Malware-analysis-and-Reverse-engineering

Algunos de mis análisis de malware e ingeniería inversa disponibles públicamente (Informes, Consejos, Trucos...)

[Ingeniería inversa del stealer KPOT v2.0]

[Depuración de MBR - IDA + Bochs Emulator (ejemplo de CTF)]

[Descifrado TLS en Wireshark]

[Ryuk Ransomware: resolución de API y reconstrucción de imports]

[Ingeniería inversa de Formbook]

[Ingeniería inversa de shellcode codificado]

[Depuración en modo kernel y usuario con WINDBG (EPROCESS, ETHREAD, TEB, PEB...)]

[Cutter 2.0: introducción a las nuevas funciones (depuración inversa...)]

[Trazado de la función C fopen]

Trazado de la función C fopen [Parte 1] - Recorrido en modo usuario con IDA Free hasta NTApi
Trazado de la función C fopen [Parte 2] - Depuración de kernel con Windbg: recorrido del modo usuario al subsistema ejecutivo del kernel

[Hoja visible vs oculta vs muy oculta: formato de archivo binario de Excel (.xls)]

[Explotación de CVE-2019-0708 (BlueKeep) con Metasploit (ajustes manuales GROOMBASE + GROOMSIZE)]

[Abusando de referencias a recursos externos en MS Office]

Abuso de referencias a recursos externos en MS Office [parte 1] - TEMPLATE_INJECTION
Abuso de referencias a recursos externos en MS Office [parte 2] - OLEOBJECT_INJECTION

[Resolución en tiempo real del reto de análisis forense de memoria "DumpMe" de CyberDefenders en 1 hora]

[Truco de formato de salida de Volatility3 en PowerShell]

[Análisis forense de memoria avanzado (Windows): caza de amenazas y análisis inicial de malware]

[Análisis de LokiBot]

[1] Análisis de Lokibot: derrotando a GuLoader con Windbg (depuración de kernel) y C2 en vivo
[2] Análisis de Lokibot: suplantando a GULoader y al C2 de LokiBot [parte 1]: implementación propia en Python
[2] Análisis de Lokibot: suplantando a GULoader y al C2 de LokiBot [parte 2]: INetSim + BurpSuite
[3] Análisis de Lokibot: ingeniería inversa, hash de API, decodificación

[Resolución rápida de API del ransomware REvil relacionado con el ataque a Kaseya]

[Bailando con COM: inmersión profunda en la comprensión del Modelo de objetos de componentes]

Qué es COM y su funcionalidad, COM en el Registro (herramientas: visores de COM), COM cliente-servidor (usando cliente COM de PowerShell/.NET), ingeniería inversa de instancias y métodos COM en IDA (estructuras, tipos, plugin ComIDA), forma interesante de usar el método COM en una muestra del malware LokiBot

[HiveNightmare: bug en las ACL de las colmenas del Registro]

[Encontrando vulnerabilidades en una herramienta de análisis de PE: NUNCA confíes en una herramienta que no escribiste tú mismo]

[Ingeniería inversa de un binario (muestra de malware) que utiliza una librería de código abierto importada estáticamente]

Algunas notas, consejos y trucos cuando te enfrentas a la ingeniería inversa de una muestra de malware que utiliza una librería de código abierto importada estáticamente

[Ingeniería inversa del ransomware CryptoCrazy: descifrador PoC y algunos trucos]

Este video cubre una guía durante la ingeniería inversa y la creación de un descifrador PoC en Python. En la última parte del video cubriré otro truco sobre cómo invocar dinámicamente solo la rutina de descifrado de este ransomware directamente desde PowerShell y conseguir que todos los archivos sean descifrados.

[Trucos de PowerShell y DnSpy en la ingeniería inversa de .NET: AgentTesla]

[¿Así que realmente crees que sabes qué es PowerShell?]

Código administrado vs código no administrado. Dificultades durante la ingeniería inversa y la depuración.
Un buen ejemplo es el propio PowerShell.

[Flujo de trabajo completo de análisis de malware de AgentTesla]

[Desofuscación de SmartAssembly 8+ y recreación del módulo original con SAE+DnSpy]

El video cubre la desofuscación del último SmartAssembly 8+ (ofuscador comercial para .NET) usando SAE (Simple-Assembly-Explorer) y la recreación del módulo original usando DnSpy. [Descargar muestras]

[Trucos avanzados de DnSpy en la ingeniería inversa de .NET: trazado, puntos de interrupción y cómo lidiar con VMProtect]

[NightSky Ransomware: simplemente un fork de Rook RW con traje de VMProtect]