Deoffuscazione Binaria Avanzata

Questo repository contiene i materiali del corso di Deoffuscazione Binaria Avanzata tenuto al Global Cybersecurity Camp (GCC) Tokyo e al Security Camp National Workshop nel 2020.

Abstract del Corso

Il reverse engineering non è semplice, specialmente quando un codice binario è offuscato. Una volta eseguita l'offuscazione, il binario non può essere analizzato accuratamente solo con tecniche ingenue. In questo corso imparerai i principi dell'offuscazione (in particolare quelli usati dai malware), la teoria e la pratica dell'analisi del codice offuscato e come scrivere il tuo strumento per la deoffuscazione. In particolare, approfondiamo l'analisi del flusso di dati e l'analisi binaria basata su SAT/SMT (ad esempio, l'esecuzione simbolica) per rendere inefficace l'offuscazione.

Schema del Corso

Questo corso riguarda la deoffuscazione binaria, pensato per analisti della sicurezza e ricercatori (in erba) che desiderano aggiungere al proprio arsenale la capacità di scrivere il proprio strumento. Al termine del corso, i partecipanti saranno in grado di:

• Comprendere in profondità la teoria, la pratica e gli spunti alla base dell'offuscazione
• Costruire un payload offuscato personalizzato con packer all'avanguardia
• Applicare tecniche di ottimizzazione dei compilatori a compiti di analisi binaria
• Progettare e implementare strumenti automatizzati di analisi binaria basati su un motore di esecuzione simbolica
• Analizzare persino malware offuscato utilizzato in campagne APT

A tal fine, il corso è stato tenuto come combinazione di lezioni frontali e formazione pratica al GCC.

Prerequisiti

I partecipanti dovrebbero avere:

• Competenze solide nell'architettura x86/x64
• Esperienza di base con C/C++ e Python
• Comprensione di base di informatica a basso livello (ad es. sistemi operativi, compilatori, interpreti, linker e loader)

I seguenti link sono utili per colmare le lacune.

• Reverse Engineering 101
• Modern Binary Exploitation by RPISEC

Avvio Rapido

Assumiamo Ubuntu 18.04 con Miasm, Z3 e Jupyter Notebook.

1. Installa VirtualBox
2. Scarica l'immagine di Ubuntu 18.04.3 e installala in VirtualBox
3. Clona questo repository
4. Esegui ./setup.sh ./
5. Installa IDA Freeware
6. Leggi Advanced-Binary-Deobfuscation.pdf e divertiti!