Binary Unpacking and Deobfuscation. Artur Sterz Philipps-Universität Marburg Fachbereich Mathematik und Informatik, Arbeitsgruppe Verteilte Systeme

Transkript

1 Binary Unpacking and Deobfuscation Artur Sterz Philipps-Universität Marburg Fachbereich Mathematik und Informatik, Arbeitsgruppe Verteilte Systeme

2 Überblick Einleitung Binary (Un-)Packing (De-)Obfuscation Fazit 4

3 6 Einleitung

4 6 Einleitung

5 Einleitung Neue Malware muss analysiert werden Zwei Arten dynamische Analyse statische Analyse Probleme Gepackt Verschleiert 6

6 Binary Unter einem Binary, deutsch Binärdatei versteht man die Aneinanderreihung beliebiger Bitmuster, die von einem Programm interpretiert und verarbeitet werden. Handelt es sich um eine ausführbare Datei, so wird es vom Betriebssystem interpretiert und ausgeführt. 8

7 Binary 8

8 Binary (Un-)Packing Packing in Literatur nicht eindeutig Hier: Nur komprimieren und verschlüsseln Kompression (UPX) Verschlüsselung (PELock) 10

9 Binary (Un-)Packing 10

10 Binary Unpacking 1 0x ; Some... 2 ;...Malicous... 3 ;...Code 4 0x4064a8 movl edx, 0x152a 5 0x4064ad movl eax, 0x x4064b2 movl esi, 0x44b x4064b7 sub [eax], esi 8 0x4064b9 addl esi, 0x x4064bf addl eax, x4064c2 decl edx 11 0x4064c3 jne.-0xc 12 0x4064c5 jmp 0x

11 Binary Unpacking UPX - Ultimate Packer for executables verwendet UCL PE Headers.text.data.rsrc PE Headers UPX0 UPX1.rsrc 12

12 Binary Unpacking PE Headers.text.data.rsrc PE Headers UPX0 UPX1.rsrc PE Headers UPX0 UPX1.rsrc 13

13 Binary (De-)Obfuscation Obfuscation bedeutet unter anderem den Code so zu transformieren, dass er semantisch äquivalent ist, sich syntaktisch unterscheidet. - Hassen Saïdi, Phillip Porras, and Vinod Yegneswaran. Experiences in malware binary deobfuscation

14 Binary (De-)Obfuscation 16

15 Binary (De-)Obfuscation #define a int #define b printf #define c for a l47(){a l11;c (l11=0;l11<0x x71e;++l11) b ("\x48\x65\x6c\x6c\x6f\x20\x25\x64\x21\n",l11);} 17

16 Binary (De-)Obfuscation int l47(){int l11;for(l11=0;l11<0x x71e;++l11) printf("\x48\x65\x6c\x6c\x6f\x20\x25\x64\x21\n",l11);} 18

17 Binary (De-)Obfuscation int out(){int cnt;for(cnt=0;cnt<0x x71e;++cnt) printf("\x48\x65\x6c\x6c\x6f\x20\x25\x64\x21\n",cnt);} 19

18 Binary (De-)Obfuscation int out(){int cnt;for(cnt=0;cnt<10 printf( Hello %d! ;++cnt) \n,cnt);} 20

19 Binary (De-)Obfuscation int out() { int cnt; for (cnt = 0; cnt < 10; ++cnt) printf("hello %d!\n", cnt); } 20

20 Binary (De-)Obfuscation Block 1 Block 5 Block 2 Block 3 Block 1 Block 2 Block 3 Block 3 Block 4 Vor der Obfuscation Nach der Obfuscation Srinivasan Chandrasekharan and Saumya Debray. Deobfuscation: Improving reverse engineering of obfuscated code. Technical report,

21 Binary (De-)Obfuscation 22

22 Binary Deobfuscation Ansatz von Saïdi, Porras, Yegneswaran Drei Punkte: Code Transformation Rekonstruktion des Binaries Rekonstruktion der API-Aufrufe 23

23 Binary Deobfuscation Code Transformation mov, add/sub esi -> push/pop Calling Konvention ändern 24

24 Binary Deobfuscation Code Transformation 24

25 Binary Deobfuscation Rekonstruktion des Binaries 1. callgraph erstellen 2. API-Aufrufe wie GetCommandline, GetVersion Muss manuell entschieden werden! 25

26 Binary Deobfuscation Rekonstruktion der API-Aufrufe 26 Hassen Saïdi, Phillip Porras, and Vinod Yegneswaran. Experiences in malware binary deobfuscation

27 Binary Deobfuscation Rekonstruktion der API-Aufrufe 26 Hassen Saïdi, Phillip Porras, and Vinod Yegneswaran. Experiences in malware binary deobfuscation

28 Binary Deobfuscation Ergebnis Aurora und Conficker konnten rekonstruiert werden 27

29 Binary Deobfuscation Ergebnis 27 Hassen Saïdi, Phillip Porras, and Vinod Yegneswaran. Experiences in malware binary deobfuscation

30 Binary Deobfuscation Ansatz von Debray, Chandrasekharan drei Punkte statische Erreichbarkeit dynamische Erreichbarkeit semantische Analyse Ergebnis % korrekt als nicht erreichbar erkannt Nur bei drei Obfuscationtechniken getestet 28

31 Fazit Effektiv Besonders bei Deobfuscation wenig allgemeine Mittel Derzeitige Forschung teilweise dürftig Schadcodeentwickler werden immer raffinierter Aber es gibt Möglichkeiten Vorgestellte Techniken sollen nur schwieriger machen Oft mit freier Software modifiziert 30

32 Fazit Schlusssatz: Mit genügend Zeit ist jedes Binary zu knacken. 30

33 Quellen Srinivasan Chandrasekharan and Saumya Debray. Deobfuscation: Improving reverse engineering of obfuscated code. Technical report, AV Test. Malware statistic, malware/?= UPX. Ultimate packer for executables, upx.sourceforge.net. Hassen Saïdi, Phillip Porras, and Vinod Yegneswaran. Experiences in malware binary deobfuscation GCC_CompilationProcess.png

34 Binary Unpacking and Deobfuscation Artur Sterz Philipps-Universität Marburg Fachbereich Mathematik und Informatik, Arbeitsgruppe Verteilte Systeme Vielen Dank für Ihre Aufmerksamkeit