Jump to content
Leandro Fróes

AnalyseMe - Nível 00

Recommended Posts

Boa tarde galera! Como vocês estão?

Faz um tempinho que estamos pensando sobre algo que possa ser postado semanalmente aqui no portal, algo que seja curioso, desafiador, divertido, mas que prepare para situações reais. Com isto em mente estamos lançando hoje a série de desafios chamados AnalyseMe, que são postados nesta área toda sexta-feira.

O intuito é treinar análise de malware. Portanto os binários conterão rotinas maliciosas e por isso é estritamente necessário que sejam analisados em um ambiente controlado (máquina virtual).

A ideia é simples: aplicar os conceitos de engenharia reversa que aprendemos nos nossos estudos, mas de uma forma direcionada à análise de malware (falando nisso, você já leu o nosso livro e viu o nosso curso?! 😉).

Os participantes devem analisar os programas aqui postados e responder o tópico com sua análise. Desta forma podemos tirar dúvidas e ter visões diferentes sobre o mesmo binário, facilitando o aprendizado. Desenvolvemos também um modelo de relatório que esperamos receber como resposta (use a tag spoiler, que é o olhinho na barra de ferramentas: olhinho.png.afdcdecf6e6565ed84d0e9c3152157c6.png) . Segue exemplo:

Spoiler


  1. Tipo de arquivo: PE EXE
  2. Compilador/linguagem: Borland C++
  3. Protector/packer: Nenhum
  4. SHA-256: 9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08
  5. Strings interessantes: X, Y, Z
  6. Funções locais maliciosas: 405040 (faz tal coisa), 403570 (faz coisa e tal)
  7. Chamadas à API do Windows e outras bibliotecas: CreateWindowExA(parâmetros), InternetOpenFileA(parâmetros)...
  8. Atividades de rede: resolve o domínio X, baixa Y da URL Z
  9. O que o binário faz em linhas gerais: Rouba as senhas armazenadas no browser.
  10. O que foi modificado no sistema: o arquivo X é criado e uma chave de registro é adicionada em HKLM\Microsoft\Windows\CurrentVersion\Run com o valor c:\binario.exe


 

O nível de detalhe da análise fica a critério de vocês, só tomem cuidado para não sair muito da ideia principal, guiada pelo formulário. Caso vocês achem necessário mais algum item no formulário fiquem à vontade para colocar junto da sua análise.

Qualquer dúvida/sugestão/ideia estamos sempre à disposição. Vamos lotar isto aqui hein. 😉

E agora, sem mais delongas, segue o primeiríssimo desafio: 

AnalyseMe-00.exe

Lembrando que alguns itens do relatório podem estar em branco para cada desafio. Por exemplo, o binário pode não ter atividade de rede ou não ter nenhuma string interessante, etc. Agora é contigo! 😎

Share this post


Link to post
Share on other sites

Estou com uma duvida @Leandro Fróes.

Esse malware tem algum packer ou outro tipo de proteção?

Quando analisei ele com o RDG retornou pra mim como Microsoft Visual c++ v6.0 SPx  e abaixo FAKE SING.

Existem fake sing nesse malware?

 

Se houver proteção no malware qual material devo estuda pra bypass isso.

Pfv

 

Share this post


Link to post
Share on other sites

Fala @Aof, blz?

A ideia do desafio é justamente você verificar esse tipo informação (se tem packer, linguagem utilizada, ideia do binário em si, etc).

O curso do CERO e o livro com certeza são o suficiente para esta análise. Sobre as ferramentas você pode dar uma olhada no artigo que Linkei ali na descrição, mas fique a vontade pra usar as ferramentas que se sentir mais confortável 😄

abs

Share this post


Link to post
Share on other sites

Boa tarde Leandro,

Legal essa ideia, parabéns! Aqui está o que achei:

Spoiler

Tipo de arquivo: PE EXE
Compilador/linguagem: Microsoft Visual C/C++ (2017 v15.5)
Protector/packer: Nenhum
SHA-256: a5c8b9d287270af46943bfdd19f7f6d5f11ecf24980f9f6aca798756af4731f8
Strings interessantes: "C:\\Windows\\System32\\cmd.exe";
Funções locais maliciosas: start/main e 401100 (deleta o arquivo); 
Chamadas à API do Windows e outras bibliotecas: DeleteFileA, ExitProcess, GetModuleHandleA, GetStartupInfoA, GetCommandLineA, HeapAlloc, GetProcessHeap;
Atividades de rede: Nenhuma;
O que o binário faz em linhas gerais: Tenta remover o executável cmd.exe em C:\Windows\System32;
O que foi modificado no sistema: Nada (não conseguiu remover);

Abs,
Rafael

 

  • Agradecer 1
  • l33t 1

Share this post


Link to post
Share on other sites

Não querendo desmerecer a analise do amigo @rcimatti, afinal fiz a mesma analise e deu os mesmos resultados, o motivo de não ter posta o resultado da minha analise, foi essas strings dentro da Section .rdata. Mas meu conhecimento ainda não abrange essa área ainda!

Acredito que tem um outro sample para analisar.

.text
.text$mn
.idata$5
.rdata
.rdata$zzzdb
.idata$2
.idata$3
.idata$4
.idata$6
.CRT$XCA
.CRT$XCZ
.data
.bss

 

Share this post


Link to post
Share on other sites

Que maneiro @rcimatti! Obrigado mesmo pela análise. Curta e precisa. =)

@Aof não tem nenhuma "pegadinha" não. É só isso mesmo. Este binário é super simples, justamente por ser o primeiro nível dos desafios. A ideia é ir dificultando nos próximos, pouco a pouco.

Abraços!

Share this post


Link to post
Share on other sites
Em 29/11/2018 em 00:27, Fernando Mercês disse:

Que maneiro @rcimatti! Obrigado mesmo pela análise. Curta e precisa. 😃

@Aof não tem nenhuma "pegadinha" não. É só isso mesmo. Este binário é super simples, justamente por ser o primeiro nível dos desafios. A ideia é ir dificultando nos próximos, pouco a pouco.

Abraços!

obg @Fernando Mercês

 

aguardando o próximo.

Share this post


Link to post
Share on other sites

Minha análise deu isso também. Só especificando que ao chamar DeleteFile("C:\Windows\System32\cmd.exe") é retornado ERROR_ACCESS_DENIED.

 

  • Curtir 1

Share this post


Link to post
Share on other sites
Spoiler

Tipo de arquivo: PE EXE

Compilador/linguaguem:  Microsoft Visual C/C++(2017 v.15.5 - C/C++

Protector/packer: Nenhum

SHA-256: a5c8b9d287270af46943bfdd19f7f6d5f11ecf24980f9f6aca798756af4731f8

Strings interessantes: C:\Windows\System32\cmd.exe, C:\Users\Homer\Documents\Visual Studio 2017\Projects\Project3\Release\Project3.pdb, DeleteFile

Funções locais maliciosas: 00401100 (Tenta deletar C:\Windows\System32\cmd.exe usando a call DeleteFile)

Chamadas à API do Windows e outras bibliotecas: DeleteFile( C:\Windows\System32\cmd.exe), GetCommandLineA()

Atividades de rede: nenhuma

O que o binário faz em linhas gerais: Tenta apagar a C:\Windows\System32\cmd.exe via DeleteFile(path)

O que foi modificado no sistema: Nada

 

 

  • Curtir 1

Share this post


Link to post
Share on other sites
Spoiler

Tipo de arquivo: PE EXE
Compilador/linguagem: Microsoft Visual C/C++(-)[-]
Protector/packer: Nenhum
SHA-256: A5C8B9D287270AF46943BFDD19F7F6D5F11ECF24980F9F6ACA798756AF4731F8
Strings interessantes: "C:\\Windows\\System32\\cmd.exe"
Funções locais maliciosas: 00401105 (Exclui um arquivo existente passando "C:\\Windows\\System32\\cmd.exe" como parâmetro)
Chamadas à API do Windows e outras bibliotecas: GetCommandLineA,GetStartupInfoA,GetModuleHandleA,ExitProcess,GetProcessHeap,RtlAllocateHeap,DeleteFileA
Atividades de rede: N/A
O que o binário faz em linhas gerais: tenta deletar o arquivo "C:\\Windows\\System32\\cmd.exe" e recebe um ERROR_ACCESS_DENIED porque o arquivo é somente leitura.
O que foi modificado no sistema: nada

 

  • Curtir 1

Share this post


Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.


  • Recently Browsing   0 members

    No registered users viewing this page.

×
×
  • Create New...