Hola y bienvenidos de nuevo.
En esta sesión, vamos a hacer el análisis de archivos, así como la detección de packer.
En la sesión anterior, ya te proporcioné este archivo para que lo descargues de la sección Recursos.
Así que desempaquétalo, descomprímelo.
La contraseña es crackinglessons. com. com.
Y luego abre la carpeta.
Y este es un ransomware de
la vida real, TeslaCrypt ransomware.
Así que ahora vamos a analizarlo.
TrID. NET para ver el tipo de archivo.
Y el tipo de archivo es EXE o DLL.
Así que es un ejecutable de Windows.
A continuación, intentaremos detectar si hay algún empaquetador.
Así que vamos a nuestra carpeta Utilidades, y abrimos Detect It Easy.
A continuación, utilizamos Detect It Easy para abrir nuestro malware.
Y no detectó ningún empaquetador.
Pero eso no significa que no haya empaquetadores.
La otra cosa es la entropía.
Puedes hacer clic ahí,
y te dice que está lleno, al 95%.
Así que son 7. 6 entropía.
La entropía es una medida de la uniformidad con la que se distribuyen los bits en el archivo.
Por tanto, si la entropía es uniforme y se distribuye realmente al azar, no es natural.
Significa que se trata de un archivo cifrado o codificado.
Los archivos normales no serán tan aleatorios en cuanto a la distribución de los bits.
Este es el significado de la entropía.
La entropía máxima es 8. 0.
Cualquier cosa por encima de siete suele estar abarrotada.
Los archivos descomprimidos normales tendrán una entropía de entre 5 y 6, o quizá algo superior.
Así que como puedes ver, aunque el empaquetador no se detecta
todavía, la entropía es muy alta, 7. 6%.
A continuación,
podemos utilizar Exeinfo PE para analizar este archivo.
Y dice PE desconocido,
y tampoco detecta si hay algún empaquetador.
Así que nuestra primera pista de que
está empaquetado vino de la entropía de Detectarlo Fácil, alta entropía.
De acuerdo.
Lo siguiente que haremos será analizar este archivo con PEStudio.
Así que en PEStudio, vamos a abrirlo. Ahora con PEStudio, vamos a dejar que analice el archivo
primero y haga clic en el archivo principal aquí.
Y aquí verás que la firma no está disponible.
No sabe qué archivo es ni si está empaquetado.
Y entonces puedes ver que la descripción es Nano App.
El tipo de archivo es ejecutable.
Así que esperemos a que complete el análisis.
Como puede ver, esperando aquí.
Ahora el análisis ha concluido y podemos ir a ver las bibliotecas.
Hay cuatro bibliotecas, pero muy pocas importaciones, lo que no es natural.
Vamos a las importaciones, la Tabla de Direcciones de Importación,
y usted puede ver aquí sólo uno, dos, tres, cuatro, cinco, seis APIs.
Un programa normal tendrá más que esto, mucho más que esto tal vez 60, 80, 100 APIs.
Pero éste sólo tiene seis APIs que provienen de estas bibliotecas.
Así que esto es una indicación definitiva de que está lleno.
A continuación, puedes ir a
ver las secciones.
Y por aquí
puedes ver secciones de aspecto muy sospechoso: para,. CRT, . erloc.
Y si nos fijamos
en las secciones
de aquí, la entropía es muy alta: 7. 6, la entropía también
es muy alta, 7.
883.
Así que otro indicio que sugiere que está lleno.
Echa un vistazo
a las cadenas, y aquí puedes ver algunas de las APIs
mencionadas en las
cadenas.
Desplacémonos hacia abajo
y veamos qué más tenemos.
Bueno, no mucho.
Puedes ver que la mayoría de las cadenas son como caracteres basura.
Otro indicio de que probablemente esté lleno.
Así que a partir de aquí, más o menos se puede concluir
con muy alta probabilidad de que este malware está empaquetado.
Así que con eso, vamos a detener esta sesión de vídeo aquí, y ahora podemos saber qué hacer.
El siguiente paso será intentar desempaquetar este malware. Al tratarse de
un empaquetador a medida, no podemos utilizar ninguno de los desempaquetadores ya preparados disponibles en Internet.
Así que tenemos que descomprimirlo manualmente.
Así que para eso, nos vemos en el próximo vídeo.
Gracias por vernos.