Malware-analysis-and-Reverse-engineering

私が公開しているマルウェア解析とリバースエンジニアリングの一部（レポート、ヒント、テクニック...）

[KPOT v2.0 スティーラーのリバースエンジニアリング]

[MBRのデバッグ - IDA + Bochsエミュレータ（CTFの例）]

[WiresharkでのTLS復号]

[Ryukランサムウェア - API解決とインポート再構築]

[Formbookのリバースエンジニアリング]

[エンコードされたシェルコードのリバースエンジニアリング]

[WINDBG カーネル＆ユーザーモードデバッグ（EPROCESS、ETHREAD、TEB、PEB...）]

[Cutter 2.0 - 新機能の紹介（リバースデバッギング...）]

[C関数fopenのトレーシング]

C関数fopenのトレーシング [パート1] - IDA FreeユーザーモードウォークスルーでNTApiまでトレーシング
C関数fopenのトレーシング [パート2] - Windbgカーネルデバッグ - ユーザーモードからカーネルエグゼクティブサブシステムへのウォークスルー

[可視シート vs 非表示シート vs VeryHiddenシート - Excelバイナリファイル形式(.xls)]

[Metasploitを使用したCVE-2019-0708（BlueKeep）の悪用（手動設定 GROOMBASE + GROOMSIZE）]

[MSOfficeの外部リソース参照の悪用]

MSOfficeの外部リソース参照の悪用 [パート1] - TEMPLATE_INJECTION
MSOfficeの外部リソース参照の悪用 [パート2] - OLEOBJECT_INJECTION

[CyberDefenders「DumpMe」メモリフォレンジックチャレンジを1時間でリアルタイムに解決]

[PSでのVolatility3出力フォーマットのテクニック]

[高度なメモリフォレンジック（Windows）- 脅威ハンティングと初期マルウェア解析]

[LokiBotの解析]

[1] Lokibotの解析 - Windbg（カーネルデバッグ）とLive C2でGuLoaderを無効化
[2] Lokibotの解析 - GULoaderとLokiBot C2のスプーフィング [パート1] - Pythonによる独自実装
[2] Lokibotの解析 - GULoaderとLokiBot C2のスプーフィング [パート2] - INetSim + BurpSuite
[3] Lokibotの解析 - リバースエンジニアリング、APIハッシュ、デコード

[Kaseya攻撃に関連するREvilランサムウェアの高速API解決]

[COMとの戯れ - コンポーネントオブジェクトモデルを深く理解する]

COMとは何かとその機能、レジストリ内のCOM（ツール - COMビューアー）、COMクライアント/サーバー（Powershell/.NET COMクライアントの使用）、IDAでのCOMインスタンスとメソッドのリバースエンジニアリング（構造体、型、ComIDAプラグイン）、LokiBotマルウェアサンプルでのCOMメソッドの興味深い使用方法

[HiveNightmare - レジストリハイブのACLのバグ]

[PE解析ツールの脆弱性発見 - 自分で書いていないツールは決して信頼するな]

[静的にインポートされたオープンソースライブラリを使用するバイナリ（マルウェアサンプル）のリバースエンジニアリング]

静的にインポートされたオープンソースライブラリを使用するマルウェアサンプルのリバースエンジニアリングに取り組む際のメモ、ヒント、テクニック

[CryptoCrazyランサムウェアのリバースエンジニアリング - PoC復号ツールといくつかのテクニック]

この動画では、リバースエンジニアリングとPythonでのPoC復号ツール作成のガイドを紹介します。動画の最後の部分では、このランサムウェアの復号ルーチンだけをPowershellから直接動的に呼び出し、すべてのファイルを復号する別のテクニックも紹介します。

[.NETリバースエンジニアリングにおけるPowershellとDnSpyのテクニック – AgentTesla]

[Powershellを本当に理解していると思っているのか???]

マネージドコードとアンマネージドコード。リバースエンジニアリングとデバッグ中の難しさ。
良い例のひとつがPowershell自身です。

[AgentTeslaマルウェアの完全なマルウェア解析ワークフロー]

[SmartAssembly 8+の難読化解除とSAE+DnSpyによる元のモジュールの再作成]

この動画では、SAE（Simple-Assembly-Explorer）を使用した最新のSmartAssembly 8+（.NET用商用難読化ツール）の難読化解除と、 DnSpyを使用した元のモジュールの再作成について説明します。[サンプルダウンロード]

[.NETリバースエンジニアリングにおける高度なDnSpyテクニック - トレーシング、ブレーク、VMProtectへの対処]

[NightSkyランサムウェア – VMProtectスーツをまとった単なるRook RWフォーク]

[IDAProによるDelphi MBRワイパーと感染ブートストラップコードのリバースエンジニアリング]

サンプル、私が準備した注釈付きIDA IDB、Bochsイメージ：[Download-Pass:infected]

[.NETリバースエンジニアリング Get-PDInvokeImports - P/Invoke、D/Invokeおよび動的P/Invokeへの対処]

マネージドコードからアンマネージドコードを呼び出すためのP/Invoke、D/Invoke、動的P/Invoke実装の.NETリバースエンジニアリングに関する動画です。ツールGet-PDInvokeImportsを紹介します [Get-PDInvokeImports]

[マルウェア解析レポート – APT29 C2クライアントDropboxローダー]

APT29 C2クライアントDropboxローダーのリバースエンジニアリングへの深掘り。

[.NETランタイムを読み込むHTMLアプリケーション「HTA」の解析]

[ゼロからヒーローへ - Tiny_TracerでAPT29をトレーシングする高度な使い方]

詳細については、動画の下の説明を確認してください。

[.NETリバースエンジニアリングにおける高度なDnSpyテクニック2 - PSデバッグ、Watch vs Locals、コード最適化、その他..]

Powershellスクリプトのデバッグ時にPowershellプロセスをデバッグ - モジュール読み込みをキャッチ（dnSpy）
DnSpyマルチプロセスデバッグ
.NETデバッグ中のコード最適化への対処（いつ、なぜLocalsが表示されずブレークポイントを設定できないのか）
dnSpyのWatch vs Localsウィンドウ - 両方の利点を活かす（フィールドの表示、式の呼び出しなど）

[ネイティブ関数とアセンブリコードの呼び出し]

CPR @CPResearch のもとで公開した最初のヒントとテクニック - IDA-Appcall、Dumpulator、純粋なUnicorn Engineの実践的な使い方を紹介。
注釈付きコードスニペットを最大限に活用できます。
これを実現するのに協力してくれたチームメンバー @BenHerzog11235 と @a14xt に感謝します。