mandiant/flare-learning-hubContenu éducatif gratuit sur le reverse engineering et l'analyse de malwares de l'équipe FLARE
Le Hub d'apprentissage FLARE distribue gratuitement du contenu pédagogique de qualité en rétro-ingénierie et analyse de malware provenant de l'équipe FLARE.
Les modules du Hub d'apprentissage FLARE sont hébergés sous forme de documents Google publiés sur le web, liés dans les descriptions ci-dessous. Ce dépôt contient tous les artefacts correspondants pour chaque module, y compris les binaires d'exercices et de démonstrations, les bases de données de désassembleur et les scripts.
Des améliorations aux modules existants et de nouveaux modules seront publiés régulièrement.
Pour commencer à travailler sur un module, nous recommandons vivement de mettre en place un environnement de machine virtuelle (VM) isolé en toute sécurité à l'aide de FLARE-VM, qui fournit les outils nécessaires pour réaliser les exercices de laboratoire et les démonstrations. Nous recommandons également d'utiliser un produit de virtualisation supportant les instantanés, ce qui permet d'enregistrer la VM dans un état propre et de revenir à cet état lors du démarrage d'une nouvelle analyse. Actuellement, tous les modules ne prennent en charge que les environnements Intel x86-64.
Bien que tous les binaires et scripts distribués soient conçus uniquement pour des exercices pratiques et des démonstrations, ils peuvent être signalés comme malveillants par des systèmes automatisés, car certains présentent un comportement similaire à celui d'un malware. Ce projet n'est pas responsable des dommages ou pertes résultant de l'exécution des binaires et scripts en dehors d'un environnement de machine virtuelle sécurisé et isolé.
Le mot de passe pour toute archive ZIP protégée par mot de passe dans ce dépôt est flare.
Auteurs : Jae Young Kim et Nick Harbour
Lien du module : Cours intensif d'analyse de malware
Répertoire du module : /macc
Alors que les outils d'analyse statique et les produits sandbox continuent de progresser, ils fournissent des informations de plus en plus précieuses sur les binaires de malware. Cependant, lorsque la fiabilité et la précision sont cruciales, faire des affirmations définitives sur un échantillon de malware nécessite encore une compréhension complète du programme grâce à la rétro-ingénierie manuelle.
Ce cours est un apprentissage intensif sur la lecture, l'interprétation et la manipulation du code assembleur, qui reste la pierre angulaire des compétences d'un ingénieur en rétro-ingénierie. À la fin de cette formation, vous aurez développé les compétences pratiques nécessaires pour commencer à analyser des échantillons typiques de malware Windows.
Le cours commence par les bases de l'assembleur x86 et introduit progressivement des constructions de programmation de plus haut niveau. Il inclut également les connaissances Windows essentielles requises pour commencer la rétro-ingénierie de malware basé sur Windows.
Mettant l'accent sur une approche d'apprentissage par la pratique, la progression du cours intègre de nombreux exercices de manipulation d'assembleur. Nous croyons que la répétition de l'écriture d'assembleur et du débogage des résultats est le moyen le plus efficace de maîtriser rapidement les fondamentaux nécessaires pour rétro-ingénier des programmes plus gros et complexes. Le cours propose également des quiz éclair ainsi que plusieurs laboratoires avec des solutions détaillées.
Auteur : Jae Young Kim
Lien du module : La référence de rétro-ingénierie Go
La référence de rétro-ingénierie Go est une référence complète pour la rétro-ingénierie des exécutables Go. La référence se compose de trois sections :
Tout le matériel de cette référence est actuellement limité aux exécutables Windows AMD64 compilés avec Go version 1.24.0.
Auteurs : Josh Stroschein et Jae Young Kim
Lien du module : Introduction au débogage par voyage dans le temps
Répertoire du module : /ttd
Le débogage par voyage dans le temps (TTD), une technologie proposée par Microsoft dans le cadre de WinDbg, enregistre l'exécution d'un processus pour créer un fichier de trace qui peut être rejoué en avant et en arrière. Contrairement au débogage conventionnel, qui ne permet qu'un traçage d'exécution vers l'avant, la capacité de « rembobinage » du TTD est particulièrement puissante pour l'analyse de malware et la rétro-ingénierie. Cette fonctionnalité permet à un analyste d'inspecter le comportement d'un programme dans le temps, accélérant considérablement le triage en identifiant rapidement les événements malveillants. La capacité d'avancer et de reculer dans l'exécution est également essentielle pour comprendre et contourner les techniques d'anti-analyse et d'obscurcissement.
TTD capture le chemin d'exécution et l'état d'un programme, créant une trace de sortie via une couche transparente qui permet une interaction complète avec le système d'exploitation. Un fichier de trace préserve un enregistrement de l'exécution qui peut être partagé avec des collègues pour faciliter la collaboration, contournant les différences environnementales qui peuvent affecter les résultats du débogage en direct. Des points spécifiques de l'exécution peuvent également être marqués et partagés pour orienter l'analyse d'un collègue. De plus, il inclut des objets du modèle de données du débogueur, permettant aux utilisateurs d'interroger la trace avec LINQ pour trouver des événements spécifiques comme les chargements de modules, l'exécution de shellcode ou les événements d'injection de processus.
Ce module est une introduction au TTD et à son application à l'analyse de malware Windows. Le module intègre une démo détaillée et un laboratoire pour fournir une pratique guidée et pratique. Il inclut également une référence pour utiliser JavaScript afin d'automatiser les tâches TTD ainsi que plusieurs exemples de scripts. À la fin du module, vous devriez être prêt à commencer à intégrer cet outil puissant dans votre flux de travail de triage de malware et à accélérer votre analyse dans des scénarios de débogage complexes.
Nous n'acceptons actuellement pas de contributions à ce dépôt, mais toute errata, suggestion et retour sont les bienvenus à l'adresse [email protected].
Abonnez-vous à la liste de diffusion FLARE pour les annonces de la communauté en envoyant un e-mail avec l'objet "subscribe" à [email protected].
