Ir para conteúdo
  • Cadastre-se

Posts Recomendados

Boa tarde galera! Como vocês estão?

Faz um tempinho que estamos pensando sobre algo que possa ser postado semanalmente aqui no portal, algo que seja curioso, desafiador, divertido, mas que prepare para situações reais. Com isto em mente estamos lançando hoje a série de desafios chamados AnalyseMe, que são postados nesta área toda sexta-feira.

O intuito é treinar análise de malware. Portanto os binários conterão rotinas maliciosas e por isso é estritamente necessário que sejam analisados em um ambiente controlado (máquina virtual).

A ideia é simples: aplicar os conceitos de engenharia reversa que aprendemos nos nossos estudos, mas de uma forma direcionada à análise de malware (falando nisso, você já leu o nosso livro e viu o nosso curso?! 😉).

Os participantes devem analisar os programas aqui postados e responder o tópico com sua análise. Desta forma podemos tirar dúvidas e ter visões diferentes sobre o mesmo binário, facilitando o aprendizado. Desenvolvemos também um modelo de relatório que esperamos receber como resposta (use a tag spoiler, que é o olhinho na barra de ferramentas: olhinho.png.afdcdecf6e6565ed84d0e9c3152157c6.png) . Segue exemplo:

Spoiler


  1. Tipo de arquivo: PE EXE
  2. Compilador/linguagem: Borland C++
  3. Protector/packer: Nenhum
  4. SHA-256: 9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08
  5. Strings interessantes: X, Y, Z
  6. Funções locais maliciosas: 405040 (faz tal coisa), 403570 (faz coisa e tal)
  7. Chamadas à API do Windows e outras bibliotecas: CreateWindowExA(parâmetros), InternetOpenFileA(parâmetros)...
  8. Atividades de rede: resolve o domínio X, baixa Y da URL Z
  9. O que o binário faz em linhas gerais: Rouba as senhas armazenadas no browser.
  10. O que foi modificado no sistema: o arquivo X é criado e uma chave de registro é adicionada em HKLM\Microsoft\Windows\CurrentVersion\Run com o valor c:\binario.exe


 

O nível de detalhe da análise fica a critério de vocês, só tomem cuidado para não sair muito da ideia principal, guiada pelo formulário. Caso vocês achem necessário mais algum item no formulário fiquem à vontade para colocar junto da sua análise.

Qualquer dúvida/sugestão/ideia estamos sempre à disposição. Vamos lotar isto aqui hein. 😉

E agora, sem mais delongas, segue o primeiríssimo desafio: 

AnalyseMe-00.exe

Lembrando que alguns itens do relatório podem estar em branco para cada desafio. Por exemplo, o binário pode não ter atividade de rede ou não ter nenhuma string interessante, etc. Agora é contigo! 😎

Compartilhar este post


Link para o post
Compartilhar em outros sites

Estou com uma duvida @Leandro Fróes.

Esse malware tem algum packer ou outro tipo de proteção?

Quando analisei ele com o RDG retornou pra mim como Microsoft Visual c++ v6.0 SPx  e abaixo FAKE SING.

Existem fake sing nesse malware?

 

Se houver proteção no malware qual material devo estuda pra bypass isso.

Pfv

 

Compartilhar este post


Link para o post
Compartilhar em outros sites

Fala @Aof, blz?

A ideia do desafio é justamente você verificar esse tipo informação (se tem packer, linguagem utilizada, ideia do binário em si, etc).

O curso do CERO e o livro com certeza são o suficiente para esta análise. Sobre as ferramentas você pode dar uma olhada no artigo que Linkei ali na descrição, mas fique a vontade pra usar as ferramentas que se sentir mais confortável 😄

abs

Compartilhar este post


Link para o post
Compartilhar em outros sites

Boa tarde Leandro,

Legal essa ideia, parabéns! Aqui está o que achei:

Spoiler

Tipo de arquivo: PE EXE
Compilador/linguagem: Microsoft Visual C/C++ (2017 v15.5)
Protector/packer: Nenhum
SHA-256: a5c8b9d287270af46943bfdd19f7f6d5f11ecf24980f9f6aca798756af4731f8
Strings interessantes: "C:\\Windows\\System32\\cmd.exe";
Funções locais maliciosas: start/main e 401100 (deleta o arquivo); 
Chamadas à API do Windows e outras bibliotecas: DeleteFileA, ExitProcess, GetModuleHandleA, GetStartupInfoA, GetCommandLineA, HeapAlloc, GetProcessHeap;
Atividades de rede: Nenhuma;
O que o binário faz em linhas gerais: Tenta remover o executável cmd.exe em C:\Windows\System32;
O que foi modificado no sistema: Nada (não conseguiu remover);

Abs,
Rafael

 

  • Agradecer 1
  • l33t 1

Compartilhar este post


Link para o post
Compartilhar em outros sites

Não querendo desmerecer a analise do amigo @rcimatti, afinal fiz a mesma analise e deu os mesmos resultados, o motivo de não ter posta o resultado da minha analise, foi essas strings dentro da Section .rdata. Mas meu conhecimento ainda não abrange essa área ainda!

Acredito que tem um outro sample para analisar.

.text
.text$mn
.idata$5
.rdata
.rdata$zzzdb
.idata$2
.idata$3
.idata$4
.idata$6
.CRT$XCA
.CRT$XCZ
.data
.bss

 

Compartilhar este post


Link para o post
Compartilhar em outros sites

Que maneiro @rcimatti! Obrigado mesmo pela análise. Curta e precisa. =)

@Aof não tem nenhuma "pegadinha" não. É só isso mesmo. Este binário é super simples, justamente por ser o primeiro nível dos desafios. A ideia é ir dificultando nos próximos, pouco a pouco.

Abraços!

Compartilhar este post


Link para o post
Compartilhar em outros sites
Em 29/11/2018 em 00:27, Fernando Mercês disse:

Que maneiro @rcimatti! Obrigado mesmo pela análise. Curta e precisa. 😃

@Aof não tem nenhuma "pegadinha" não. É só isso mesmo. Este binário é super simples, justamente por ser o primeiro nível dos desafios. A ideia é ir dificultando nos próximos, pouco a pouco.

Abraços!

obg @Fernando Mercês

 

aguardando o próximo.

Compartilhar este post


Link para o post
Compartilhar em outros sites

Minha análise deu isso também. Só especificando que ao chamar DeleteFile("C:\Windows\System32\cmd.exe") é retornado ERROR_ACCESS_DENIED.

 

  • Curtir 1

Compartilhar este post


Link para o post
Compartilhar em outros sites

Crie uma conta ou entre para comentar

Você precisar ser um membro para fazer um comentário

Criar uma conta

Crie uma nova conta em nossa comunidade. É fácil!

Crie uma nova conta

Entrar

Já tem uma conta? Faça o login.

Entrar Agora

  • Quem Está Navegando   0 membros estão online

    Nenhum usuário registrado visualizando esta página.

×