AlphaGolang

بواسطة خوان أندريس غيريرو-سادة (JAG-S @ SentinelLabs)

الوصف:

AlphaGolang هي مجموعة من نصوص IDAPython لمساعدة مهندسي عكس البرامج الضارة على إتقان ملفات Go الثنائية. الفكرة هي تقسيم النصوص إلى خطوات ملموسة، وبالتالي تجنب النصوص المتجانسة الهشة، ومحاكاة المنهجية التي قد يتبعها المحلل عند التعامل مع ملف Go ثنائي.

النصوص مُفرَجة تحت ترخيص GPL (تقديرًا لـ GolangLoaderAssist الأصلي لـ Tim Strazzere الذي قمنا بإعادة هيكلته وتحديثه لـ python3، تحية لـ Tim :) ). المساهمات مرحب بها ومشجعة!

المتطلبات: IDA Pro (يفضل الإصدار v7.6+) و Python3 (ew) الخطوتان الأوليتان (recreate_pclntab و function_discovery_and_renaming) ستعملان على IDA v7.5- لكن النصوص بعد ذلك تتطلب IDAv7.6+. الإصدارات الأحدث هي الهدف المثالي للنصوص الأحدث في المستقبل.

المرجع الأصلي: محاضرة قمة Mandiant للدفاع السيبراني 2021 (الفيديو قيد الانتظار)

منهجية تحليل AlphaGolang

• الخطوة 0: قاعدة YARA لتحديد ملفات Go الثنائية (PE/ELF/MachO)

  • identify_go_binaries.yara
    • فحص رأس بسيط + تعبير نمطي لسلسلة معرف بناء Go.
    • ربما يمكن تحسين نطاق طول معرف البناء.

• الخطوة 1: إعادة إنشاء جدول pcln