Erweiterte Binär-Deobfuskation

Dieses Repository enthält die Kursmaterialien zur erweiterten Binär-Deobfuskation, die auf dem Global Cybersecurity Camp (GCC) Tokyo und dem Security Camp National Workshop im Jahr 2020 stattfanden.

Kurszusammenfassung

Reverse Engineering ist nicht einfach, insbesondere wenn ein Binärcode obfuskiert ist. Sobald eine Obfuskation durchgeführt wurde, kann der Binärcode mit naiven Techniken allein nicht genau analysiert werden. In diesem Kurs lernen Sie Obfuskationsprinzipien (insbesondere solche, die von Malware verwendet werden), Theorie und Praxis der Analyse obfuskierten Codes und wie Sie Ihr eigenes Werkzeug zur Deobfuskation schreiben. Insbesondere befassen wir uns mit Datenflussanalyse und SAT/SMT-basierter Binäranalyse (z.B. symbolische Ausführung), um Obfuskation unwirksam zu machen.

Übersicht

Dieser Kurs behandelt die Binär-Deobfuskation und richtet sich an Sicherheitsanalysten und Forscher (im Embryonalstadium), die ihre Fähigkeiten im Schreiben eigener Werkzeuge erweitern möchten. Am Ende dieses Kurses werden die Teilnehmer in der Lage sein:

• Ein tiefgehendes Verständnis von Theorie, Praxis und den Hintergründen der Obfuskation zu erlangen
• Eine benutzerdefinierte obfuskierte Payload mit modernsten Packern zu erstellen
• Compiler-Optimierungstechniken auf Binäranalysen anzuwenden
• Automatisierte Binäranalyse-Werkzeuge auf Basis einer symbolischen Ausführungsmaschine zu entwerfen und zu implementieren
• Sogar obfuskierte Malware zu analysieren, die in APT-Kampagnen verwendet wird

Zu diesem Zweck wurde der Kurs in Form einer Kombination aus Frontalunterricht und praktischen Übungen auf dem GCC durchgeführt.

Voraussetzungen

Die Teilnehmer sollten Folgendes mitbringen:

• Fundierte Kenntnisse der x86/x64-Architektur
• Grundlegende Erfahrung mit C/C++ und Python
• Grundlegendes Verständnis der niedrigen Informatikebene (z.B. Betriebssysteme, Compiler, Interpreter, Linker und Lader)

Die folgenden Links sind nützlich, um die Lücke zu schließen.

• Reverse Engineering 101
• Modern Binary Exploitation by RPISEC

Schnellstart

Wir gehen von Ubuntu 18.04 mit Miasm, Z3 und Jupyter Notebook aus.

1. Installieren Sie VirtualBox
2. Laden Sie das Ubuntu 18.04.3-Image herunter und installieren Sie es in VirtualBox
3. Klonen Sie dieses Repository
4. Führen Sie ./setup.sh ./ aus
5. Installieren Sie IDA Freeware
6. Lesen Sie Advanced-Binary-Deobfuscation.pdf und viel Spaß!