Malware-analysis-and-Reverse-engineering

Algumas das minhas análises de malware e engenharia reversa disponíveis publicamente (Relatórios, Dicas, Truques...)

[Engenharia reversa do KPOT v2.0 Stealer]

[Depuração de MBR - IDA + Emulador Bochs (exemplo de CTF)]

[Decriptação de TLS no Wireshark]

[Ryuk Ransomware - Resolução de API e reconstrução de Imports]

[Engenharia reversa do Formbook]

[Engenharia reversa de shellcode codificado]

[Depuração de Modo Kernel e de Usuário com WINDBG (EPROCESS, ETHREAD, TEB, PEB...)]

[Cutter 2.0 - Introdução aos novos recursos (Depuração reversa...)]

[Rastreando a função fopen da linguagem C]

Rastreando a função fopen da linguagem C [Parte 1] - Passo a passo em modo usuário com IDA Free, rastreando até NTApi
Rastreando a função fopen da linguagem C [Parte 2] - Depuração de kernel com Windbg - Passo a passo do modo usuário ao Subsistema Executivo do Kernel

[Planilha Visível vs Oculta vs Muito Oculta - Formato de Arquivo Binário do Excel (.xls)]

[Explorando CVE-2019-0708 (BlueKeep) usando Metasploit (Configurações manuais GROOMBASE + GROOMSIZE)]

[Abusando de Referências de Recursos Externos do MSOffice]

Abusando de Referências de Recursos Externos do MSOffice [parte 1] - TEMPLATE_INJECTION
Abusando de Referências de Recursos Externos do MSOffice [parte 2] - OLEOBJECT_INJECTION

[Resolvendo em tempo real o desafio de Forense de Memória "DumpMe" do CyberDefenders em 1 hora]

[Truque de formatação de saída do Volatility3 no PS]

[Forense de Memória Avançada (Windows) - Threat_Hunting e Análise Inicial de Malware]

[Analisando o LokiBot]

[1] Analisando o Lokibot - derrotando o GuLoader com Windbg (Depuração de kernel) e C2 ao vivo
[2] Analisando o Lokibot - falsificando (spoofing) o GULoader e o C2 do LokiBot [parte 1] - Implementação própria em Python
[2] Analisando o Lokibot - falsificando (spoofing) o GULoader e o C2 do LokiBot [parte 2] - INetSim + BurpSuite
[3] Analisando o Lokibot - Engenharia reversa, API Hashing, decodificação

[Resolução rápida de API do Ransomware REvil relacionado ao ataque à Kaseya]

[Dançando com COM - Mergulho profundo no entendimento do Component Object Model]

O que é COM e sua funcionalidade, COM no Registro (Ferramentas - visualizadores de COM), Cliente-Servidor COM (Usando cliente COM Powershell/.NET), Engenharia reversa de instâncias e métodos COM no IDA (Estruturas, Tipos, plugin ComIDA), Maneira interessante de usar o Método COM na amostra de malware LokiBot

[HiveNightmare - Bug nas ACLs dos Hives do Registro]

[Encontrando Vulnerabilidade em ferramenta de parsing de PE - NUNCA confie em uma ferramenta que você não escreveu por conta própria]

[Engenharia reversa de binário (amostra de Malware) que usa biblioteca OpenSource importada estaticamente]

Algumas anotações, dicas e truques ao lidar com engenharia reversa de amostra de malware que usa biblioteca OpenSource importada estaticamente

[Engenharia reversa do Ransomware CryptoCrazy - Decriptador de PoC e alguns Truques]

Este vídeo aborda um guia durante a engenharia reversa e a criação de um decriptador de PoC em Python. Na última parte do vídeo, abordarei outro truque de como invocar dinamicamente apenas a rotina de descriptografia deste Ransomware diretamente do Powershell e obter todos os arquivos descriptografados.

[Truques de Powershell e DnSpy em engenharia reversa de .NET – AgentTesla]

[Então você realmente acha que sabe o que é o Powershell ???]

Código gerenciado vs código não gerenciado. Dificuldades durante a engenharia reversa e a depuração.
Um ótimo exemplo é o próprio Powershell.

[Fluxo de trabalho completo de análise de malware do Malware AgentTesla]

[Desofuscação do SmartAssembly 8+ e recriação do Módulo Original com SAE+DnSpy]

O vídeo aborda a desofuscação do mais recente SmartAssembly 8+ (ofuscador comercial para .NET) usando SAE (Simple-Assembly-Explorer) e a recriação do módulo original usando DnSpy. [Download das Amostras]

[Truques avançados de DnSpy em engenharia reversa de .NET - Rastreamento, Breakpoints, lidando com VMProtect]

[NightSky Ransomware – apenas um fork do Rook RW vestindo um terno VMProtect]