AlphaGolang

por Juan Andres Guerrero-Saade (JAG-S @ SentinelLabs)

Descripción:

AlphaGolang es una colección de scripts IDAPython para ayudar a los ingenieros inversos de malware a dominar los binarios de Go. La idea es dividir los scripts en pasos concretos, evitando así scripts monolíticos frágiles, y emulando la metodología que un analista podría seguir al abordar un binario de Go.

Los scripts se publican bajo licencia GPL (honrando el GolangLoaderAssist original de Tim Strazzere, que refactorizamos y actualizamos para python3, créditos a Tim :) ). ¡Las contribuciones son bienvenidas y alentadas!

Requisitos: IDA Pro (idealmente v7.6+) y Python3 (puaj) Los primeros dos pasos (recreate_pclntab y function_discovery_and_renaming) funcionarán en IDA v7.5- pero los scripts más allá de eso requieren IDAv7.6+. Las versiones más nuevas son el objetivo ideal para los scripts más nuevos en adelante.

Referencia original: Charla de Mandiant Cyber Defense Summit 2021 (Video pendiente)

Metodología de Análisis de AlphaGolang

• Paso 0: Regla YARA para identificar binarios Go (PE/ELF/MachO)

  • identify_go_binaries.yara
    • Verificación simple de cabecera + expresión regular para la cadena de ID de compilación de Go.
    • Probablemente se podría mejorar el rango de longitud del ID de compilación.

• Paso 1: Recrear la tabla pcln