astaroth-deobfuscator

Astaroth/Guildma 인젝터 DLL의 난독화를 해제하기 위한 IDA python 스크립트

최근 Astaroth/Guildma 캠페인의 인젝터 DLL을 분석하려고 할 때 (SANS ISC의 이 일기 덕분에), 정말 짜증나는 난독화 시도를 발견했습니다.

아래 이미지에서 time_waster_3000이라고 명명한 함수는 DLL 전체에서 1,000회 이상 호출됩니다(!!!). 이 함수는 하드코딩된 문자열 여섯 개와 임의의 word 하나를 인자로 받습니다. 함수 자체는 제가 알기로 실용적인 목적이 전혀 없는 산술 연산의 토끼굴입니다(리버서의 시간을 낭비하는 것 외에는). 다음은 DLLEntry에 이런 성가신 호출들이 있는 모습입니다:

이 IDA python 스크립트의 목적은 이 정크 함수 호출과 그 인자들이 포함된 모든 코드 블록을 숨기는 것입니다. 스크립트 실행 후 DLLEntry의 모습은 다음과 같습니다:

중요 고려 사항

• 이 스크립트는 스크립트에서 call sub_CHANGEME로 표현되는 패딩 함수 호출을 찾아 작동합니다. 따라서 처리 중인 샘플에서 찾은 함수 이름으로 스크립트 안의 이름을 바꿔야 합니다. 예를 들어, idc.print_operand(x, 0) == 'sub_CHANGEME'를 idc.print_operand(x, 0) == 'sub_431000'로 변경합니다.

• 저는 인자 푸시 대신 call sub_CHANGEME 명령어를 기준으로 반복하도록 선택했습니다. 그 이유는 간단합니다. 하드코딩된 문자열은 바이너리 전체의 여러 위치에 존재하므로, 해당 문자열의 오프셋이 포함된 push 명령어를 기준으로 검색하면 이 정크 데이터의 모든 인스턴스를 찾을 수 없었기 때문입니다.

• 이 스크립트는 원래 인자 전달과 패딩 함수 호출의 각 인스턴스를 각각 하나의 접힌 블록으로 숨기는 방식이었습니다. 함수가 연속으로 여러 번 호출되기 때문에 디스어셈블리 뷰에 거대한 빈 공간이 생겼습니다. 이제 연속된 패딩 인스턴스를 하나의 접힌 블록으로 숨기도록 업데이트했으며, 이는 가독성을 크게 향상시킵니다.