Malware-analysis-and-Reverse-engineering

Einige meiner öffentlich verfügbaren Malware-Analysen und Reverse-Engineering-Arbeiten (Berichte, Tipps, Tricks...)

[Reverse Engineering von KPOT v2.0 Stealer]

[Debugging von MBR - IDA + Bochs-Emulator (CTF-Beispiel)]

[TLS-Entschlüsselung in Wireshark]

[Ryuk-Ransomware - API-Auflösung und Rekonstruktion der Imports]

[Formbook-Reversing]

[Reversing von kodiertem Shellcode]

[WINDBG-Debugging im Kernel- und Benutzermodus (EPROCESS, ETHREAD, TEB, PEB...)]

[Cutter 2.0 - Einführung in neue Funktionen (Reverse Debugging...)]

[Tracing der C-Funktion fopen]

Tracing der C-Funktion fopen [Teil 1] - IDA-Free-Benutzermodus-Walkthrough bis zur NTApi
Tracing der C-Funktion fopen [Teil 2] - Windbg-Kernel-Debugging - Walkthrough vom Benutzermodus zum Kernel-Executive-Subsystem

[Sichtbares vs. ausgeblendetes vs. sehr ausgeblendetes Blatt - Excel-Binärdateiformat (.xls)]

[Ausnutzen von CVE-2019-0708 (BlueKeep) mit Metasploit (Manuelle Einstellungen GROOMBASE + GROOMSIZE)]

[Missbrauch externer Ressourcenverweise in MSOffice]

Missbrauch externer Ressourcenverweise in MSOffice [Teil 1] - TEMPLATE_INJECTION
Missbrauch externer Ressourcenverweise in MSOffice [Teil 2] - OLEOBJECT_INJECTION

[Echtzeit-Lösung der CyberDefenders-„DumpMe“-Memory-Forensik-Challenge in 1 Stunde]

[Volatility3-Trick für die Ausgabeformatierung in PS]

[Fortgeschrittene Memory-Forensik (Windows) - Threat_Hunting und erste Malware_Analyse]

[LokiBot-Analyse]

[1] Lokibot-Analyse - Besiegen von GuLoader mit Windbg (Kernel-Debugging) und Live-C2
[2] Lokibot-Analyse - Spoofing von GULoader und LokiBot-C2 [Teil 1] - Eigene Implementierung in Python
[2] Lokibot-Analyse - Spoofing von GULoader und LokiBot-C2 [Teil 2] - INetSim + BurpSuite
[3] Lokibot-Analyse - Reversing, API-Hashing, Decodierung

[Schnelle API-Auflösung der REvil-Ransomware im Zusammenhang mit dem Kaseya-Angriff]

[Tanzen mit COM - Tiefer Einblick in das Verständnis des Component Object Model]

Was ist COM und seine Funktionalität, COM in der Registry (Tools - COM-Viewer), COM Client-Server (Verwendung des Powershell/.NET-COM-Clients), Reversing von COM-Instanzen und -Methoden in IDA (Strukturen, Typen, ComIDA-Plugin), Interessante Möglichkeit der Verwendung der COM-Methode in der LokiBot-Malware-Probe

[HiveNightmare - Bug in den ACLs von Registry-Hives]

[Schwachstellen in einem PE-Parsing-Tool finden - Vertraue niemals einem Tool, das du nicht selbst geschrieben hast]

[Reversing einer Binärdatei (Malware-Probe), die eine statisch importierte OpenSource-Bibliothek verwendet]

Einige Notizen, Tipps und Tricks für das Reversing einer Malware-Probe, die eine statisch importierte OpenSource-Bibliothek verwendet

[Reversing der CryptoCrazy-Ransomware - PoC-Decryptor und einige Tricks]

Dieses Video ist eine Anleitung zum Reversing und zur Erstellung eines PoC-Decryptors in Python. Im letzten Teil des Videos zeige ich einen weiteren Trick, wie man die Entschlüsselungsroutine dieser Ransomware direkt aus Powershell heraus dynamisch aufrufen und alle Dateien entschlüsseln kann.

[Powershell- und DnSpy-Tricks beim .NET-Reversing – AgentTesla]

[Du denkst also wirklich, du weißt, was Powershell ist???]

Verwalteter Code vs. nicht verwalteter Code. Schwierigkeiten beim Reversing und Debugging.
Ein schönes Beispiel ist Powershell selbst.

[Vollständiger Malware-Analyse-Workflow der AgentTesla-Malware]

[Deobfuskation von SmartAssembly 8+ und Neuerstellung des Originalmoduls mit SAE+DnSpy]

Das Video behandelt die Deobfuskation des neuesten SmartAssembly 8+ (kommerzieller Obfuskator für .NET) mit SAE (Simple-Assembly-Explorer) und die Neuerstellung des Originalmoduls mit DnSpy. [Beispieldateien herunterladen]

[Fortgeschrittene DnSpy-Tricks beim .NET-Reversing - Tracing, Breaking, Umgang mit VMProtect]

[NightSky-Ransomware – nur ein Rook-RW-Fork im VMProtect-Gewand]

[IDAPro-Reversing des Delphi-MBR-Wipers und des infizierten Bootstrap-Codes]

Probe, meine vorbereitete annotierte IDA-IDB, Bochs-Image: [Download-Passwort: infected]