Engenharia Reversa de malware

Sumário

Introdução 2
Analise Estática 3
Analise Dinâmica 4

Introdução

Técnicas de analise

Analise Estática

A análise estática descreve o processo de análise do código ou estrutura de um programa para determinar a sua função.

Utilização de ferramentas de antivírus e sites para confirmar maldade;
Usar hashes para identificar malwares;
Recolhendo informações de strings de um arquivo , funções e cabeçalhos;

Utilizamos o site http://virustotal.com ao invés de antivírus, lá tivemos uma análise confirmando a maldade do arquivo com uma taxa de detecção: 34 / 50, ou seja, 34 programas de antivírus detectaram a maldade do arquivo torrent.exe.

Utilizando o programa Strings v2.52 By Mark Russinovich exportamos as strings do executável para um TXT. A princípio ele não realiza nenhuma conexão externa porem algumas DLL legitimas estão entre as springs para conseguir alcançar seus objetivos.

Strings

188583:kernel32.dll
188596:ExitProcess
188608:user32.dll
188619:MessageBoxA
188631:wsprintfA
188641:LOADER ERROR
188654:The procedure entry point %s could not be located in the dynamic link library %s
188735:The ordinal %u could not be located in the dynamic link library %s

191432:kernel32.dll
191447:GetProcAddress
191464:GetModuleHandleA
191483:LoadLibraryA
191816:user32.dll
191827:advapi32.dll
191840:oleaut32.dll
191853:advapi32.dll
191866:version.dll
191878:gdi32.dll
191888:user32.dll
191899:oleaut32.dll
191912:ole32.dll
191922:oleaut32.dll
191935:comctl32.dll
191948:shell32.dll
191960:wininet.dll
191972:shell32.dll
192098:GetKeyboardType
192116:RegQueryValueExA
192135:SysFreeString
192151:RegSetValueExA
192168:VerQueryValueA
192185:UnrealizeObject
192203:CreateWindowExA