การแกะแพ็ก

การแพ็กจะบีบอัดหรือเข้ารหัสโค้ดจริงของโปรแกรม แล้วห่อไว้ในส่วนต้นขนาดเล็ก เมื่อทำงาน ส่วนต้นนี้จะคลายแพ็กโค้ดต้นฉบับลงในหน่วยความจำและเรียกใช้

ผู้สร้างมัลแวร์ใช้การแพ็กเพื่อหลบเลี่ยงลายเซ็นและทำให้การวิเคราะห์แบบสถิตทำได้ยาก

ไบนารีที่ถูกแพ็กมักมีสตริงน้อย การนำเข้าน้อย และเอนโทรปีสูง โค้ดที่มีความหมายจะถูกซ่อนไว้จนกว่าส่วนต้นจะทำงาน

การคลายแพ็กจะกู้คืนโค้ดต้นฉบับ เพื่อให้คุณวิเคราะห์แบบสถิตและดึง IOC ที่แท้จริงออกมาได้

เครื่องมืออย่าง Detect It Easy (DIE) และ PEiD ระบุตัวแพ็กที่รู้จักได้จากลายเซ็น เอนโทรปีสูงและตารางการนำเข้าขนาดเล็กก็เป็นเบาะแสสำคัญเช่นกัน

ตัวแพ็กที่พบได้บ่อย ได้แก่ UPX, ASPack และ Themida

UPX เป็นตัวแพ็กที่พบได้ทั่วไปและไม่เป็นอันตราย ซึ่งสามารถย้อนกลับได้ด้วยเครื่องมือของตัวเอง ตัวเลือก -d จะคลายการบีบอัดไบนารีกลับเป็นรูปแบบเดิม

ตัวอย่างจากโลกจริงจำนวนมากใช้ UPX หรือ UPX ที่ถูกดัดแปลงเล็กน้อย ดังนั้นนี่จึงมักเป็นความพยายามแรก

ตัวแพ็กแบบกำหนดเองไม่สามารถย้อนกลับได้ด้วยเครื่องมือสำเร็จรูป แต่คุณสามารถปล่อยให้ส่วนต้นคลายแพ็กตัวเองในหน่วยความจำ แล้วเก็บผลลัพธ์ไว้

แผนการคือ เรียกใช้ตัวอย่างภายใต้เครื่องมือดีบัก หยุดทันทีหลังการคลายแพ็กเสร็จสิ้น แล้วดัมป์โค้ดที่ถูกเปิดเผยออกมา

จุดเริ่มต้นเดิม (OEP) คือจุดที่การทำงานกระโดดไปเมื่อการคลายแพ็กเสร็จสิ้น การไปถึง OEP หมายความว่าโค้ดจริงอยู่ในหน่วยความจำแล้ว

เทคนิคการค้นหา OEP ได้แก่ การเฝ้าดูการกระโดดระยะไกลออกจากส่วนต้น หรือตั้งจุดหยุดบนหน่วยความจำที่ส่วนต้นเขียนแล้วเรียกใช้

เทคนิคที่ใช้กันทั่วไปคือการตั้งจุดหยุดฮาร์ดแวร์บนสแตก (ส่วนต้นมักกู้คืนรีจิสเตอร์ก่อนกระโดดไปยัง OEP) หรือตั้งจุดหยุดที่การเรียกใช้ API ทั่วไปซึ่งโค้ดที่คลายแพ็กแล้วใช้

เมื่อจุดหยุดทำงานที่ OEP โค้ดต้นฉบับจะถูกถอดรหัสอย่างสมบูรณ์

เมื่ออยู่ที่ OEP ให้ดัมป์หน่วยความจำของโพรเซสลงในไฟล์ใหม่ เครื่องมืออย่าง Scylla (ที่มีอยู่ใน x64dbg) หรือ PE-sieve จะเก็บอิมเมจที่คลายแพ็กแล้ว

ดัมป์นี้มีคำสั่งจริงอยู่แล้ว แต่ในตอนนี้อาจยังทำงานได้ด้วยตัวเองไม่ได้

หลังการดัมป์ ตารางที่อยู่การนำเข้า มักเสียหาย เพราะตัวแพ็กแก้ไขการนำเข้าขณะทำงาน Scylla สามารถสร้าง IAT ใหม่ เพื่อให้วิเคราะห์ไฟล์ที่ดัมป์ได้

เมื่อแก้ไขการนำเข้าเรียบร้อยแล้ว คุณสามารถโหลดดัมป์ที่สะอาดเข้าสู่ Ghidra หรือ IDA ได้

นอกเหนือจากการแพ็กแล้ว มัลแวร์ยังใช้การทำให้อ่านยากรูปแบบอื่น เช่น สตริงที่เข้ารหัสและถอดรหัสขณะทำงาน คำสั่งขยะ การทำให้ลำดับการควบคุมแบนราบ และการตรวจจับการดีบัก

วิธีจัดการสิ่งเหล่านี้ต้องพิจารณาเป็นกรณี ๆ ไป โดยมักผสานการติดตามแบบไดนามิกกับการอ่านโค้ดแบบสถิติอย่างอดทน

หลังจากดัมป์และสร้างการนำเข้าใหม่แล้ว ให้ยืนยันความสำเร็จด้วยการวิเคราะห์แบบสถิติอีกครั้ง โดยควรพบสตริงและตารางการนำเข้าที่มีข้อมูลมากขึ้น

หากเอนโทรปีกลับมาอยู่ในระดับปกติและมองเห็น API ได้ แสดงว่าการคลายแพ็กสำเร็จ และโค้ดจริงพร้อมสำหรับการวิเคราะห์

ทบทวนว่า OEP บ่งบอกอะไรระหว่างการคลายแพ็กด้วยตนเอง

ขณะนี้คุณเข้าใจการคลายแพ็กแล้ว:

• การแพ็กซ่อนโค้ดจริง ตรวจจับได้ด้วย DIE/PEiD เอนโทรปีสูง และการนำเข้าจำนวนน้อย
• ตัวแพ็กที่รู้จัก เช่น UPX สามารถคลายแพ็กด้วยเครื่องมือ (upx -d)
• สำหรับตัวแพ็กแบบกำหนดเอง ให้เรียกใช้ภายใต้เครื่องมือดีบัก ค้นหา OEP ดัมป์ด้วย Scylla และสร้างการนำเข้าใหม่
• การทำให้อ่านยากรูปแบบอื่น (สตริงที่เข้ารหัส การป้องกันการดีบัก) ต้องจัดการเป็นกรณี ๆ ไป

คุณเรียนจบหลักสูตรวิศวกรรมย้อนกลับมัลแวร์แล้ว