Smoke 設定抽出

概要

このプロジェクトは、初期ステージからsmokeloaderサンプルの設定を抽出することを目的としています。静的解析のみで行う方針だったため、より複雑なコンポーネントの一部をバイパスするためにUnicornのようなツールに頼らざるを得ませんでした。

この抽出がこのファミリーでどのように機能するかに関係なく、このリポジトリは、従来型ではないマルウェアファミリーに対して設定抽出がどのように機能し得るかの例として役立ちます。

プレビュー

特徴

• 難読化解除
• 最終ステージのアンパック
• 設定抽出

TO-DO

• PythonでのLZSA復元
• アフィリエイトID抽出の100%精度

使用したプロジェクト

• Unicorn Emulator - 復元関数のエミュレーション用
• Radare2 - オープンソースの逆アセンブリと関数解析を提供
• Alex HanelのUnicorn PE Loader - UnicornでPEファイルをロードするためのベースを提供

使用例

virtualenv venv
source venv/bin/activate
pip install -r requirements.txt 
python main.py smokeloader_stage_1.bin --json