Malware

La técnica indicada de análisis dinámico de malware nos puede dar ventaja para conocer el comportamiento de las amenazas y sus tendencias de propagación.

Tras discutir las principales consideraciones y comparar emulación con virtualización, sabemos cómo construir un entorno de pruebas adecuado para analizar malware.

Cuando estamos reverseando aplicaciones maliciosas, a veces todas las strings serán visibles en texto plano. En otros casos, encontraremos porciones cifradas con mayor o menor grado de complejidad. Hoy expondremos un caso de este último tipo y lo analizaremos de forma intuitiva.

Al preguntarnos cómo construir un entorno difícil de detectar para el malware, las dos opciones principales son virtualización o emulación. Veamos cada una en detalle.

En este post analizaremos los principales aspectos a evaluar al crear entornos de análisis: qué objetivos buscamos, qué debemos analizar en el proceso y cuáles son las técnicas actualmente más empleadas para su construcción.

Win32/Aibatook es una familia de malware que dirige sus ataques a usuarios japoneses. Infecta los equipos a través de una cadena de infecciones propagadas por sitios legítimos comprometidos, con el propósito de robar información personal mediante una técnica de monitoreo de Internet Explorer poco común.

Cuando empezamos a debuggear un archivo dll con OllyDbg, notaremos que el proceso es distinto en comparación con un ejecutable típico: la dll no es cargada en memoria de forma independiente, sino mediante otro archivo ejecutable que nos ofrece Olly. Por desgracia, si dicha dll está comprimida con algún packer, al debuggear podríamos obtener un entry point posterior a la rutina de unpacking. En este post exploraremos un pequeño truquito para solventar el problema mencionado.

Si bien las muestras que recibimos a diario en el Laboratorio de Investigación de ESET Latinoamérica presentan packers muy diversos, la mayoría de ellas no se encuentran empaquetadas, o tienen alguna versión de UPX. Por tal motivo, me pareció una buena idea analizar esas muestras en este post, de tal modo de realizar el unpacking en forma práctica.

Con la finalidad de robar información bancaria, Banload ha tenido (y sigue teniendo) gran repercusión en Brasil, donde ha ido mejorando su sofisticación.