
Трассировщик на основе Intel Pin для вызовов API, системных вызовов и инструкций с анти-отладочным обходом, используемый для анализа вредоносного ПО и обратной разработки упакованных бинарных файлов.
Инструмент Pin для трассировки:
Обходит некоторые известные методы анти-отладки и анти-VM
Создаёт отчёт в формате .tag (который можно загрузить в другие инструменты анализа):
RVA;traced event
т.е.
345c2;section: .text
58069;called: C:\Windows\SysWOW64\kernel32.dll.IsProcessorFeaturePresent
3976d;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
3983c;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
3999d;called: C:\Windows\SysWOW64\KernelBase.dll.InitializeCriticalSectionEx
398ac;called: C:\Windows\SysWOW64\KernelBase.dll.FlsAlloc
3995d;called: C:\Windows\SysWOW64\KernelBase.dll.FlsSetValue
49275;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
4934b;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
...
Протестировано с Intel Pin 4.2.
Вы можете собрать его в Windows или в Linux. Подробные описания доступны здесь.
Если у вас возникли проблемы со сборкой проекта в Windows, вы можете воспользоваться тестовыми сборками с сервера AppVeyor. Выберите платформу, затем 'Artifacts'. Проверьте вывод 'Console', чтобы узнать, какая версия Pin требуется. Затем следуйте инструкциям по установке.
📖 Подробности об использовании вы найдёте на вики проекта.
Для автоматической генерации params.txt для трассировки аргументов API, попробуйте IAT-Tracer от YoavLevi
install32_64 вы найдёте утилиту, которая проверяет, отключён ли отладчик ядра (kdb_check.exe, исходный код), и она используется в .bat скриптах Tiny Tracer. Эта утилита иногда помечается Windows Defender как вредоносная (это известный ложноположительный результат). Если вы столкнулись с этой проблемой, вам может потребоваться исключить каталог установки из сканирования Windows Defender.🤔 Вопросы? Идеи? Присоединяйтесь к обсуждениям!