Malware-analysis-and-Reverse-engineering

我公开的一些恶意软件分析与逆向工程（报告、技巧、窍门...）

[调试 MBR - IDA + Bochs 模拟器（CTF 示例）]

[WINDBG 内核与用户模式调试（EPROCESS、ETHREAD、TEB、PEB...）]

[跟踪 C 函数 fopen]

跟踪 C 函数 fopen [第1部分] - IDA Free 用户模式演练，跟踪到 NTApi
跟踪 C 函数 fopen [第2部分] - Windbg 内核调试 - 从用户模式到内核执行子系统的演练

[可见、隐藏与深度隐藏工作表 - Excel 二进制文件格式（.xls）]

[使用 Metasploit 利用 CVE-2019-0708（BlueKeep）（手动设置 GROOMBASE + GROOMSIZE）]

[滥用 MSOffice 外部资源引用]

滥用 MSOffice 外部资源引用 [第1部分] - TEMPLATE_INJECTION
滥用 MSOffice 外部资源引用 [第2部分] - OLEOBJECT_INJECTION

[1 小时内实时解决 CyberDefenders “DumpMe” 内存取证挑战]

[高级内存取证（Windows）- 威胁狩猎与初始恶意软件分析]

[1] Lokibot 分析 - 使用 Windbg（内核调试）和 Live C2 击败 GuLoader
[2] Lokibot 分析 - 欺骗 GULoader 和 LokiBot C2 [第1部分] - 使用 Python 自行实现
[2] Lokibot 分析 - 欺骗 GULoader 和 LokiBot C2 [第2部分] - INetSim + BurpSuite
[3] Lokibot 分析 - 逆向、API 哈希、解码

[快速解析与 Kaseya 攻击相关的 REvil 勒索软件 API]

[与 COM 共舞 - 深入理解组件对象模型]

什么是 COM 及其功能、注册表中的 COM（工具 - COM 查看器）、COM 客户端-服务器（使用 PowerShell/.NET COM 客户端）、在 IDA 中逆向 COM 实例和方法（结构、类型、ComIDA 插件）、在 LokiBot 恶意软件样本中使用 COM 方法的有趣方式

[HiveNightmare - 注册表配置单元 ACL 中的 Bug]

[在 PE 解析工具中发现漏洞 - 永远不要相信你自己没有编写的工具]

[逆向使用静态导入开源库的二进制文件（恶意软件样本）]

在处理逆向使用了静态导入开源库的恶意软件样本时的一些笔记、技巧和窍门

[逆向 CryptoCrazy 勒索软件 - PoC 解密器和一些技巧]

本视频涵盖逆向过程中的指南，并使用 Python 制作 PoC 解密器。在视频的最后部分，我将介绍另一个技巧：如何直接从 PowerShell 动态调用该勒索软件的仅解密例程，并解密所有文件。

[.NET 逆向中的 Powershell 和 DnSpy 技巧 – AgentTesla]

[你真的以为你了解 PowerShell 吗？？？]

托管代码与非托管代码。逆向和调试过程中的难点。
一个很好的例子就是 PowerShell 本身。

[AgentTesla 恶意软件的完整恶意软件分析工作流]

[去混淆 SmartAssembly 8+ 并重建原始模块 SAE+DnSpy]

视频涵盖使用 SAE（Simple-Assembly-Explorer）对最新 SmartAssembly 8+（.NET 商业混淆器）进行去混淆，并使用 DnSpy 重建原始模块。[样本下载]

[.NET 逆向中的高级 DnSpy 技巧 - 跟踪、断点、处理 VMProtect]

[NightSky 勒索软件 – 只是套着 VMProtect 外衣的 Rook RW 分支]

[IDAPro 逆向 Delphi MBR 擦除器与受感染的引导代码]

样本、我准备的带注释的 IDA IDB、Bochs 镜像：[下载-密码:infected]

[.NET 逆向 Get-PDInvokeImports - 处理 P/Invoke、D/Invoke 和动态 P/Invoke]

本视频介绍 P/Invoke、D/Invoke 和动态 P/Invoke 实现的 .NET 逆向，这些实现用于从托管代码调用非托管代码。涵盖工具 Get-PDInvokeImports [Get-PDInvokeImports]

[恶意软件分析报告 – APT29 C2 客户端 Dropbox 加载器]

深入逆向 APT29 C2 客户端 Dropbox 加载器。

[分析加载 .NET 运行时的 HTML 应用程序 “HTA”]

[从零到精通 - Tiny_Tracer 跟踪 APT29 的高级用法]

更多信息 - 请查看视频下方的说明。

[.NET 逆向中的高级 DnSpy 技巧 2 - PS 调试、Watch 与 Locals、代码优化，以及更多...]

在调试 PowerShell 脚本时调试 PowerShell 进程 - 捕获模块加载（dnSpy）
DnSpy 多进程调试
处理 .NET 调试过程中的代码优化（何时以及为什么你看不到 Locals 并且无法设置断点）
dnSpy 中的 Watch 与 Locals 窗口 - 兼取两者优势（查看字段、调用表达式等）

[原生函数和汇编代码调用]

我在 CPR @CPResearch 下发布的第一篇技巧文章 - 展示 IDA-Appcall、Dumpulator 和纯 Unicorn Engine 的实用用法。
获得最佳且充满注释的代码片段。
非常感谢我的团队成员 @BenHerzog11235 和 @a14xt 帮助让这一切变得精彩。

[使用 PowerShell 与 dnlib 对 .NET 去混淆 - Eternity 恶意软件]

在本视频中，我将带你了解 .NET 去混淆，涵盖一些有趣的技巧和窍门。
我们将使用 PowerShell 和 dnlib 库。
我们将为 Eternity 恶意软件创建一个通用的字符串去混淆器，该恶意软件使用某种乍一看并不简单的自定义混淆。

[揭开 Azov 勒索软件的面纱：不是脚本小子软件，而是多态擦除器]

深入逆向 Azov 勒索软件 - 多态擦除器，在 CPR @CPResearch 下发布 - 不仅展示主要技术要点，还展示许多有趣的反分析和代码混淆技术。
非常感谢我的团队成员 @BenHerzog11235 和 @megabeets_ 帮助让这一切变得精彩。

最受欢迎

Malware-analysis-and-Reverse-engineering

Malware-analysis-and-Reverse-engineering

我公开的一些恶意软件分析与逆向工程（报告、技巧、窍门...）