Bentornati.
Ora inizieremo una nuova sessione di laboratorio per analizzare il
campione di malware numero due. Scaricate questo esempio di malware e decomprimetelo.
La password per decomprimere il file è crackinglessons. com.
Dopo la decompressione, aprite la cartella
e qui troverete il vostro campione di malware.
Come si può notare, assume l'icona di Excel e ha una doppia estensione.
L'utente occasionale non vedrà l'estensione reale perché l'impostazione predefinita di Windows sarà quella di nascondere l'estensione.
L'utente vedrà solo l'icona XLS e sarà indotto a pensare che si tratti di un file Excel.
Quindi la prima cosa da fare è analizzarla.
Noi utilizziamo TrID.
Apriremo TrID e vedremo.
Il TrID viene utilizzato per identificare il tipo di file, sia esso un file PE,
un file zip, un ELF o altro.
E si vede subito che dice 55%,
è compresso UPX.
E possiamo eseguire un altro strumento per confermarlo.
Apriamo le utility e cerchiamo exeinfo PE.
Ora lo analizziamo con exeinfo PE e ci dice che è impacchettato con UPX.
E poi ci dice anche come scompattarlo usando il comando upx -d.
Quindi, vediamo ora di disfarlo.
Copiare questo percorso qui.
Fare clic con il pulsante destro del mouse e copiare, quindi aprire il prompt dei comandi.
Quindi navigare nella cartella che contiene il malware.
Digitare cd,
spazio e poi fare
clic con il pulsante destro del mouse per incollare il percorso copiato in precedenza.
Premete Invio e la directory cambierà.
Basta digitare il comando dir per confermare che ci si trova nella directory corretta e si può vedere il
nome del malware qui. Per decomprimere il file,
si utilizza il comando suggerito da TrID.
Nel video precedente vi ho dato anche i suggerimenti su come disimballare il comando.
Quindi, date un'occhiata alle note del video precedente.
Il comando di decompressione è -d per decomprimere e -o per il nome dell'output, quindi il nome del file,
il malware stesso.
Quindi proviamo a farlo ora.
Per decomprimerlo, quindi, usiamo il comando upx.
Se si digita upx senza alcun parametro e si preme Invio, viene fornita la guida.
Quindi cancelliamo lo schermo.
Si può notare che -o è il nome del file di output
e -d è la decompressione.
Quindi ora cancelliamo lo schermo.
Sappiamo come usarlo: upx -d per decomprimere.
E qual è il nuovo nome del file che volete assegnargli?
Perciò la chiamiamo "finanza non
impacchettata". exe.
Quindi si inserisce uno spazio e si digita il nome del malware stesso.
Si tratta quindi di una riga di comando per decomprimere il malware e salvarlo in un file diverso chiamato financials _unpacked.
Dopo aver eseguito questo comando, si dovrebbe avere un nuovo file qui.
Quindi basta premere Invio.
Vedrete che il file è stato scompattato e salvato con un nuovo nome.
Questo è il nuovo file che abbiamo ottenuto.
Ora, se eseguiamo TrID sul nuovo file, proviamo a vedere.
E vedete, non c'è più la scritta UPX packed.
Invece, si ottiene un rapporto che dice che si tratta di un eseguibile Win32, Microsoft Visual C++, e poi si controlla di nuovo
con exeinfo PE, e ora si vede che il
file scompattato non dice più che è impacchettato.
Siamo quindi pronti a passare alla fase successiva dell'analisi statica.
Per questo, ci vediamo nel prossimo video.
Grazie per aver guardato.