Продвинутая деобфускация бинарного кода

Этот репозиторий содержит учебные материалы курса «Продвинутая деобфускация бинарного кода», проводимого на Global Cybersecurity Camp (GCC) Tokyo и Security Camp National Workshop в 2020 году.

Аннотация курса

Обратная разработка непроста, особенно если бинарный код обфусцирован. После применения обфускации бинарный код не может быть точно проанализирован только наивными методами. В этом курсе вы изучите принципы обфускации (особенно используемые вредоносным ПО), теорию и практику анализа обфусцированного кода, а также то, как написать собственный инструмент для деобфускации. В частности, мы углубимся в анализ потоков данных и анализ бинарного кода на основе SAT/SMT (например, символическое выполнение), чтобы сделать обфускацию неэффективной.

Содержание

Этот курс посвящен деобфускации бинарного кода и предназначен для аналитиков безопасности и исследователей (в зародыше), желающих добавить в свой арсенал навыки написания собственных инструментов. По окончании курса слушатели смогут:

• Глубоко понимать теорию, практику и скрытые аспекты обфускации
• Создавать собственные обфусцированные полезные нагрузки с использованием современных упаковщиков
• Применять методы оптимизации компиляторов к задачам бинарного анализа
• Проектировать и реализовывать автоматизированные инструменты бинарного анализа на основе механизма символического выполнения
• Даже анализировать обфусцированное вредоносное ПО, используемое в кампаниях APT

Для достижения этой цели курс проводился в формате сочетания аудиторных занятий и практических упражнений на GCC.

Требуемые знания

Слушатели должны иметь:

• Хорошие навыки работы с архитектурой x86/x64
• Базовый опыт работы с C/C++ и Python
• Базовое понимание низкоуровневой информатики (например, ОС, компиляторы, интерпретаторы, компоновщики и загрузчики)

Следующие ссылки помогут восполнить пробелы.

• Reverse Engineering 101
• Modern Binary Exploitation by RPISEC

Быстрый старт

Мы предполагаем использование Ubuntu 18.04 с Miasm, Z3 и Jupyter Notebook.

1. Установите VirtualBox
2. Загрузите образ Ubuntu 18.04.3 и установите его в VirtualBox
3. Клонируйте этот репозиторий
4. Выполните ./setup.sh ./
5. Установите IDA Freeware
6. Прочитайте Advanced-Binary-Deobfuscation.pdf и наслаждайтесь!