Bentornati.
In questa lezione, effettueremo l'identificazione del file del campione di malware cinque e cercheremo
di identificare se questo Trojan è stato scritto con un packer personalizzato o meno.
Quindi iniziamo.
Dovreste averlo scaricato dalla lezione precedente nella sezione delle risorse.
Decomprimere il file.
E la password per decomprimerlo è crackinglessons. com.
Dopo averlo decompresso,
lo analizzeremo.
Vediamo di che tipo di file si tratta.
Trasciniamo il campione di malware in TrID.
TrID segnala che si tratta di un eseguibile per XP.
Successivamente, lo analizzeremo con DIE.
DIE è l'acronimo di Detect It Easy.
Fare clic sulle tre linee tratteggiate e navigare fino alla cartella sul desktop
contenente il campione di malware e aprirla.
Detect It Easy non è riuscito a rilevare alcun packer.
Facciamo clic sull'entropia.
Entropy riferisce che non è imballato.
Successivamente, lo analizzeremo con exeinfo PE.
Trascinare il campione di malware numero cinque in exeinfo
PE.
Anche Exeinfo
PE dice che non è imballato.
La prossima cosa da fare per confermare se è già impacchettato o meno è usare PE Studio.
Apriamo quindi PE Studio.
Trasciniamo
il malware in PE Studio e permettiamogli di iniziare l'analisi.
Dagli un po' di tempo.
PE Studio ha terminato l'analisi.
E facendo clic sul link principale qui, si vedrà che non c'è alcuna firma nota.
Il tipo di file è eseguibile e ha l'intestazione MZ.
Si tratta quindi di un eseguibile PE.
E se facciamo clic sulle librerie, vediamo
solo tre librerie e pochissime importazioni.
Se facciamo clic sullo IAT,
vediamo che le funzioni API importate sono pochissime: una, due, tre,
quattro, cinque, sei, sette.
Solo otto.
Si tratta quindi di una conferma positiva del fatto che questo malware è stato impacchettato.
Possiamo anche cliccare sulle sezioni qui, e possiamo trovare sezioni anomale come . 2212, 2211 e così
via.
Anche se l'entropia qui mostrata è piuttosto bassa, ciò non significa
che non sia impacchettata.
Se si fa clic sulle stringhe qui e si scorre verso il basso, si vedrà che la maggior parte di esse sono illeggibili.
Anche in questo caso, si tratta di un buon indicatore del fatto che questo malware è effettivamente confezionato.
Ora che abbiamo concluso che questo malware è effettivamente impacchettato, possiamo iniziare a indagare
in che modo è impacchettato e come disimballarlo.
Lo faremo nella prossima lezione.
Grazie per aver guardato.