Malware Analysis - ConfuserEx 2 Deobfuscation with Python and dnlib, BBTok Loader

Анализ вредоносных программ - Деобфускация ConfuserEx 2 с помощью Python и dnlib, загрузчик BBTok

Sample: https://bazaar.abuse.ch/sample/24fac4ef193014e34fc30f7a4b7ccc0b1232ab02f164f105888aabe06efbacc3/

GDATA Techblog article: https://www.gdatasoftware.com/blog/2024/09/38039-bbtok-deobfuscating-net-loader

00:00 Введение и цель видео

• Видео посвящено деобфускации Confuser X с использованием Python.
• Будет написан скрипт для обработки запутывания, связанного с D4.
• Ссылки на статью и образцы будут добавлены в описание видео.

00:49 Анализ образца

• Показано, как определить, что файл является Confuser X.
• Файл представляет собой DLL-библиотеку .NET.
• Обнаружены строки, которые не имеют правильного смысла, что указывает на запутывание.

01:47 Структура файла

• Файл содержит заголовки и потоки .NET.
• Некоторые потоки используются несколько раз, что запрещено спецификацией.
• Обнаружены методы и классы, что помогает понять назначение файла.

04:39 Проверка VirusTotal

• VirusTotal определяет файл как рекламное ПО.
• Файл связан с ISO-файлами и архивами.
• Обнаружены признаки Confuser X, включая совпадение констант.

06:23 Начало деобфускации

• Имена методов и поток управления запущены.
• Использование инструмента D4 для деобфускации.
• Результат деобфускации улучшает читаемость кода.

08:33 Проблемы с методами

• Методы имеют разные способы вычисления строк.
• Решение проблемы динамически через PowerShell.
• Удаление отладочных материалов для улучшения читаемости.

12:45 Вызов методов из PowerShell

• Вызов методов из PowerShell для деобфускации строк.
• Использование токена для разрешения метода.
• Проблемы с универсальными типами и статическими методами.

17:15 Заключение

• Трудности с вызовом методов из-за универсальных типов.
• Необходимость предоставления типа для выполнения метода.
• Завершение деобфускации и улучшение читаемости кода.

18:23 Использование общего метода

• Предоставление общего метода с помощью mac.
• Указание типа и получение конкретного метода.
• Ошибка при загрузке сборки из-за неправильного использования dl.

19:05 Автоматизация расшифровки строк

• Использование скрипта на Python и dnlib для расшифровки строк.
• Установка необходимых библиотек и настройка среды разработки.
• Импорт необходимых данных и проверка работы скрипта.

21:29 Извлечение ключей для расшифровки

• Извлечение всех ключей для функции дешифрования.
• Создание функции для извлечения значений из модуля.
• Итерация по модулю и извлечение значений из методов.

24:40 Проверка и исправление кода

• Проверка кода IL для извлечения операндов.
• Исправление бесконечного цикла и создание списка всех строковых ключей.
• Создание массива идентификаторов и выполнение команды powershell для расшифровки строк.

31:24 Автоматизация расшифровки строк

• Использование функции try catch для игнорирования ошибок.
• Преобразование аргументов для метода расшифровки в базовый объект.
• Создание единого списка строк и преобразование его в словарь Python.

40:44 Применение словаря для расшифровки

• Копирование сценария и изменение его для использования словаря Python.
• Сохранение модуля в outfile после расшифровки строк.
• Применение словаря для замены вызовов методов дешифрования в скрипте.

44:01 Исправление инструкций

• Заменяем инструкцию вызова операцией loadstring.
• Используем регулятор вместо IDC4.
• Код операции команды вызова теперь является строкой загрузки.

45:16 Проверка результата

• Печатаем результат успешного декодирования.
• Проверяем деобфускированный двоичный файл.
• Все строки, относящиеся к десятилетию, отображаются корректно.

46:15 Заключение и рекомендации

• Метод подходит для быстрого и грязного анализа.
• Для более детального анализа можно использовать doofuscator.
• Для изучения анализа вредоносных программ с нуля рекомендуется перейти по ссылке в описании видео.