Paketlenmiş dosyayı tanımak

Paketlenmiş dosyayı tanımak dersinde neler var

Tersine Mühendislik ve Zararlı Analizi yolunun 9 dakikalık dersi. Kazanılan puan: 50 XP.

Paketleyici kodu sıkıştırır ya da şifreler ve açma yordamını dosyanın başına koyar.

Sonuç şudur: statik analiz yalnız açıcıyı görür, asıl kodu göremez.

Bu derste paketlemeyi entropi, bölüm tablosu ve içe aktarma listesinden tanımayı öğrenirsin.

Bu derste sınanan sorular

• Sıkıştırılmış ya da şifreli bölümlerde entropi değeri kabaca kaça yaklaşır? (0 ile 8 arası) Entropi bayt dağılımının düzensizliğini ölçer. Düz kod 5 ile 6 arasında gezer, sıkıştırılmış veri 7,5 üstüne çıkar. Yüksek entropi tek başına suç değildir ama bakılacak yeri gösterir.
• Bölüm tablosunda paketlemeye işaret eden satırı bul. Sanal boyut ham boyuttan çok büyük, izinler hem yazılabilir hem yürütülebilir. Bu bölüm açılma anında doldurulur; klasik paketleyici izidir.
• UPX ile paketlenmiş ornek.exe dosyasını aç. -d paketi açar ve orijinal ikiliyi geri verir. Bu yalnız standart UPX için çalışır. Değiştirilmiş başlıkta araç hata verir, o zaman elle açmak gerekir.
• Her belirtiyi paketli ya da paketsiz kovasına koy. Tek belirti yetmez, birkaçı bir arada karar verdirir. Paketli dosyada statik analiz tıkanır; açma ya da bellekten döküm alma adımı gerekir.
• Detect It Easy (DIE) aracı ne yapar? DIE dosyayı imza veritabanıyla karşılaştırır ve hangi derleyici ya da paketleyici ile üretildiğini tahmin eder. Sonuç bir ipucudur, kesin hüküm değil.
• Paketleme tek başına dosyanın zararlı olduğunu kanıtlar. Meşru yazılım da boyut küçültmek ya da kodunu korumak için paketlenir. Paketleme yalnız bir sinyaldir; karar davranışa bakılarak verilir.