Intepreting di intestazioni PE (Portable Executable) di file malware sospetti

Question

Intepreting di intestazioni PE (Portable Executable) di file malware sospetti

#1 da (1 voti)

2

Sto avviando l'analisi del malware e sto analizzando un file per vedere se è imballato o offuscato.

Utilizzo di PEview Sto esaminando le intestazioni .text, .rdata e .data.

So che se c'è una grande differenza tra Dimensione Virtuale (consumo di dimensioni nella memoria) e Dimensione su Disco, probabilmente è imballata.

La mia domanda è, cosa devo concludere da ogni scenario?

Dimensione virtuale = Dimensione su disco
Dimensione virtuale > Dimensione su disco (più grande con una quantità considerevole, non solo alcuni bit)
Dimensione virtuale < Dimensione su disco (più piccola con una quantità considerevole, non solo alcuni bit)

virtual-memory malware code-review

posta Franko 19.06.2012 - 14:12

fonte

1 risposta

Leggi altre domande sui tag virtual-memory malware code-review

Utilizzo di certificati esterni su una rete che non consente l'accesso HTTP / S in uscita Quale sistema operativo di telefonia mobile implementa o prevede di implementare la protezione dei dati utilizzando le chiavi derivate dalle password per NIST SP800-132?

score 1 · Answer 1

La dimensione non elaborata è come appare nella sezione. La dimensione virtuale è quanto sarà grande durante il runtime. Spesso il malware modificherà questi segmenti di memoria durante il runtime. Questi segmenti potrebbero essere modificati senza modificare le dimensioni virtuali, ma spesso non è questo il caso. Un modo di pensare a questo è che essi "scompattano" da un contenitore in modo tale che guardare il binario statico non fornirà molte informazioni sul funzionamento interno del file binario.

Se sei in grado di visualizzare questi segmenti mentre sono in esecuzione con un debugger come ollydbg o windbg, probabilmente avrai una visione più accurata del malware. Tuttavia, il malware spesso utilizza misure anti-debuggin. Al contrario ci sono i plugin anti-anti-debug per ollydbg. È un gioco di gatto e topo.