Malware Analysis - Decrypt NighHawk Strings with Ghidra Scripting

Sample: https://bazaar.abuse.ch/sample/9a57919cc5c194e28acd62719487c563a8f0ef1205b65adbe535386e34e418b8/
C++ Strings layout: https://joellaity.com/2020/01/31/string.html

00:05 Введение и получение образца

• Приветствие и цель видео: создание скрипта для расшифровки строк в Nighthawk.
• Получение образца с Map Bazaar через регистрацию и поиск Nighthawk.
• Nighthawk — платный фреймворк для тестирования на проникновение, используемый мошенниками.

01:00 Подготовка образца

• Рекомендация проверять образец в PE-вьюере и шестнадцатеричном редакторе.
• Использование команды strings для анализа строк в Linux.
• Обнаружение повторяющихся шаблонов в строках, указывающих на возможный шифр.

03:20 Работа с строками в Gaira

• Простота написания скрипта для перевода строк в Gaira.
• Изменение представления строк в дизассемблере и декомпиляторе.
• Возможность удаления перевода строк при необходимости.

05:15 Расшифровка строк

• Определение места строки в коде и переход к функции расшифровки.
• Преобразование строки C++ в тип std::string.
• Создание структуры для хранения строки и изменение сигнатуры функции.

11:16 Поиск функции расшифровки

• Переход к функции, где происходит присваивание и вывод зашифрованной строки.
• Исправление сигнатуры функции для лучшего понимания кода.
• Поиск символа по индексу и выделение его для дальнейшего анализа.

13:54 Анализ индекса и зашифрованной строки

• Индекс увеличивается на единицу и устанавливается на другой индекс.
• Зашифрованная строка совпадает с строкой для ввода.
• Параметры распознаются IDA, но игнорируются.

15:16 Цикл проверки и подстановка

• Цикл проверяет соответствие индекса размеру строки.
• Символы зашифрованной строки заменяются символами из другого алфавита.
• Вычитание 60 из найденного индекса для перехода в другой алфавит.

16:44 Написание скрипта для расшифровки

• Использование менеджера сценариев для расшифровки строк.
• Возможность написания скрипта на Python или Java.
• Пример скрипта для перевода строк.

18:39 Реализация скрипта

• Создание класса для расшифровки строк.
• Использование цикла for для перебора символов зашифрованной строки.
• Преобразование строки в массив символов для работы с индексом.

21:34 Замена символов и проверка

• Проверка наличия индекса в алфавите.
• Вычитание единицы из найденного индекса при отсутствии символа.
• Замена символа на алфавит и возврат новой строки.

23:16 Тестирование и использование скрипта

• Проверка правильности работы скрипта.
• Использование менеджера скриптов для копирования и запуска скрипта.
• Скрипт автоматически проверяет текущую область выделения.

25:47 Применение скрипта для анализа

• Скрипт переводит только выделенные строки.
• Возможность удаления перевода для восстановления исходного текста.
• Использование скрипта для анализа бинарного кода и поиска функций.