Extracción de Configuración de Smoke

Resumen

Este proyecto tiene como objetivo extraer configuraciones de muestras de smokeloader desde la etapa inicial. Estaba decidido a hacerlo de forma estática, por lo que tuve que apoyarme en herramientas como Unicorn para omitir algunos de los componentes más complicados.

Independientemente de cómo funcione esta extracción para esta familia, este repositorio puede servir como ejemplo de cómo podría funcionar la extracción de configuraciones para familias de malware no tradicionales.

Vista previa

Características

• Desofuscación
• Desempaquetado de la etapa final
• Extracción de configuración

Pendientes

• Descompresión LZSA en Python
• 100% de precisión con la extracción de ID de afiliado

Proyectos utilizados

• Emulador Unicorn - para emular la función de descompresión
• Radare2 - proporcionó desensamblado de código abierto y análisis de funciones
• Unicorn PE Loader de Alex Hanel - proporciona la base para cargar un archivo PE en Unicorn

Ejemplo de uso

virtualenv venv
source venv/bin/activate
pip install -r requirements.txt 
python main.py smokeloader_stage_1.bin --json