Malware-analysis-and-Reverse-engineering

Некоторые из моих публично доступных материалов по анализу вредоносных программ и реверс-инжинирингу (отчёты, советы, хитрости...)

[Реверс-инжиниринг стилера KPOT v2.0]

[Отладка MBR - IDA + Bochs Emulator (пример CTF)]

[Расшифровка TLS в Wireshark]

[Ryuk Ransomware - разрешение API и реконструкция импортов]

[Реверс-инжиниринг Formbook]

[Реверс-инжиниринг закодированного шеллкода]

[WINDBG: отладка в режиме ядра и пользовательском режиме (EPROCESS, ETHREAD, TEB, PEB...)]

[Cutter 2.0 - знакомство с новыми возможностями (обратная отладка...)]

[Трассировка C-функции fopen]

Трассировка C-функции fopen [Часть 1] - IDA Free, пошаговое прохождение трассировки в пользовательском режиме до NTApi
Трассировка C-функции fopen [Часть 2] - Windbg, отладка ядра - прохождение из пользовательского режима до исполнительной подсистемы ядра

[Видимый vs Скрытый vs Очень скрытый лист - двоичный формат файлов Excel (.xls)]

[Эксплуатация CVE-2019-0708 (BlueKeep) с помощью Metasploit (ручные настройки GROOMBASE + GROOMSIZE)]

[Злоупотребление внешними ссылками на ресурсы в MSOffice]

Злоупотребление внешними ссылками на ресурсы в MSOffice [часть 1] - TEMPLATE_INJECTION
Злоупотребление внешними ссылками на ресурсы в MSOffice [часть 2] - OLEOBJECT_INJECTION

[Решение задачи CyberDefenders "DumpMe" по форензике памяти в реальном времени за 1 час]

[Трюк с форматированием вывода Volatility3 в PS]

[Продвинутая форензика памяти (Windows) - поиск угроз и первичный анализ вредоносных программ]

[Анализ LokiBot]

[1] Анализ Lokibot - побеждаем GuLoader с помощью Windbg (отладка ядра) и Live C2
[2] Анализ Lokibot - спуфинг GULoader и C2 LokiBot [часть 1] - собственная реализация на Python
[2] Анализ Lokibot - спуфинг GULoader и C2 LokiBot [часть 2] - INetSim + BurpSuite
[3] Анализ Lokibot - реверс-инжиниринг, хеширование API, декодирование

[Быстрое разрешение API вымогателя REvil, связанного с атакой на Kaseya]

[Танцы с COM - глубокое погружение в понимание Component Object Model]

Что такое COM и его функциональность, COM в реестре (инструменты - просмотрщики COM), COM «клиент-сервер» (использование COM-клиента через Powershell/.NET), реверс-инжиниринг COM-экземпляров и методов в IDA (структуры, типы, плагин ComIDA), интересный способ использования COM-метода в образце вредоносного ПО LokiBot

[HiveNightmare - ошибка в ACL кустов реестра]

[Поиск уязвимости в инструменте разбора PE - НИКОГДА не доверяйте инструменту, который вы не написали сами]

[Реверс-инжиниринг бинарного файла (образца вредоносного ПО), использующего статически импортированную библиотеку с открытым исходным кодом]

Некоторые заметки, советы и хитрости при реверс-инжиниринге образца вредоносного ПО, использующего статически импортированную библиотеку с открытым исходным кодом

[Реверс-инжиниринг вымогателя CryptoCrazy - PoC-дешифратор и некоторые хитрости]

Это видео представляет собой руководство по реверс-инжинирингу и созданию PoC-дешифратора на Python. В последней части видео я расскажу ещё об одном трюке: как динамически вызвать только процедуру дешифрования этого вымогателя напрямую из Powershell и получить все файлы расшифрованными.

[Приёмы Powershell и DnSpy в реверс-инжиниринге .NET – AgentTesla]

[Так ты действительно думаешь, что знаешь, что такое Powershell ???]

Управляемый код против неуправляемого кода. Трудности при реверс-инжиниринге и отладке.
Один хороший пример - сам Powershell.

[Полный рабочий процесс анализа вредоносного ПО AgentTesla]

[Деобфускация SmartAssembly 8+ и воссоздание исходного модуля с помощью SAE+DnSpy]

Видео охватывает деобфускацию последней версии SmartAssembly 8+ (коммерческого обфускатора для .NET) с помощью SAE (Simple-Assembly-Explorer) и воссоздание исходного модуля с помощью DnSpy. [Скачать образцы]

[Продвинутые приёмы DnSpy в реверс-инжиниринге .NET - трассировка, точки останова, работа с VMProtect]

[NightSky Ransomware – просто форк Rook RW в обёртке VMProtect]

[Реверс-инжиниринг в IDAPro: Delphi MBR Wiper и заражённый загрузочный код]

Образец, мой подготовленный аннотированный IDA IDB, образ Bochs: [Скачать-Пароль:infected]