Tekrar hoş geldiniz.
Bu derste, yeni keşfedilen paketten çıkarılmış dosyanın dökümünü yapacağız.
Bunu yapmak için Scylla adlı bir eklenti kullanabiliriz.
Eklentiler, Scylla'ya tıklayalım ve burada orijinal giriş noktasını zaten tanımladı
ve sonra tek yapmamız gereken IAT Otomatik Arama'ya tıklamak ve burada Evet'i seçmek.
Ve IAT tablosunu buldu.
Tamam'a
tıklayın.
Yani tüm fonksiyonlar için tüm ithalatları içeren bir tablodur.
Programın normal şekilde çalışabilmesi için buna ihtiyacımız var.
Şimdi İthalatları Al'a tıklıyoruz ve ardından gidip kötü amaçlı yazılım tarafından kullanılan tüm ithalatları getirecek, paketten çıkarılmış
kötü amaçlı yazılım tarafından.
Şimdi onu atacağız.
Dump'a tıklayın.
Ve sonra ona bir isim verin.
Varsayılan konum Simda_dump'tır.
Kaydet'e tıklayın.
Yapmamız gereken bir sonraki şey, dökümü düzeltmektir, böylece keşfettiklerine dayanarak dökümdeki IAT tablosunu
düzeltecektir. Bu yüzden Dökümü Düzelt'e tıklayın.
Ardından daha önceki döküm dosyasını seçin ve gidip yeniden açıp düzeltecek ve yeni SCY uzantısıyla
yeni bir ad verecektir.
Böylece, yeni keşfedilen paketten çıkarılmış dosyanın dökümünü tamamladık.
Şimdi gidip dosyayı açabilir ve Ghidra'da analiz edebiliriz.
Ghidra'ya geri dönelim.
Ve sonra burada yeni dökülen dosyayı Ghidra'ya ekleyeceğiz.
Bu SCY uzantılı.
Bu yüzden onu Ghidra'ya sürüklüyoruz ve sonra onu bir PE çalıştırılabilir olarak doğru bir şekilde tanımlıyor ve Tamam'a tıklıyoruz.
Şimdi onu ithal etti.
Tamam'a tıklayın.
Ve şimdi bunu analiz edebiliriz.
Ya kod tarayıcısına sürükleyeceğiz ya da zaten açık olan kod tarayıcısını kullanacağız
ve ardından Dosya, Aç'a tıklayıp yeni içe aktarılan dosyayı seçeceğiz.
Tamam'a tıklayın.
Ve analiz etmek için onaylamanızı ister. Evet'e tıklayın.
Ve sonra burada, Derleyici Parametre Kimliğinin işaretli olduğundan emin olun.
Aşağı kaydırın ve PDB'nin işaretini kaldırın.
Buraya gelin ve Windows x86 PE Propagate
External Parameters
seçeneğini işaretleyin ve Analyze seçeneğine tıklayın.
Ardından sağ alt köşedeki durumu ve ilerlemeyi takip edin.
Bu birkaç dakika sürebilir, bu yüzden videoyu duraklatacağım ve bittiğinde geri geleceğim.
TAMAM.
Birkaç dakika sonra analizi tamamlamış olur.
Fark edeceğiniz ilk şey, çok sayıda fonksiyon olduğudur, bu yüzden başarılı bir şekilde paketten çıkardığımıza dair iyi bir
işarettir.
Ayrıca bir dize analizi yaparsanız, çok sayıda dize olacağını fark edeceksiniz.
Arama Dizeleri.
Ayrıca, bol miktarda ip bulacaksınız
ve sonra fark edeceğiniz diğer şeyler, herhangi bir ip olup olmadığını kontrol edebilirsiniz...
TAMAM.
Buradaki ithalatlara bakın.
Burada çok sayıda içe aktarma bulacaksınız ve önemli olanlardan biri de kernel32'dir.
Ve önemli API fonksiyonlarından biri olan CreateToolhelp32Snapshot'ı görebilirsiniz.
Bu, kötü amaçlı yazılım tarafından işletim sisteminizdeki tüm çalışan işlemleri listelemek için kullanılır.
Bunun amacı, bu kötü amaçlı yazılımı tersine mühendislik veya analiz etmek için herhangi bir analiz aracı kullanıp kullanmadığınızı
görmektir.
Analiz araçları kullandığınızı tespit ederse, farklı davranacak veya çalışmayı reddedecektir.
Şimdi buna tıklayabilir ve ardından işleve gidebiliriz.
Ve burada üç referans olduğunu göreceksiniz.
Bunların her birine sırayla tıklayabilirsiniz
ve ben üçüncüsünün gitmek istediğiniz yer olduğunu gördüm.
Bu yüzden üçüncüye tıkladığınızda buradaki işlevi gösterecektir.
Ve bunu CreateToolhelp32Snapshot'ın iş başında olduğunu görebilirsiniz.
Ve sonra burada, Process32First, dize karşılaştırması, Process32Next.
Yani bu, bir tür analiz aracına sahip olup olmadığını görmek için süreç listesindeki her
öğeyi gözden geçiren döngü sürecidir.
Araçlardan biri de SysInternals.
Buna tıklayın ve göreceksiniz, buradaki isme tıklayın ve hafızada göreceksiniz,
karşılaştırma yapan bu araç var.
Ve sonra aşağı kaydırırsak, diğer araçları bulacaksınız, IDA ve
daha aşağı kaydırırsanız, idaq, başka bir tane, Wireshark ve sonra dumpcap vb.
Yani bu, anti-analiz yapmaya çalıştığının bir işaretidir.
Bu yüzden onu analiz etmeye yönelik her türlü girişime direnmeye çalışıyor.
TAMAM.
Böylece devam edebilir ve kendi analizinizi yapabilirsiniz.
Burada amacımıza zaten ulaştık, yani daha gelişmiş paketleme tekniklerinden bazılarını ve
bunların üstesinden nasıl gelineceğini tanımlamanın yanı sıra paketten çıkarılan belleği analiz için ayrı dosyalara
dökmek.
Böylece bu oturumun sonuna gelmiş bulunuyoruz.
İzlediğiniz için teşekkürler.