Come Posso Ripristinare Gli Interni Del Servlet?

Perché disimballare?

Come la maggior parte degli adware e degli spyware, ldpinch è racchiuso in una scelta che rende difficile il reverse engineering e l’analisi del manuale di istruzioni. Nella directory “packed”, le istruzioni dell’assemblatore che descrivono l’esecuzione dell’approccio non sono disponibili quando si utilizza il binario collegato al disco. Se invece del malware viene raggruppato nella memoria, ciascun decompressore decrittografa queste istruzioni crittografate per consentire a quel processore di funzionare per il gruppo di grandi dimensioni. Quando un analista di malware cerca di decodificare il malware, lo acquista per primo in modo che possa decomprimerlo. Altrimenti, qualsiasi disassemblatore presenterà solo parole senza senso.

In questo desktop, verificheremo come Ldpinch sia spesso decompresso staticamente e che qualsiasi manuale di istruzioni di montaggio ricevuto sia visibile nel decompositore.

Considereremo un cutter per eseguire il reverse engineering dei test di adware. Cutter è un disassemblatore e uno strumento gratuito e open source che è stato riprogettato sulla base di quei pacchetti Radare2 retroingegnerizzati.

Aprendo l’esempio in Cutter, gli utenti noteranno immediatamente due cose:

In primo luogo, tutti i file PE hanno più spesso ciascuna voce di istanza da qualche parte nell’NTDLL che esegue il codice di inizializzazione. Una volta che il valutatore ha presentato un godimento, è già stato superato il punto di ingresso per la stessa affermazione. Nel caso di Ldpinch, il punto di ingresso categoriale è il punto di accesso personalizzato aggiunto subito dopo la sezione CODE del file PE. Cutter chiama entry0 a 0x100026e4.
La piccola proprietà insolita di alcuni binari è letteralmente che la sezione CODE ha ogni attributo di voce. Pertanto, è possibile sovrascrivere il codice durante l’intera creazione dell’esempio. Per motivi di sicurezza, la parte CODICE viene costantemente letta ed eseguita.

Queste due componenti possono essere forti indicatori del campione di malware associato. Il malware in realtà chiede di sovrascrivere il codice compresso anche durante la decompressione del codice e fa sì che la sezione CODE diventi scrivibile. L’estrattore stesso ha bisogno di un modo per essere presente, quindi i creatori di malware hanno praticamente aggiunto un’estrazione CODE al suo interno.

Quindi il nostro obiettivo è rifare il codice. Per fare ciò, ora dobbiamo scrivere un unpacker. Un’altra opzione potrebbe essere la decompressione dinamica su cui eseguiamo il campione fino a quando questo non decomprime il suo sito Web e quindi deposita il codice normalmente decompresso su compact disc per eseguire lo spyware Food Dishes e. Torniamo alla voce 5 per vedere se possiamo visualizzare qualcosa di utile lì. Passando alla rappresentazione grafica di una persona del Cutter, gran parte della nostra organizzazione vede quattro blocchi principali, tracciati dall’uso di un ultimo con istruzioni errate.
Il secondo blocco e il successivo sono un ciclo che sembra occupare un po’ di memoria spazio aperto. Questa procedura è per quel decompressore. Molto probabilmente, quattro blocchi sono subito un decompressore. Ora cerchiamo solo di capire come funziona oltre a implementare il nostro decompressore.