EntropyReducer: 페이로드의 엔트로피를 줄이고 직렬화된 연결 리스트로 난독화하기

작동 방식

EntropyReducer 알고리즘은 BUFF_SIZE 및 NULL_BYTES 값에 의해 결정됩니다. 다음은 BUFF_SIZE가 4로, NULL_BYTES가 2로 설정된 경우 EntropyReducer가 페이로드를 구성하는 방식입니다.

난독화 알고리즘

EntropyReducer는 먼저 입력된 원시 페이로드의 크기가 BUFF_SIZE의 배수인지 확인하고, 그렇지 않으면 그렇게 되도록 패딩합니다.
그런 다음 페이로드에서 BUFF_SIZE 크기의 각 청크를 가져와 InitializePayloadList 함수를 사용하여 연결 리스트 노드를 만들고, 페이로드를 연결 리스트로 초기화합니다.
생성된 노드는 엔트로피를 낮추는 데 사용될 NULL_BYTES 크기의 빈 버퍼를 갖습니다.
이 시점에서 EntropyReducer는 페이로드의 엔트로피를 낮춤으로써 작업을 완료했지만, 여기서 멈추지 않습니다. 이어서 연결 리스트의 각 노드 순서를 무작위화하여 원시 페이로드의 순서를 깨뜨립니다. 이 단계는 MergeSort 함수를 통해 구현된 병합 정렬 알고리즘으로 수행됩니다.
정렬된 연결 리스트는 무작위 순서를 갖는데, 연결 리스트가 정렬되는 기준 값이 원시 페이로드의 처음 세 바이트의 XOR 값이기 때문입니다. 이 값이 재구성된 연결 리스트에서의 위치를 결정하며, 이 단계는 여기에서 확인할 수 있습니다.
연결 리스트는 포인터로 연결되어 있기 때문에 파일로 저장하는 것이 불가능합니다. 따라서 이를 직렬화해야 합니다.
생성된 연결 리스트의 직렬화는 여기의 Obfuscate 함수를 통해 수행됩니다.
그 후, 직렬화된 데이터를 출력 파일에 쓸 준비가 됩니다.

역난독화 알고리즘

난독화 알고리즘의 마지막 단계가 연결 리스트를 직렬화하는 것이었으므로, 여기서 가장 먼저 해야 할 일은 난독화된 페이로드를 역직렬화하여 연결 리스트를 생성하는 것입니다. 이 단계는 Deobfuscate 함수의 여기에서 수행됩니다.
다음 단계는 노드의 Id를 사용하여 연결 리스트를 정렬하는 것이며, 이는 앞서 사용한 것과 동일한 병합 정렬 알고리즘을 사용하여 수행됩니다.
이제 연결 리스트가 페이로드의 바이트를 원래대로 재구성할 수 있는 올바른 순서가 되었습니다. 따라서 여기에서처럼 각 노드에서 페이로드의 원본 바이트를 단순히 추출합니다.
마지막 단계는 할당된 노드를 해제하는 것이며, 이는 여기에서 수행됩니다.

사용법

EntropyReducer는 단순히 명령줄에서 원시 페이로드 파일을 읽고, 난독화된 버전을 같은 파일 이름에 ".ER" 접두사를 붙여 씁니다.
최종 난독화된 페이로드의 크기는 BUFF_SIZE와 NULL_BYTES 값에 따라 달라집니다. 그러나 다음 방정식을 사용하여 결정할 수 있습니다

FinalSize = ((OriginalSize + BUFF_SIZE - OriginalSize % BUFF_SIZE ) / BUFF_SIZE) * (BUFF_SIZE + NULL_BYTES + sizeof(INT))

이 저장소의 PoC 프로젝트는 예시로 생성된 ".ER" 파일을 역직렬화하고 난독화 해제하는 데 사용됩니다.

프로젝트에 포함하기

해야 할 일은 EntropyReducer.c와 EntropyReducer.h 파일을 프로젝트에 추가하고 Deobfuscate 함수를 호출하는 것뿐입니다. 참고로 PoC/main.c를 확인할 수 있습니다.

출력 예시

이 예시에서는 BUFF_SIZE가 3으로, NULL_BYTES가 1로 설정되었습니다.

원본 페이로드, 첫 번째 페이로드 청크 (FC 48 83)

동일한 페이로드 청크이지만 다른 오프셋에 위치

효과

metasploit으로 생성된 x64 calc 셸코드는 엔트로피가 5.883이며, pestudio로 확인한 결과입니다.

동일한 파일을 AES로 암호화한 경우 엔트로피 점수는 7.110입니다.

RC4 알고리즘을 사용해도 거의 동일한 결과입니다; 7.210

그러나 EntropyReducer를 사용하면 원본 페이로드보다도 더 낮은 엔트로피 점수를 기록합니다; 4.093

Packer-payload-EntropyReducer

인기