Smoke 配置提取

概述

这个项目旨在从初始阶段的 smokeloader 样本中提取配置。我坚持采用静态方式完成这一任务，因此不得不依赖像 Unicorn 这样的工具来绕过一些更复杂的组件。

无论这种提取方法对该家族的效果如何，这个仓库都可以作为示例，展示配置提取如何应用于非传统恶意软件家族。

预览

功能

• 反混淆
• 解包最终阶段
• 配置提取

待办事项

• 用 Python 实现 LZSA 解压缩
• affiliate ID 提取达到 100% 准确率

使用的项目

• Unicorn Emulator - 用于模拟解压缩函数
• Radare2 - 提供开源反汇编和函数分析
• Alex Hanel 的 Unicorn PE Loader - 为在 Unicorn 中加载 PE 文件提供基础

示例用法

virtualenv venv
source venv/bin/activate
pip install -r requirements.txt 
python main.py smokeloader_stage_1.bin --json