IntermédiaireMalwareReverse EngineeringDefensive

Practical Malware Analysis

Le guide pratique pour disséquer les logiciels malveillants

5 / 5

Toujours le manuel de référence pour l'analyse statique et dynamique de malwares sur Windows.

Acheter sur Amazon

En tant qu'Associé Amazon, nous percevons une commission sur les achats éligibles. Le lien ci-dessus est sponsorisé.

Publié
2012
Éditeur
No Starch Press
Pages
800
Langue
English

Table des matières

21 chapitres · 41 sections

Partie I : Analyse de base

  1. 1

    Basic Static Techniques

    • Antivirus scanning
    • Hashing: a fingerprint for malware
    • Finding strings
    • Packed and obfuscated malware
    • Portable Executable file format
    • Linked libraries and functions
  2. 2

    Malware Analysis in Virtual Machines

    • The structure of a virtual machine
    • Creating your malware analysis machine
    • Using your malware analysis machine
    • The risks of using VMware for malware analysis
  3. 3

    Basic Dynamic Analysis

    • Sandboxes: the quick-and-dirty approach
    • Running malware
    • Monitoring with Process Monitor
    • Viewing processes with Process Explorer
    • Comparing registry snapshots with Regshot
    • Faking a network
    • Packet sniffing with Wireshark

Partie II : Analyse statique avancée

  1. 4

    A Crash Course in x86 Disassembly

    • Levels of abstraction
    • Reverse-engineering
    • The x86 architecture
    • Main memory
    • Instructions
    • Opcodes and endianness
    • Operands
    • Registers
    • Simple instructions
    • The stack
    • Conditionals, branching, rep instructions
  2. 5

    IDA Pro

    • Loading an executable
    • The IDA Pro interface
    • Using cross-references
    • Analyzing functions
    • Using graphing options
    • Enhancing disassembly
    • Extending IDA with plug-ins
  3. 6

    Recognizing C Code Constructs in Assembly

  4. 7

    Analyzing Malicious Windows Programs

Partie III : Analyse dynamique avancée

  1. 8

    Debugging

  2. 9

    OllyDbg

  3. 10

    Kernel Debugging with WinDbg

Partie IV : Fonctionnalités des malwares

  1. 11

    Malware Behavior

    • Downloaders and launchers
    • Backdoors
    • Credential stealers
    • Persistence mechanisms
    • Privilege escalation
    • User-mode rootkits
  2. 12

    Covert Malware Launching

  3. 13

    Data Encoding

  4. 14

    Malware-Focused Network Signatures

Partie V : Anti-rétro-ingénierie

  1. 15

    Anti-Disassembly

  2. 16

    Anti-Debugging

  3. 17

    Anti-Virtual Machine Techniques

Partie VI : Sujets spéciaux

  1. 18

    Packers and Unpacking

  2. 19

    Shellcode Analysis

  3. 20

    C++ Analysis

  4. 21

    64-Bit Malware

Prérequis

Familiarité avec les bases de l'assembleur x86 et les internals Windows. Chaque chapitre se termine par des labs, faites-les, ne les sautez pas.

À lire si

Aspirants chercheurs en menaces, blue-teamers qui veulent lire des échantillons au lieu de les transférer à un éditeur, quiconque préparant le GREM.

À éviter si

Malware Mac/Linux, mobile, ou loaders modernes empaquetés qui mettent en échec l'autoanalyse d'IDA. Le livre est x86 Windows dans l'esprit.

Points clés

  • L'analyse statique et dynamique sont deux moitiés d'un même flux de travail, pas des alternatives.
  • Les labs sont le livre, les chapitres sont l'échafaudage qui rend les labs résolubles.
  • Les techniques anti-analyse méritent plus de temps que les débutants ne leur accordent généralement.

Notes

Les labs sont ce qui sépare ce livre de tout autre livre de RE. Vous lisez une technique, la voyez dans un échantillon réaliste, vous battez avec pendant une heure, puis lisez la réponse. À la fin, vous avez construit des réflexes, pas seulement des connaissances. Daté sur les malwares .NET et les chaînes de loaders modernes, mais la posture diagnostique se généralise proprement.