Hola y bienvenidos de nuevo.
En este vídeo, vamos a analizar nuestro archivo desempaquetado volcado utilizando Ghidra.
Empecemos con Ghidra.
Busca Ghidra y enciéndelo.
Cerremos esto.
Crearemos un nuevo proyecto: Archivo > Nuevo proyecto, No compartido.
Haga clic en Siguiente y navegue hasta el directorio del proyecto en el escritorio.
Bien, usaremos este.
Y le damos un nombre: malware_sample_4.
A continuación, arrastraremos el malware volcado a la carpeta para importarlo.
Ghidra lo ha identificado correctamente como un ejecutable PE, x86, 32 bits.
Haga clic en Aceptar.
De acuerdo.
Ha importado el archivo.
Ahora haz clic
en Aceptar.
De acuerdo. Como dice
aquí, Ghidra se está inicializando.
Y ahora vamos a empezar el análisis.
Así que sólo tenemos que arrastrar el archivo al CodeBrowser
para iniciar el análisis.
Nos pregunta si queremos analizar. Sí.
Y aquí hay una lista de analizadores.
Así que asegúrese de que el ID de parámetro del descompilador está marcado.
Desplácese hacia abajo y compruebe en Windows x86 PE Exception
Handling.
Y para la PDB, no hace
falta.
Haga clic en Analizar
y, a continuación, observe el progreso en la esquina inferior derecha.
Esto llevará unos minutos, así que pondré el vídeo en pausa y volveré cuando haya terminado.
Finalmente, al cabo de unos minutos, Ghidra ha terminado el análisis.
Echemos un vistazo al punto de entrada y a las funciones.
Así que si quieres una forma más rápida, puedes ir a Exportaciones y buscar la función de entrada.
Así que haga doble clic en este y usted va directamente al punto de entrada.
Y ahora ves aquí el punto de entrada.
Tiene __security_init_cookie, que se encuentra comúnmente en los programas PE de Windows, seguido de un salto.
Así que si nos fijamos en la función de entrada aquí, desplácese hacia abajo, y aquí abajo verá wwincmdln, que parece
una función de variable de entorno, y poco después de que usted consigue esta función en el desplazamiento
FUN_0041efc0.
Luego, poco después, tienes una salida.
Así que esta podría ser la firma para WinMain.
Y sabemos que es un programa GUI por análisis anteriores,
así que tiene una firma específica.
Podemos abrir MSDN y echar un vistazo a la firma WinMain.
Así que vamos a abrir el navegador y nos dirigimos a MSDN para la firma WinMain. Escriba "MSDN WinMain. Y echa un vistazo a este segundo
resultado.
Y esta es la firma WinMain.
Así que podemos copiar esto.
Recibido.
No copies el punto y coma, y luego vuelve a Ghidra.
Y luego este, podemos hacer doble clic para entrar en la función.
Así que ahora podemos editar la firma.
Hagámoslo ahora.
Haga clic con el botón
derecho del ratón, Editar firma de función.
Este.
Así que lo pegamos aquí y luego quitamos el prefijo WINAPI aquí.
Y, a continuación, haga clic
en Aceptar.
Ahora, para esto, tenemos que especificar LPSTR, puntero
a cadena, cadena de Windows.
Y actualizará la firma en consecuencia, como puedes
ver.
Así que este es el WinMain.
Así que cada programa GUI en Windows tendrá un WinMain, y puedes ver que esta es
la función WinMain donde todos los programas de Windows comenzarán a ejecutarse.
Y aquí hay un montón de funciones interesantes.
DeleteFile, GetVersion, etc. Así que puedes pasar mucho tiempo analizando este código descomprimido.
CreateThread aquí.
Así que este malware está creando hilos adicionales, y así sucesivamente.
De acuerdo.
Así que te dejo el análisis a ti.
Así que el objetivo de esta sección era mostrarle cómo detectar los empaquetadores personalizados y luego cómo encontrar la memoria
correcta para volcar.
Ahora también sabes cómo abrirlo e identificar el WinMain.
Así pues, hemos llegado al final de esta sección, y os dejo que hagáis vuestro propio análisis con
Ghidra.
Así que gracias por vernos.