PILLOLE DI #MALWAREANALYSIS
La manipolazione dei processi
Una delle azioni tipiche di un #malware è la manipolazione dei processi ovvero la capacità di identificare un processo target per eseguirne una modifica.
Ma come si fa ad identificare un processo target?
La prima cosa che deve fare è vedere quali sono i processi attivi e per fare questo in ambiente Windows viene utilizzata la primitiva #CreateToolHelp32Snapshot. Questa restituisce una struttura contenente l’elenco di tutti i processi attivi nel sistema.
Consideriamo che il nome di questa struttura sia hProcessSnap.
hProcessSnap viene poi passato alla coppia di primitive #Process32First e #Process32Next che permettono di ciclare tra l’elenco dei processi in hProcessSnap.
Una volta identificato il processo, si esegue la manipolazione utilizzando la struttura #PROCESSENTRY32 restituita dalla coppia di primitive precedenti.

PILLOLE DI #MALWAREANALYSIS

I laboratori per la malware analisi

Per analizzare un #malware è fondamentale avere un proprio laboratorio pronto all’utilizzo. La scelta ricade sempre tra un laboratorio “bare metal” oppure una macchina virtuale, ma è indubbio che la seconda è estremamente più flessibile da utilizzare soprattuto per la facilità con cui si può ristabilire la condizione preinfezione.

Infatti, un laboratorio durante un’analisi dinamica viene infettato volutamente dal malware da studiare per consentire all’analista di scoprirne gli effetti. Una vola terminata l’analisi è necessario ristabilire il laboratorio alla fase preinfezione, cosa estremamente semplice con gli snapshot.

Esistono diverse VM disponibili gratuitamente online ma nel mio corso di Dynamic Malware Analyst utilizzo #Flare VM, la macchina virtuale basata su Windows fornita dal famoso team #Mandiat di #FireEye. Dentro FlareVM troviamo tutto ciò che può servire ad un malware analyst da debugger, a disassembler, decompilatori, utilities per l’analisi statica e dinamica, Floss, Fakenet-NG etc…

Pillole di #MalwareAnalysis
Il tool #Exeinfo
Capire se un file è stato compresso è generalmente un'operazione semplice, basta aprirlo con un editor PE per notare che il nome delle sezioni è stato modificato in qualcosa come UPX0 o ASPACKxxx etc.
A seconda del loro nome un analista esperto è in grado di capire il programma di compressione utilizzato.
Un analista meno esperto però può utilizzare ExeInfo, un tool estremamente semplice che non necessita di installazione.
Exeinfo non solo ci dice immediatamente se il file è stato compresso, ma è in grado anche di identificare il programma di compressione utilizzando arrivando a suggerire persino le istruzioni a riga di comando da lanciare per la decompressione.
Sicuramente un must have nell'arsenale del perfetto malware analyst.

Pillole di #MalwareAnalysis
Visto che dopo la pillola di ieri è emerso un forte interessi riguardante la sicurezza di una Virtual Machine, e che oggi, per ovvi motivi, non posso neanche uscire a fare una passeggiata ?? ho deciso di parlarvi di #VENOM.
VENOM è una vulnerabilità (non un malware) scoperta da Jason #Geffner, Senior Security Researcher di #CrowdStrike nel 2015 e catalogata come CVE-2015-3456.
In particolare, il componente #QEMU, un driver open source che nella componete #FDC gestisce i floppy disk, adottato da #KVM, #XEN e #VirtualBox (i più stagionati sanno di cosa sto parlando), è stato trovato suscettibile di attacco a buffer overflow.
Un #bufferOverflow comporta la possibilità di iniettare codice al di fuori della memoria virtuale associata al processo target, con la possibilità di poter andare a scrivere in un’area di memoria appartenente al sistema host.
Le implicazioni di questa vulnerabilità sono spaventose: un malware potrebbe eseguire quello che viene definito #HyperJump, ovvero evadere dalla VM ed infettare il SO ospitante.
Dopo poche settimane dalla divulgazione di VENOM è stata prontamente creata la patch ed eliminata la vulnerabilità.
Questo però ha fatto tremare le gambe a tutti coloro che giocano con i malware in laboratori virtuali, me compreso?????? !
Per utilizzare un laboratorio virtuale è fondamentale l’isolamento della VM quindi:
· Nessun disco condiviso con il SO host
· Sistema Host e VM non devono poter comunicare tramite rete
· Lavorare su sistemi Host non in produzione (tanto per essere sicuri ??)
I malware, poi, possono utilizzare in maniera intelligente le macchine virtuali ma con obiettivi differenti dall’Hyperjump, come ad esempio #Ragnar o #Crisis … ma questa è un’altra storia e se volete ve ne parlerò in una prossima pillola.