Palestra 2: Técnicas de ofuscação de malware em Windows

[Guest Thiago M]

Muito obrigado a todos que assistiram minha apresentação hoje, espero que possa ajudar a todos que tenham interesse no assunto.

Conforme comentei na apresentação, estou compartilhando aqui os arquivos analisados assim como os IDBs comentados de todas as funções/strings desofuscadas no sample. Abaixo algumas observações sobre os conteúdos:

- Todos os scripts (incluindo os IDAPython) foram escritos utilizando Python3, se estiver usando Python2.7 provavelmente terá que adaptar  algumas partes, se tiver dúvida posso ajudar na conversão.

- Os scripts IDAPython estão utilizando a ultima versão da API, que foi atualizada na versão 7.0. Se você estiver utilizando uma versão do IDA mais antiga terá que converter para a API antiga. Você pode encontrar um guia para a conversão aqui: https://www.hex-rays.com/products/ida/news/7_0/docs/api70_porting_guide/

- Senha padrão no arquivo anexo: infected

Obrigado!

 

sample.7z