Uppackning

Packning komprimerar eller krypterar ett programs verkliga kod och omsluter den i en liten stub. Vid körning packar stubben upp originalkoden i minnet och kör den.

Författare av skadlig kod använder packning för att undvika signaturbaserad upptäckt och försvåra statisk analys.

En packad binärfil innehåller få strängar, få importer och hög entropi. Den meningsbärande koden är dold tills stubben körs.

Uppackning återställer originalkoden så att den kan analyseras statiskt och verkliga IOC:er kan extraheras.

Verktyg som Detect It Easy (DIE) och PEiD identifierar kända packare genom signaturer. Hög entropi och en mycket liten importtabell är också starka ledtrådar.

Vanliga packare är UPX, ASPack och Themida.

UPX är en vanlig, icke-skadlig packare som kan reverseras med sitt eget verktyg. Flaggan -d dekomprimerar binärfilen till dess ursprungliga form.

Många prover i praktiken använder UPX eller en något modifierad version av UPX, så detta är ofta det första försöket.

Egna packare kan inte packas upp med ett verktyg. I stället låter man stubben packa upp sig själv i minnet och fångar sedan resultatet.

Planen är att köra provet under en debugger, stoppa direkt när uppackningen är klar och dumpa den nu synliga koden.

Den ursprungliga startpunkten (OEP) är platsen dit körningen hoppar när uppackningen är klar. Att nå OEP innebär att den verkliga koden nu finns i minnet.

Tekniker för att hitta den är bland annat att leta efter ett långt hopp ut ur stubben eller att sätta en brytpunkt på minne som stubben först skriver till och sedan kör.

Ett vanligt knep är att sätta en hårdvarubrytpunkt på stacken (stubben återställer ofta register precis innan den hoppar till OEP) eller en brytpunkt på vanliga API-anrop som den uppackade koden använder.

När brytpunkten utlöses vid OEP är originalkoden fullständigt avkodad.

Vid OEP dumpar ni processens minne till en ny fil. Verktyg som Scylla (inbyggt i x64dbg) eller PE-sieve fångar den uppackade avbildningen.

Dumpen innehåller nu de verkliga instruktionerna, men den kanske ännu inte kan köras på egen hand.

Efter dumpningen är Import Address Table ofta trasig eftersom packaren löste importer under körning. Scylla kan återskapa IAT så att den dumpade filen kan analyseras.

När importerna är korrigerade kan ni läsa in den rena dumpen i Ghidra eller IDA.

Utöver packning använder skadeprogram annan obfuskering: strängar som krypteras och avkodas under körning, skräpinstruktioner, utplattning av kontrollflödet och anti-debugging-kontroller.

Dessa tekniker besegras från fall till fall, ofta genom att kombinera dynamisk spårning med noggrann statisk analys.

Efter dumpning och återskapande av importer bör ni bekräfta att det lyckats genom att köra statisk analys igen: nu bör ni se många fler strängar och en ifylld importtabell.

Om entropin är tillbaka på normal nivå och API:er syns, lyckades uppackningen och den verkliga koden är redo att analyseras.

Ni förstår nu uppackning:

• Packning döljer den verkliga koden; identifiera den med DIE/PEiD, hög entropi och få importer.
• Kända packare som UPX packas upp med ett verktyg (upx -d).
• För egna packare kör ni under en debugger, hittar OEP, dumpar med Scylla och återskapar importer.
• Annan obfuskering (krypterade strängar, anti-debugging) hanteras från fall till fall.

Ni har slutfört kursen Reverse Engineering Malware.