Ciao e bentornato.
In questa nuova sezione, vi proporrò un esercizio di laboratorio.
Questo video contiene le istruzioni per il campione di malware due.
Scaricate quindi il campione di malware 2 dalla sezione delle risorse di questa lezione e copiatelo nella vostra macchina
virtuale.
La password per decomprimere il file è, come al solito, crackinglessons.
com.
Quindi la parola d'ordine per la decompressione è lezioni di
cracking. com.
Quindi, dopo aver decompresso,
provatelo da soli prima di vedere il prossimo video.
Utilizzate prima lo strumento corretto per eseguire l'analisi statica.
Vi accorgerete che è strapieno.
È possibile
utilizzare exeinfo PE.
Vi mostrerà se è imballato o meno.
Inoltre, è possibile utilizzare PE Studio o CFF Explorer ed esaminare la tabella IAT per vedere quante funzioni sono importate.
Dal numero di funzioni, si noterà che le funzioni importate sono molto, molto poche,
e questo è un segnale rosso che indica che il malware è stato impacchettato.
Quindi l'exeinfo PE fornisce anche un'indicazione sul packer utilizzato.
Quindi scoprirete che è pieno di UPX.
Quindi, se si sospetta che si tratti di UPX, è possibile decomprimerlo utilizzando anche UPX.
La macchina virtuale FLARE VM è dotata di UPX.
È quindi sufficiente aprire un prompt dei comandi CMD e digitare questo comando.
Naturalmente, è necessario accedere prima alla cartella che contiene il malware.
E poi, supponendo che il nome del malware si chiami Nome_originale. exe, quindi è necessario decomprimerlo e assegnargli un nuovo
nome.
Supponendo che questo sia il nuovo nome
che gli darete
dopo la decompressione, questo è il comando: upx space -d per la decompressione e poi -o nome del file di output, New_Name.
Spazio Nome_originale.
Quindi, dopo la decompressione, troverete un nuovo file nella cartella chiamato New_Name, o qualsiasi
altro nome gli abbiate dato, e potrete utilizzare questo exe decompresso per l'analisi statica e per l'analisi dinamica.
Come al solito, si tratta di malware in tempo reale, quindi fate attenzione.
Assicuratevi di eseguirlo nella macchina virtuale e di non fare accidentalmente clic su di esso nella macchina host e di decomprimerlo
solo nella macchina virtuale.
Non decomprimere il file nel computer host.
Si tratta di una precauzione aggiuntiva per la sicurezza in caso di esecuzione accidentale.
Se necessario, è possibile impostare la rete della macchina virtuale in modalità solo host.
Pertanto, se si esegue questa operazione in un ambiente d'ufficio o in una rete locale sul posto di lavoro, si
potrebbe non voler infettare l'azienda.
Comunque, non si tratta di un verme, quindi non preoccupatevi.
Non trasmetterà se stesso attraverso la
rete, anche se non è stato impostato in modalità VM host-only.
Ma se in futuro state analizzando un malware sconosciuto, potreste voler adottare
queste misure aggiuntive per proteggervi dai worm.
Quindi, ok, vi lascio andare a fare l'esercizio e ci vediamo alla prossima.
E sforzatevi di provare da soli prima di guardare gli altri video su come lo faccio.
Grazie per aver guardato.
Ci vediamo alla prossima e buona fortuna.