Шелл-код Agent Tesla. Изучаем новые приемы реверса малвари в Ghidra

Мы про­дол­жим работу, начатую в моей прош­лой статье, где мы начали ревер­сить Agent Tesla и вытащи­ли шелл‑код из инстал­лятора NSIS.

Загружаем шелл-код в дизассемблер

В прош­лый раз мы догово­рились исполь­зовать Ghidra, про­дол­жим тра­дицию и в этой статье. Итак, заг­ружа­ем файл c шелл‑кодом в дизас­сем­блер и видим, что начало шелл‑кода не дизас­сем­бли­рова­лось: перед нами прос­то необ­работан­ные бай­ты. Это не нуж­но игно­риро­вать, потому что неп­равиль­ное начало ана­лиза может поломать кучу осталь­ного про­ана­лизи­рован­ного кода.

Не страш­но, прос­то ста­вим кур­сор на начало бай­товой стро­ки и выбира­ем в кон­текс­тном меню Disassemble, даль­ше Ghidra сде­лает все за нас.

Пос­ле того как при­вели ана­лиз в порядок, видим с самого начала шелл‑кода переход в фун­кцию. Идем в нее и смот­рим в начало — там видим пор­тянку кода, где дан­ные помеща­ются на стек. При­водим эти дан­ные в удо­бочи­таемый вид (при­водим чис­ла в char в кон­текс­тном меню), видим появив­шееся наз­вание фай­ла djdqvq.sra. Вспо­мина­ем, что это один из трех фай­лов, которые находи­лись в NSIS-инстал­ляторе. Ста­ло быть, шелл‑код работа­ет с этим фай­лом.

Ин­терес­но, что будет, если заг­рузить этот файл в DiE? Инс­тру­мент не опре­делил ров­ным сче­том ничего, но на вклад­ке энтро­пии мож­но уви­деть кар­тину, харак­терную для сплош­ного шиф­ротек­ста.