Klinkt als een leuke uitdaging!

Om de malware-body te krijgen, raad ik je aan IDA Pro te gebruiken in plaats van Olly (maar het is echt je eigen keuze). Hoe dan ook, ik raad aan om eerst te traceren wat het doet, doe dit door een sandbox te gebruiken. Lees hoe malware dit detecteert en bedenk een manier om dit detectiemechanisme te omzeilen. Lees andere artikelen en bestudeer hoe polymorfe en zelfs metamorfe code werkt. Ik heb altijd genoten van de metamorfismepaper over OpenRCE http://www.openrce.org/articles/full_view/29

Hoe kom ik er

Om om dit aan de gang te krijgen. Ik raad aan om veel plug-ins voor het uitpakken enz. voor IDA te schrijven. Zie malware als vakbonden. Analyseer eerst de eerste laag, bouw een plug-in om deze automatisch (statisch) uit te pakken (opnieuw IDA) en ga hiermee door totdat je het hele ding omkeert. Verwijder de (bytepatch) anti-debug-technieken en leer echt hoe dit ding werkt.

In wezen harde malware is een lang, moeizaam proces dat niet kan worden geautomatiseerd. Het is echt leuk om ze te analyseren. Als u snellere analyses wilt, kunt u TitaniumCore bekijken of het voorbeeld naar een VirusExchange-site sturen, zoals offensive computing :)

Veel plezier en geluk!

Er is geen gemakkelijke manier om het viruslichaam uit een polymorf virus te halen, want dat is de aard van polymorfe malware. De meer recente polymorfe malware bevat, zoals u ziet, ook anti-emulator- en anti-debugger-trucs.

Als u "gemakkelijkere" polymorfe malware wilt, probeer dan enkele van de oudere, zoals Marburg, HPS, Magistr , Chiton (de "EfishNC", maar het probleem is om het toegangspunt te vinden), Bagif, Bounds (heeft ook het lastige probleem van het toegangspunt - er is een goed artikel over, het is een lineaire decryptor, maar de eerste instructie die je ziet is niet de eerste instructie van de decryptor), ... Ze kunnen zonder probleem worden geëmuleerd. In het geval van Marburg en HPS zijn de decryptors echter erg groot (en in het geval van Bounds erg groot).

Ik zou aarzelen om categorisch te stellen dat je het lichaam van een polymorf virus niet kunt krijgen. Het hangt echt af van de malware.

Hier is een aanpak die in veel gevallen zal werken wanneer de malware is gecodeerd, verpakt, enz.

1. Download de malware op een VM (of anderszins geïsoleerde box).
2. Zorg dat de malware wordt uitgevoerd.
3. Dump het procesgeheugen met een tool zoals vluchtigheid of ProcDump ( http://technet.microsoft.com /en-us/sysinternals/dd996900.aspx)

Je zult wat analyse moeten doen om erachter te komen waar het code-invoerpunt zich precies in die geheugendump bevindt, maar zodra je als je het hebt, zul je het veel gemakkelijker hebben om het in zoiets als IDA te trekken, aangezien de malware zichzelf hoogstwaarschijnlijk al heeft gedecodeerd.

Natuurlijk zijn er enkele technieken waarbij just-in-time decodering / encryptie nodig is terwijl de malware wordt uitgevoerd, maar deze zijn ongebruikelijker om te vinden. Voor -deze- stukjes malware is er geen snelle en gemakkelijke manier om de gedecodeerde body te extraheren, tenzij je het algoritme en de sleutel al hebt.

Ik hoop dat dit helpt!