In questa videolezione, inizieremo a utilizzare gli strumenti di FLARE-VM.
Ecco come appare dopo aver completato l'installazione di FLARE-VM.
E qui c'è una cartella.
Se si fa clic su di esso, contiene alcuni degli strumenti.
È possibile inserire la cartella e visualizzare il collegamento.
Per eseguire questi strumenti.
Ad esempio, questo è un editor esadecimale.
Altri strumenti possono essere trovati qui facendo clic su Cerca e digitando il nome dello strumento desiderato.
Ad esempio, Ghidra è qui.
Alcuni di essi si trovano in basso.
Il debugger x64 x32 e IDA.
E così via.
La prima cosa da fare è cercare di capire cosa sono i file e i formati di file.
Un analista di malware ha a che fare con centinaia di file ogni giorno.
Tutti i file di un sistema devono essere classificati in modo che un analista possa capire il danno potenziale che
un file può arrecare al sistema.
Un analista di malware deve conoscere i vari formati di file e sapere come identificarli.
Come si visualizza un file?
Un modo è quello di utilizzare l'editor esadecimale.
HxD.
Proviamo ora a creare un file.
Ora tutto nel computer è in formato binario.
Binario significa che tutto è in bit, zeri e uno.
Quindi ogni file del sistema operativo è composto da zeri e uno.
Questi zeri e questi uno possono essere visualizzati negli editor esadecimali e in altri programmi.
Così possiamo, ad esempio, creare un file.
Proviamo ora a creare un file, un file di testo e chiamiamolo.
Salve.
E poi qui, saluta il mondo.
E salvarlo.
Se apriamo questo file con Notepad o con un qualsiasi editor di testo, il programma stesso interpreterà questi binari
come un significato.
Ad esempio, questi vengono interpretati come i caratteri H E, L, L, O e così via.
Possiamo anche utilizzare gli editor esadecimali.
Ad esempio, se trascino questo in HxD, posso vedere la stessa cosa, ma questa volta ottengo più informazioni.
Posso vedere i file binari, il binario stesso è raggruppato in byte.
Quindi e sono indicati con la notazione esadecimale.
E posso vedere che 68 esadecimale è la lettera H.
E 65 in esadecimale è la lettera E e così via.
E questo è il modo in cui si può visualizzare.
Visualizzare i file.
Da qui è evidente che si tratta di un file di testo.
Come si può chiaramente vedere il testo.
Questi strumenti sono chiamati editor esadecimali.
Permettono di visualizzare il formato grezzo di un file raggruppando i binari, gli uni e gli
zeri in gruppi di byte.
Ogni byte è rappresentato in esadecimale come segue.
Un altro strumento utile è TrID, che può essere utilizzato per identificare il tipo di file; è possibile scaricarlo
dalla sezione Risorse di questa lezione.
Basta decomprimere il file e inserirlo nell'unità C come 05-trid e 06-tridnet. 05-trid è la versione a riga di comando 06-tridnet è la
versione GUI.
Dopo averla inserita qui, fare clic con il pulsante destro del mouse su tridnet.
Trascinatela sul desktop e rilasciate Crea collegamento qui, in modo da avere un'icona TrID qui.
Assicuratevi di decomprimere anche il file di definizione, perché utilizza i file di definizione per identificare
i tipi di file.
Per usarlo, basta aprirlo e poi si può inserire il file che si desidera scansionare trascinandolo qui, come in questo
caso.
E qui è necessario specificare la posizione del file di definizione.
Selezionare la cartella e lasciare che il file venga scansionato al termine della scansione del file di definizione.
È possibile analizzare l'obiettivo, basta fare clic su questo e l'analisi mostrerà la percentuale di corrispondenza.
Ad esempio, 83. 8%.
Si tratta di un pannello di controllo di Windows.
Il file generico 7% è un file EXE. 5% è un eseguibile di Windows 64 e così via.
Quindi, da qui saprete il tipo di file e non dovrete fare affidamento sull'estensione o sull'icona
falsa che vedete.
Questi sono alcuni degli strumenti di base per determinare i tipi di file in Windows.
Questo è tutto per questa lezione.
Ci vediamo alla prossima.
Grazie per aver guardato.