Malware-analysis-and-Reverse-engineering

Certaines de mes analyses de malwares et de rétro-ingénierie disponibles publiquement (Rapports, conseils, astuces...)

[Rétro-ingénierie de KPOT v2.0 Stealer]

[Débogage MBR - IDA + Bochs Emulator (exemple CTF)]

[Déchiffrement TLS dans Wireshark]

[Ryuk Ransomware - Résolution d'API et reconstruction des imports]

[Rétro-ingénierie de Formbook]

[Rétro-ingénierie de shellcode encodé]

[Débogage WINDBG mode noyau et mode utilisateur (EPROCESS, ETHREAD, TEB, PEB...)]

[Cutter 2.0 - Introduction des nouvelles fonctionnalités (débogage inversé...)]

[Suivi de la fonction C fopen]

Suivi de la fonction C fopen [Partie 1] - Walk-Through IDA Free en mode utilisateur jusqu'à NTApi
Suivi de la fonction C fopen [Partie 2] - Débogage noyau Windbg - Walk-Through du mode utilisateur vers le sous-système exécutif du noyau

[Feuille Visible vs Masquée vs Très masquée - Format de fichier binaire Excel (.xls)]

[Exploitation de CVE-2019-0708 (BlueKeep) avec Metasploit (réglages manuels GROOMBASE + GROOMSIZE)]

[Abus des références de ressources externes MSOffice]

Abus des références de ressources externes MSOffice [partie 1] - TEMPLATE_INJECTION
Abus des références de ressources externes MSOffice [partie 2] - OLEOBJECT_INJECTION

[Résolution en temps réel du défi MemoryForensics CyberDefenders « DumpMe » en 1 heure]

[Astuce de mise en forme de la sortie Volatility3 dans PS]

[Forensique mémoire avancée (Windows) - Threat_Hunting et analyse initiale de malware]

[Analyse de LokiBot]

[1] Analyse de Lokibot - vaincre GuLoader avec Windbg (débogage noyau) et C2 en direct
[2] Analyse de Lokibot - usurpation de GULoader et du C2 de LokiBot [partie 1] - Implémentation maison en Python
[2] Analyse de Lokibot - usurpation de GULoader et du C2 de LokiBot [partie 2] - INetSim + BurpSuite
[3] Analyse de Lokibot - Rétro-ingénierie, hachage d'API, décodage

[Résolution rapide des API du ransomware REvil lié à l'attaque Kaseya]

[Danser avec COM - Plongée en profondeur dans la compréhension du Component Object Model]

Ce qu'est COM et ses fonctionnalités, COM dans le registre (outils - visionneuses COM), COM client-serveur (utilisation d'un client COM PowerShell/.NET), rétro-ingénierie des instances et méthodes COM dans IDA (structures, types, plug-in ComIDA), manière intéressante d'utiliser une méthode COM dans l'échantillon de malware LokiBot

[HiveNightmare - Bogue dans les ACL des ruches du registre]

[Trouver une vulnérabilité dans un outil d'analyse PE - Ne faites JAMAIS confiance à un outil que vous n'avez pas écrit vous-même]

[Rétro-ingénierie d'un binaire (échantillon de malware) qui utilise une bibliothèque Open Source importée statiquement]

Quelques notes, conseils et astuces lorsque vous faites de la rétro-ingénierie d'un échantillon de malware qui utilise une bibliothèque Open Source importée statiquement

[Rétro-ingénierie du ransomware CryptoCrazy - Décripteur PoC et quelques astuces]

Cette vidéo est un guide de rétro-ingénierie et de création d'un décripteur PoC en Python. Dans la dernière partie de la vidéo, je présenterai une autre astuce pour invoquer dynamiquement uniquement la routine de déchiffrement de ce ransomware directement depuis PowerShell et obtenir le déchiffrement de tous les fichiers.

[Astuces PowerShell et DnSpy pour la rétro-ingénierie .NET – AgentTesla]

[Alors vous pensez vraiment savoir ce qu'est Powershell ???]

Code managé vs code non managé. Difficultés lors de la rétro-ingénierie et du débogage.
Un bon exemple est Powershell lui-même.

[Workflow complet d'analyse du malware AgentTesla]

[Désobfuscation de SmartAssembly 8+ et recréation du module d'origine avec SAE+DnSpy]

La vidéo couvre la désobfuscation du dernier SmartAssembly 8+ (obfusctateur commercial pour .NET) à l'aide de SAE (Simple-Assembly-Explorer) et la recréation du module d'origine avec DnSpy. [Téléchargement des échantillons]

[Astuces avancées de DnSpy en rétro-ingénierie .NET - Suivi, points d'arrêt, gestion de VMProtect]

[NightSky Ransomware – juste un fork de Rook RW sous VMProtect]