодом.

Когда точка останова срабатывает в OEP, исходный код полностью декодирован.

В OEP выгрузите содержимое памяти процесса в новый файл. Такие инструменты, как Scylla (встроенная в x64dbg) или PE-sieve, сохраняют распакованный образ.

Теперь выгрузка содержит настоящие инструкции, но, возможно, ещё не запускается самостоятельно.

После выгрузки таблица адресов импорта часто оказывается повреждена, поскольку упаковщик разрешал импорты во время работы. Scylla может восстановить IAT, чтобы выгруженный файл можно было анализировать.

После исправления импортов можно загрузить очищенную выгрузку в Ghidra или IDA.

Помимо упаковки, вредоносные программы используют и другие виды обфускации: строки, расшифровываемые во время работы, мусорные инструкции, выравнивание потока управления и проверки на наличие отладчика.

С ними борются по отдельности, часто сочетая динамическое трассирование с внимательным статическим чтением.

После выгрузки и восстановления импортов подтвердите успех, повторно выполнив статический анализ: теперь Вы должны увидеть гораздо больше строк и заполненную таблицу импорта.

Если энтропия вернулась к нормальному уровню и API видимы, распаковка прошла успешно, и настоящий код готов к анализу.

Теперь Вы понимаете, как выполняется распаковка:

• Упаковка скрывает настоящий код; её можно обнаружить с помощью DIE/PEiD, высокой энтропии и малого числа импортов.
• Известные упаковщики, такие как UPX, распаковываются инструментом (upx -d).
• Для пользовательских упаковщиков запустите образец под отладчиком, найдите OEP, выполните выгрузку с помощью Scylla и восстановите импорты.
• С другими видами обфускации (зашифрованными строками, защитой от отладки) работают по отдельности.

Вы завершили курс по реверс-инжинирингу вредоносных программ.