Reversing

6.1 Malware-Analyse und ihre Wirkung

Reverse Engineering heißt, etwas auseinanderzunehmen, um zu verstehen, wie es funktioniert. In der Malware-Analyse liefert es die Grundlage für Detection-Signaturen und für das Verständnis der Techniken, die Malware-Autoren einsetzen. Ein zentraler Baustein ist die Extraktion von Indikatoren: netzwerkbasiert (Kommunikationsmuster, C2-Adressen) oder hostbasiert (Dateinamen, Registry-Keys). Sie sind der Fingerabdruck der Malware und werden zu Detection-Signaturen.

6.1 a Statische Analyse im Detail

Statische Analyse untersucht Malware, ohne sie auszuführen — sicher, schnell und der übliche erste Schritt.

Praxis: Metadaten und Hashes

$ exiftool suspicious_file.exe
File Name:  suspicious_file.exe
File Size:  1.2 MB
File Type:  Win32 EXE
Time Stamp: 2023:06:15 14:30:22+02:00
PE Type:    PE32
Subsystem:  Windows GUI

$ sha256sum suspicious_file.exe
560d94675723166bf0cfa13a932836263c52a4ad16e0c670e89efdeb62391526  suspicious_file.exe

PS> Get-FileHash -Algorithm SHA256 suspicious_file.exe | Format-List
Algorithm : SHA256
Hash      : 560D94675723166BF0CFA13A932836263C52A4AD16E0C670E89EFDEB62391526
Path      : C:\path\to\suspicious_file.exe

Der Hash wird anschließend bei VirusTotal geprüft: Hash einfügen, Ergebnisse mehrerer Engines vergleichen, Einordnung ableiten. Findet ein Tool wie Detect It Easy zusätzlich einen Packer (z. B. UPX), muss vor der weiteren statischen Analyse entpackt werden — was mitunter dynamische Techniken erfordert.

6.1 b Dynamische Analyse im Detail

Auch Verhaltensanalyse genannt: Die Malware wird in einer kontrollierten Umgebung ausgeführt und ihr Verhalten in Echtzeit beobachtet. Voraussetzung ist eine saubere VM (VMware, VirtualBox) mit einem typischen Ziel-OS wie Windows 10 und einem Snapshot des sauberen Zustands.

Der Malware-Analyse-Prozess

1. 1

   Sichere Analyseumgebung vorbereiten

   Isoliertes Lab mit Virtualisierung, konfigurierter Netzwerktrennung und installierten Analyse-Tools — realitätsnah, aber sicher.

2. 2

   Samples beschaffen

   Aus verlässlichen Quellen, unter Wahrung von Integrität und Sicherheit; Bösartigkeit vor der Analyse verifizieren.

3. 3

   Statische Erstanalyse

   Dateityp bestimmen, Metadaten extrahieren, IoCs identifizieren, Bedrohungsgrad einschätzen und Analysetiefe planen.

4. 4

   Tiefe Statik & Reverse Engineering

   Disassembler und Decompiler einsetzen; Kontrollfluss, Algorithmen, Verschlüsselung, Exploits und Persistenz verstehen.

5. 5

   Dynamische Analyse

   Ausführung im Lab; Systemänderungen und Netzwerkkommunikation mit externen Servern und C2-Infrastruktur verfolgen.

6. 6

   Dokumentation

   Verhalten, Code-Erkenntnisse und Anomalien festhalten; IoCs wie Hashes, IP-Adressen und Domains dokumentieren.

7. 7

   Detection & Mitigation entwickeln

   Signaturen erstellen, Patches und Konfigurationsänderungen empfehlen, Ergebnisse mit Stakeholdern und Community teilen.

6.2 Unpacking, Decrypting und Deobfuscation

Das Zusammenspiel der drei Schutzschichten

Unpacking: statisch und dynamisch

Bei fortgeschrittener Malware kombiniert man beides: statisch den Packer bzw. Stub identifizieren, dann dynamisch durch den Entpackvorgang steppen und mit Memory-Breakpoints den entpackten Code abgreifen. Process Hacker und Process Monitor helfen beim Beobachten der Speicherallokationen.

Decrypting: XOR und stärkere Verfahren

Viele Samples verschlüsseln Strings mit einfachem XOR — bitweise Operation, die 1 liefert, wenn die Eingaben unterschiedlich sind. XOR ist beliebt, weil es rechnerisch billig und reversibel ist: Zweimal mit demselben Schlüssel angewendet ergibt es wieder das Original. So verschwinden URLs, Pfade und Befehle aus dem Blickfeld einfacher String-Suchen.

def xor_decrypt(data, key):
    return ''.join(chr(ord(char) ^ key) for char in data)

decrypted_url = xor_decrypt(
    [chr(c) for c in [104, 100, 105, 100, 102, 100, 106, 112, 110, 43, 102, 106, 104]], 5)
print("The decrypted URL is:", decrypted_url)

# Ausgabe: The decrypted URL is: malicious.com

Kommt starke Kryptografie ohne Implementierungsfehler zum Einsatz, wird es deutlich schwerer: Analysten müssen die Verschlüsselungsroutinen reverse-engineeren, um an die Schlüssel zu kommen — per Code-Analyse (Ghidra, IDA Pro) oder indem sie die Schlüssel zur Laufzeit im Speicher abgreifen.

Obfuskations-Techniken

Deobfuscation in der Praxis

import base64
def GHI_jkl(n):
    abc = lambda x: False if x <= 1 else True
    def def_ghi(x):
        for y in range(2, x):
            if x % y == 0: return False
        return True
    return abc(n) and def_ghi(n)

encoded_string = base64.b64decode('MTc=').decode('utf-8')
num = int(encoded_string)

def is_prime(n):
    if n <= 1:
        return False
    for i in range(2, n):
        if n % i == 0:
            return False
    return True

number = 17  # 'MTc=' war Base64 für 17

6.3 Debugging-Techniken

Zentrale Techniken

Werkzeuge im Vergleich

6.4 Control Flow Analysis

Ein Programm besteht aus einer Folge von Instruktionen — aber es führt sie selten linear aus. Bedingungen und Schleifen bestimmen den Ablauf. Die Kontrollflussanalyse (CFA) zeigt, wie ein Programm zwischen Instruktionen und Funktionen wechselt.

Warum Kontrollflussanalyse?

Techniken

6.5 Library- und Systemcalls

Library- und Systemcalls sind vom Betriebssystem bereitgestellte Funktionen, über die Programme Dienste des Kernels anfordern — Hardwarezugriff, Prozesssteuerung, Kommunikation. Sie sind das Fenster zum tatsächlichen Verhalten der Malware.

API-Monitoring

API-Monitoring fängt die API-Aufrufe einer laufenden Anwendung ab und protokolliert sie — Interaktionen mit Dateisystem, Netzwerk, Registry und Systemdiensten. Werkzeuge: API Monitor, Process Monitor, die Sysinternals Suite. So werden Reihenfolge und Kontext der Systeminteraktionen nachvollziehbar.

Häufig analysierte Systemaufrufe