Hola y bienvenidos de nuevo.
En este vídeo, vamos a iniciarnos en el análisis del malware.
Muestra número tres, también conocida como Troyano Lokibot.
Una vez descargado el archivo de la sección de recursos, descomprímelo.
Extraer a la carpeta malware sample three.
La contraseña es crackinglessons. com.
Entonces tendrá una carpeta que contiene el malware.
Se renombra con el símbolo . bin en lugar de la extensión . exe para protegerle de clics accidentales.
Abre PEiD.
Analízalo.
Y aquí verás que dice UPX.
Así que no podemos obtener mucha información de aquí.
Así que ahora intentaremos analizarlo con EXE.
Ir a utilidades. Utilizaremos EXEinfo PE.
Y lo ha detectado como un programa AutoIt. Y AutoIt es una herramienta
para crear automatizaciones.
No se trata de malware en sí.
Es una herramienta bastante popular, pero
también la utilizan algunos autores de malware para crear programas maliciosos.
Así que puedes buscarlo en Google para saber más sobre él.
Si lo busca, encontrará este enlace aquí.
AutoIt script. Es un lenguaje de programación gratuito escrito en BASIC.
Una vez que el programador ha creado un script, puede convertirlo en un archivo . exe.
Así que esto es lo que hay.
Un autor de malware que escribe su script y luego lo convertirá en un archivo . exe.
Así que esto es lo que estamos viendo aquí.
Así EXEinfo PE también muy útil sugiere cómo se puede descompilar esto mediante el uso de la herramienta EXE2Aut.
Ahora, si abrimos la carpeta FLARE y vamos a utilidades y ejecutamos PEStudio, podemos ver alguna información adicional.
Así que arrastramos el malware a PEStudio.
Y analiza el archivo.
Y puedes ver que VirusTotal ha detectado que 55 de 72 antivirus lo han
detectado como malware. Troyano.
Pícaro en la autoridad.
Troyano-Espía.
Win32. Loki.
Si vas aquí, verás esto en rojo.
Haz clic en él.
Y lo ha detectado como un troyano AutoIT.
El script en sí se encuentra en la sección de recursos bajo datos.
Así que esta es la ubicación, el desplazamiento dentro de los recursos donde se encuentra el script AutoIt.
Así que básicamente estamos viendo un intérprete, un Auto intérprete, y dentro del propio intérprete hay una sección
de recursos que contiene el propio script.
Así es como funciona.
Así que en realidad podemos descomprimirlo utilizando la herramienta sugerida por EXEinfo PE, que es la herramienta EXE2Aut.
Así que ya podemos ejecutar la herramienta EXE2Aut desde la carpeta de utilidades FLARE.
Busca la herramienta llamada
EXE 2Aut.
Así que esto es compilado de AutoIt a EXE.
Así que ahora lo estamos
invirtiendo, EXE a AutoIt.
Así que originalmente estaba en AutoIt script, pero el escritor lo convirtió en un . exe.
Así que con esto usamos esto para descompilar.
Así que ejecutamos
esto, ahora EXE2Aut.
Así que lee la advertencia aquí.
Soltar archivos AutoIt modificados o no modificados en EXE2Aut podría resultar en la ejecución, así que ten
cuidado.
Haz clic
en OK.
Así que ahora tomamos esto y lo soltamos en el descompilador.
Y verá que se ha generado un nuevo archivo con la extensión . extensión au3.
Este archivo es el script en sí, que ha sido extraído
del malware.
Así que puedes abrir esto o puedes leerlo desde aquí, el propio
script.
Y está escrito en VBS,
VBScript.
Así que es en texto plano, pero hay un montón de ofuscación, como se puede ver.
La ofuscación es una técnica que consiste en ocultar el código previsto de forma que dificulte a los analistas
la comprensión de lo que ocurre.
También puede ver este . au3 haciendo clic con el botón derecho y abriéndolo con Sublime Text o cualquier editor
de texto de su elección.
Intentemos abrirlo con
VS Code, Visual Studio Code. En Visual Studio Code, puede ver
el archivo y desplazarse hacia abajo.
Un guión bastante largo y en su mayor parte ofuscado con muchas cadenas dispersas.
Se puede ver
todo ofuscado.
Si sigue bajando, llegará a otro archivo empaquetado.
Así que puedes ver aquí la variable J es un archivo empaquetado, encriptado,
como puedes ver.
Así que lo que está haciendo es crear un código shell largo.
Lo llamamos shellcode.
Así que shellcode es donde el código está cifrado o codificado de modo que usted no será capaz de leerlo.
Pero puede ejecutarse cuando se carga en la memoria.
Y aquí está, simplemente añadiendo en una gran cadena.
Así que está utilizando este operador
append.
Crea la primera cadena en la variable J y luego sigue añadiendo nuevas cadenas a la variable
original. Este es el significado
de J es igual a J y.
Así que anexa todos estos en un shellcode enorme, como se puede ver en la columna de la derecha aquí.
Es muy largo.
De acuerdo.
Así que esta es la carga útil de la segunda etapa.
La carga útil de la primera etapa era el script Auto, que se incrustaba en la sección de recursos.
Hemos conseguido desempaquetarlo utilizando el descompilador EXE2Aut y hemos conseguido descompilarlo.
Así que hemos superado la primera etapa y ahora ésta es la segunda.
Dentro del propio script,
hay una segunda carga útil, que es este archivo de aquí, este shellcode cifrado o codificado.
Así que para dar sentido a todas estas cosas, tenemos que dejar que este script se ejecute.
Y luego, cuando se está ejecutando, tenemos que volcar la memoria donde esta parte se desempaqueta.
Así que para saber cómo hacerlo, necesitaremos utilizar depuradores y también el desensamblador.
Así que en los próximos vídeos, os mostraré cómo hacerlo usando el desensamblador Ghidra y también el depurador
x64dbg.
Así que nos vemos en la próxima lección.
Gracias por vernos.