Paket Açma

Paketleme, bir programın gerçek kodunu sıkıştırır veya şifreler ve onu küçük bir başlangıç kodu içine sarar. Başlangıç kodu, çalışma zamanında özgün kodu belleğe açar ve çalıştırır.

Kötü amaçlı yazılım yazarları, imza tabanlı tespitten kaçmak ve statik analizi zorlaştırmak için paketleme kullanır.

Paketlenmiş bir ikili dosyada az sayıda dize ve içe aktarma bulunur; entropisi yüksektir. Anlamlı kod, başlangıç kodu çalışana kadar gizlidir.

Paket açma, özgün kodu kurtarır; böylece kodu statik olarak analiz edebilir ve gerçek IOC'leri çıkarabilirsiniz.

Detect It Easy (DIE) ve PEiD gibi araçlar, bilinen paketleyicileri imzalarına göre belirler. Yüksek entropi ve küçük bir içe aktarma tablosu da güçlü ipuçlarıdır.

Yaygın paketleyiciler arasında UPX, ASPack ve Themida bulunur.

UPX, kendi aracıyla tersine mühendisliği yapılabilen yaygın ve kötü amaçlı olmayan bir paketleyicidir. -d seçeneği, ikili dosyanın sıkıştırmasını açarak onu özgün hâline döndürür.

Gerçek dünyadaki birçok örnek UPX veya biraz değiştirilmiş bir UPX kullanır; bu nedenle bu işlem sık başvurulan ilk denemedir.

Özel paketleyiciler bir araçla çözülemez. Bunun yerine başlangıç kodunun kendini bellekte açmasına izin verir, ardından sonucu yakalarsınız.

Plan şudur: örneği bir hata ayıklayıcı altında çalıştırın, paket açma tamamlandıktan hemen sonra durdurun ve artık ortaya çıkarılmış kodu dökün.

Özgün Giriş Noktası (OEP), paket açma tamamlandığında yürütmenin sıçradığı yerdir. OEP'ye ulaşılması, gerçek kodun artık bellekte olduğu anlamına gelir.

OEP'yi bulma teknikleri arasında başlangıç kodundan dışarı doğru yapılan uzak bir sıçramayı izlemek veya başlangıç kodunun yazıp ardından çalıştırdığı bellekte bir kesme noktası belirlemek bulunur.

Yaygın bir yöntem, yığında donanım kesme noktası kullanmaktır; başlangıç kodu çoğu zaman OEP'ye sıçramadan hemen önce kayıtları geri yükler. Bir başka yöntem de paket açılmış kodun kullandığı yaygın API çağrılarına kesme noktası koymaktır.

Kesme noktası OEP'de tetiklendiğinde özgün kodun kodlaması tamamen çözülmüş olur.

OEP'de süreç belleğini yeni bir dosyaya dökün. Scylla (x64dbg içine yerleşiktir) veya PE-sieve gibi araçlar, paketi açılmış görüntüyü yakalar.

Döküm artık gerçek komutları içerir; ancak henüz kendi başına çalışmayabilir.

Paketleyici, içe aktarmaları çalışma zamanında çözdüğü için döküm alındıktan sonra İçe Aktarma Adres Tablosu çoğu zaman bozulur. Scylla, dökülen dosyanın analiz edilebilmesi için IAT'yi yeniden oluşturabilir.

İçe aktarmalar düzeltildikten sonra temiz dökümü Ghidra veya IDA'ya yükleyebilirsiniz.

Paketlemenin yanı sıra kötü amaçlı yazılımlar başka kod gizleme yöntemleri de kullanır: çalışma zamanında çözülen şifreli dizeler, anlamsız komutlar, denetim akışının düzleştirilmesi ve hata ayıklamaya karşı kontroller.

Bunlar her durum için ayrı ayrı, çoğu zaman dinamik izlemeyi sabırlı bir statik okumayla birleştirerek etkisiz hâle getirilir.

Döküm alıp içe aktarmaları yeniden oluşturduktan sonra statik analizi yeniden çalıştırarak işlemin başarılı olduğunu doğrulayın: artık çok daha fazla dize ve doldurulmuş bir içe aktarma tablosu görmelisiniz.

Entropi normale dönmüş ve API'ler görünür durumdaysa paket açma başarılı olmuş, gerçek kod da analize hazır demektir.

El ile paket açma sırasında OEP'nin neyi ifade ettiğini hatırlayın.

Artık paket açmayı anlıyorsunuz:

• Paketleme gerçek kodu gizler; bunu DIE/PEiD, yüksek entropi ve az sayıda içe aktarmayla tespit edin.
• UPX gibi bilinen paketleyiciler bir araçla açılır (upx -d).
• Özel paketleyiciler için hata ayıklayıcı altında çalıştırın, OEP'yi bulun, Scylla ile dökün ve içe aktarmaları yeniden oluşturun.
• Diğer kod gizleme yöntemleri (şifreli dizeler, hata ayıklamaya karşı koruma) her durum için ayrı ayrı ele alınır.

Kötü Amaçlı Yazılımlarda Tersine Mühendislik kursunu tamamladınız.