Malware-analysis-and-Reverse-engineering

Alcune delle mie analisi di malware e reverse engineering disponibili pubblicamente (Report, Suggerimenti, Trucchi...)

[Reverse engineering di KPOT v2.0 Stealer]

[Debugging MBR - IDA + Bochs Emulator (esempio CTF)]

[Decifratura TLS in Wireshark]

[Ryuk Ransomware - Risoluzione API e ricostruzione degli import]

[Reversing di Formbook]

[Reversing di shellcode codificato]

[Debugging in Kernel & User Mode con WINDBG (EPROCESS, ETHREAD, TEB, PEB...)]

[Cutter 2.0 - Introduzione alle nuove funzionalità (Reverse Debugging...)]

[Tracciamento della funzione C fopen]

Tracciamento della funzione C fopen [Part1] - Walk-Through in User-Mode con IDA Free fino a NTApi
Tracciamento della funzione C fopen [Part2] - Kernel Debugging con Windbg - Walk-Through dalla User-Mode al Kernel Executive Subsystem

[Foglio Visibile vs Nascosto vs Molto Nascosto - Formato di file binario di Excel (.xls)]

[Sfruttare CVE-2019-0708 (BlueKeep) con Metasploit (Impostazioni manuali GROOMBASE + GROOMSIZE)]

[Abuso dei riferimenti a risorse esterne in MSOffice]

Abuso dei riferimenti a risorse esterne in MSOffice [part1] - TEMPLATE_INJECTION
Abuso dei riferimenti a risorse esterne in MSOffice [part2] - OLEOBJECT_INJECTION

[Risoluzione in tempo reale della challenge di Memory Forensics "DumpMe" di CyberDefenders in 1 ora]

[Trucco per la formattazione dell'output di Volatility3 in PS]

[Memory Forensics avanzata (Windows) - Threat Hunting e analisi iniziale del malware]

[Analisi di LokiBot]

[1] Analisi di Lokibot - sconfiggere GuLoader con Windbg (kernel debugging) e Live C2
[2] Analisi di Lokibot - spoofing di GULoader e del C2 di LokiBot [part1] - Implementazione propria in Python
[2] Analisi di Lokibot - spoofing di GULoader e del C2 di LokiBot [part2] - INetSim + BurpSuite
[3] Analisi di Lokibot - Reversing, API Hashing, decodifica

[Risoluzione rapida delle API del ransomware REvil relativo all'attacco Kaseya]

[Ballare con COM - Approfondimento per comprendere il Component Object Model]

Cos'è COM e le sue funzionalità, COM nel Registro (strumenti - COM viewers), COM Client-Server (usando client COM PowerShell/.NET), Reversing di istanze e metodi COM in IDA (strutture, tipi, plugin ComIDA), modo interessante di usare un metodo COM nel campione di malware LokiBot

[HiveNightmare - Bug negli ACL degli hive del Registro]

[Trovare vulnerabilità in uno strumento di parsing PE - NON fidarti mai di uno strumento che non hai scritto tu]

[Reversing di un binario (campione di malware) che utilizza una libreria open source importata staticamente]

Alcune note, suggerimenti e trucchi quando si affronta il reversing di un campione di malware che utilizza una libreria open source importata staticamente

[Reversing del ransomware CryptoCrazy - Decryptor PoC e alcuni trucchi]

Questo video copre una guida al reversing e alla creazione di un decryptor PoC in Python. Nell'ultima parte del video tratterò un altro trucco su come invocare dinamicamente solo la routine di decifratura di questo ransomware direttamente da PowerShell e ottenere la decifratura di tutti i file.

[Trucchi PowerShell e DnSpy nel reversing .NET – AgentTesla]

[Quindi pensi davvero di sapere cos'è PowerShell ???]

Codice gestito vs codice non gestito. Difficoltà durante il reversing e il debug.
Un bell'esempio è PowerShell stesso.

[Workflow completo di analisi del malware AgentTesla]

[Deoffuscazione di SmartAssembly 8+ e ricreazione del modulo originale con SAE+DnSpy]

Il video tratta la deoffuscazione dell'ultimo SmartAssembly 8+ (offuscatore commerciale per .NET) usando SAE (Simple-Assembly-Explorer) e la ricreazione del modulo originale usando DnSpy. [Download dei campioni]

[Trucchi avanzati di DnSpy nel reversing .NET - Tracing, Breaking, gestione di VMProtect]

[NightSky Ransomware – solo un fork di Rook RW rivestito di VMProtect]

[Reversing con IDA Pro del Delphi MBR Wiper e del codice di bootstrap infetto]

Campione, il mio IDB IDA annotato preparato, immagine Bochs: [Download-Password:infected]