Désobfuscation binaire avancée

Ce dépôt contient les supports de cours de Désobfuscation binaire avancée au Global Cybersecurity Camp (GCC) Tokyo et au Security Camp National Workshop en 2020.

Résumé du cours

Le génie logiciel inversé n'est pas facile, surtout si un code binaire est obscurci. Une fois l'obfuscation effectuée, le binaire ne serait pas analysé avec précision avec les seules techniques naïves. Dans ce cours, vous apprendrez les principes d'obfuscation (particulièrement utilisés par les logiciels malveillants), la théorie et la pratique de l'analyse de code obfusqué, et comment écrire votre propre outil de désobfuscation. En particulier, nous approfondissons l'analyse de flux de données et l'analyse binaire basée sur SAT/SMT (par exemple, l'exécution symbolique) pour rendre l'obfuscation inefficace.

Aperçu

Ce cours porte sur la désobfuscation binaire, destiné aux analystes de sécurité et aux chercheurs (en herbe) cherchant à ajouter une compétence d'écriture de leur propre outil à leur arsenal. À la fin de ce cours, les participants seront capables de :

• Comprendre en profondeur la théorie, la pratique et les perspectives sous-jacentes de l'obfuscation
• Construire une charge utile obfusquée personnalisée avec des packers de pointe
• Appliquer des techniques d'optimisation de compilateur aux tâches d'analyse binaire
• Concevoir et implémenter des outils d'analyse binaire automatisés basés sur un moteur d'exécution symbolique
• Analyser même les logiciels malveillants obfusqués utilisés dans les campagnes APT

À cette fin, le cours a été dispensé sous la forme d'une combinaison d'apprentissage en classe et de formation pratique au GCC.

Connaissances préalables

Les participants doivent avoir :

• Une solide maîtrise de l'architecture x86/x64
• Une expérience de base avec C/C++ et Python
• Une compréhension de base de l'informatique bas niveau (par exemple, systèmes d'exploitation, compilateurs, interpréteurs, éditeurs de liens et chargeurs)

Les liens suivants sont utiles pour combler le fossé.

• Ingénierie inverse 101
• Exploitation binaire moderne par RPISEC

Démarrage rapide

Nous supposons Ubuntu 18.04 avec Miasm, Z3 et Jupyter Notebook.

1. Installer VirtualBox
2. Télécharger l'image Ubuntu 18.04.3 et l'installer dans VirtualBox
3. Cloner ce dépôt
4. Exécuter ./setup.sh ./
5. Installer IDA Freeware
6. Lire Advanced-Binary-Deobfuscation.pdf et profitez-en !