Analiza podejrzanego oprogramowania

przez

Jeśli zdarzyło ci się dostać jakiś podejrzany plik i chciałbyś zobaczyć co robi ale boisz się go uruchomić, polecam wypróbowanie wirtualnych środowisk z logowaniem zmian systemowych.

Norman Sandbox

http://www.norman.com/microsites/nsic/Submit/en

Anubis

http://analysis.seclab.tuwien.ac.at/index.php

Dzięki tym usługom, można wgrać dowolny plik binarny i pozwolić, żeby został uruchomiony w wirtualnym środowisku, a wszystkie zmiany, jakich dokonał w systemie (pliki, rejestr, połączenia sieciowe) zostaną szczegółowo zalogowane i dostarczone na maila.

Dekompilator Hex-Rays

przez

Prawdziwy dekompilator Hex-Rays został wydany przez jednego z twórców słynnej IDY. Pozwala on na dekompilacje kodu binarnego do poziomu języka wysokiego poziomu, co znacznie ułatwia analizę działania aplikacji.

Więcej informacji i przykład zastosowania na:

https://www.hex-rays.com/compare.shtml

Możliwości ogromne, odstraszać za to może cena, wynosząca 1500 euro.

Narzędzia w reverse engineeringu (debuggery)

przez

Tym postem rozpoczynam krótką serię o narzedziach wykorzystywanych w systemie Windows, przy analizie plików binarnych. Na pierwszy rzut idą debuggery.

SoftICE

Do debugowania, czyli śledzenia kodu aplikacji w locie, wykorzystuje się debuggery. W przeszłości najczęściej wykorzystywanym programem był słynny SoftICE firmy NuMega/Compuware. SoftICE pozwalał śledzić działanie aplikacji i sterowników, zakładać pułapki na funkcje WinApi i całą masę innych rzeczy.

Czytaj dalej