Malware

Cuando empezamos a debuggear un archivo dll con OllyDbg, notaremos que el proceso es distinto en comparación con un ejecutable típico: la dll no es cargada en memoria de forma independiente, sino mediante otro archivo ejecutable que nos ofrece Olly. Por desgracia, si dicha dll está comprimida con algún packer, al debuggear podríamos obtener un entry point posterior a la rutina de unpacking. En este post exploraremos un pequeño truquito para solventar el problema mencionado.

Si bien las muestras que recibimos a diario en el Laboratorio de Investigación de ESET Latinoamérica presentan packers muy diversos, la mayoría de ellas no se encuentran empaquetadas, o tienen alguna versión de UPX. Por tal motivo, me pareció una buena idea analizar esas muestras en este post, de tal modo de realizar el unpacking en forma práctica.

Con la finalidad de robar información bancaria, Banload ha tenido (y sigue teniendo) gran repercusión en Brasil, donde ha ido mejorando su sofisticación.

Ayer liberamos nuestra base de firmas número 10.000 y nos pareció una excelente oportunidad para repasar qué son y cómo funcionan las firmas antivirus.

El sitio web comprometido por este exploit kit contiene un código que interactúa con el usuario, ya que muestra un mensaje falso acerca de un script que afecta el rendimiento del navegador. El código responsable de esta interacción está en formato HTML inyectado, que se muestra únicamente si el navegador en uso es Internet Explorer.

Ciertas instrucciones, estructuras de datos o caminos de ejecución pueden no quedar muy claros en el análisis con desensambladores. Allí, los debuggers son la alternativa natural. Sin embargo, así como existen técnicas utilizadas por los desarrolladores de malware para complicar el desensamblado, también podemos encontrar diversos procedimientos anti-debugging que analizaremos en este post.

El Manejo Estructurado de Excepciones provee una forma a través de un conjunto de rutinas que se encuentran encadenadas mediante una lista enlazada.