background top icon
background center wave icon
background filled rhombus icon
background two lines icon
background stroke rhombus icon
header logo icon

Скачать "Analyzing Bloated Malware - Trimming Files with a Hex Editor"

input logo icon
"videoThumbnail Analyzing Bloated Malware - Trimming Files with a Hex Editor
Оглавление
|

Оглавление

0:00
Introduction
0:00
Shout out to @Gi7w0rm!
0:00
Getting files from Triage
0:01
Viewing File Properties
0:02
Extracted File Size
0:02
Analyzing the File in Detect-It-Easy
0:03
Viewing the Overlay
0:04
Entropy
0:05
Removing Bloat with HxD Hex-Editor
0:06
Calculating Overlay Size
Похожие ролики из нашего каталога
|

Похожие ролики из нашего каталога

Теги видео
|

Теги видео

career
career advancement
cyber
cyber security
cyber tools
cyber training
cybersecurity
education
educational
getting started
help
incident response
malware
malware analysis
reverse engineering
security tools
technical
threat analysis
threat hunting
how to
pe files
bloated malware
bloated virus
analyzing bloated malware
overlays
portable executable file format
cyber security career
cyber security training for beginners
hex editor
Субтитры
|

Субтитры

subtitles menu arrow
  • enАнглийский
Скачать
00:00:00
хорошо, приветствую всех и это
00:00:02
видео, мы попробуем, я постараюсь
00:00:04
быть кратким, и мы просто
00:00:06
поговорим о раздутых файлах и, в
00:00:07
частности, раздутых PE-файлах, так что, если вы
00:00:10
сталкивались с ними, это своего рода
00:00:12
техника вызова прямо сейчас как способ
00:00:14
просто нарушить конвейеры анализа, э-э, некоторые
00:00:17
конвейеры просто не готовы работать
00:00:19
с большим файлом, и есть методы,
00:00:21
которые вы увидите сегодня в этом видео, э-э,
00:00:23
некоторые очень произвольные способы создания не
00:00:26
только создать этот раздутый файл, но
00:00:28
затем также уменьшить размер этого файла,
00:00:30
когда он сжимается для
00:00:32
распространения,
00:00:34
хм, кто-то, за кем я следую в Твиттере, и
00:00:35
я бы посоветовал вам приостановить видео
00:00:37
и подписаться, а они
00:00:40
всегда отлично публикуют содержание, ну, они
00:00:42
опубликовали о паре
00:00:43
похитителей енотов, которые были загружены в
00:00:45
сортировку, и контекст был скорее
00:00:49
сортировкой, поскольку песочница могла анализировать
00:00:51
эти файлы, но это привлекло мое внимание к
00:00:54
ним, и вы можете найти эти образцы в
00:00:56
сортировке если вы просто выполните поиск и воспользуетесь
00:00:59
синтаксическим семейством двоеточия енота или любым
00:01:02
другим тегом, который они поддерживают, я думаю, но в
00:01:04
данном конкретном случае я хотел
00:01:06
посмотреть на эти образцы енотов, и вы увидите, что там
00:01:08
было ой, я думаю, четыре-четыре
00:01:11
образца, которые были упоминается
00:01:12
конкретно в этом твиттере или как бы
00:01:13
косвенно через снимок экрана,
00:01:15
все они были загружены 9
00:01:17
марта, и вы можете видеть, что все они
00:01:20
хорошо себя чувствуют, вы можете видеть эти последние три,
00:01:21
в любом случае у
00:01:22
них есть что-то похожее на
00:01:24
расширение файла DOT raw, которое это правда, так что и
00:01:27
пароль, чтобы мы могли взглянуть
00:01:29
на них, входящие в отчет. Я не
00:01:32
вошел в систему на этой виртуальной машине, но я вошел в систему
00:01:34
за пределами этой виртуальной машины, чтобы загрузить файл
00:01:36
и продолжить, и мы Проведем
00:01:39
здесь некоторый анализ, и вы увидите, что
00:01:42
этот файл RAR содержит хэши, а
00:01:46
первоначальный размер файла составляет 14 МБ,
00:01:49
но как только мы его загрузим, это один из
00:01:52
тех загруженных файлов, мы просто будем использовать
00:01:54
свойства здесь, вы можете увидеть 22 МБ для
00:01:57
этот
00:01:58
мы можем использовать для извлечения 7-Zip,
00:02:01
и я просто собираюсь извлечь здесь. Я
00:02:03
думаю, что пароль для этого
00:02:05
снова был 2023, пароль был в
00:02:07
имени файла, да, похоже, это все, а
00:02:10
затем есть куча разных
00:02:12
артефактов что извлекается здесь,
00:02:15
то, что нас интересует
00:02:17
или что нам нужно, это этот установочный файл,
00:02:19
это основная вредоносная программа, которая выполняется, и
00:02:22
все остальное - это просто
00:02:23
мусор, чтобы он выглядел немного более
00:02:25
законным, если мы посмотрим В этом файле
00:02:28
см. размер файла здесь составляет 733 МБ, так что
00:02:32
это один из тех файлов, которые
00:02:33
очень хорошо сжимаются в архиве,
00:02:35
а затем, когда он был раздут или
00:02:37
распакован, теперь он очень-очень большой,
00:02:40
особенно большой для вредоносных программ, поэтому, если мы
00:02:43
сможем, мы можем посмотреть этот файл, и я
00:02:45
собираюсь использовать функцию «Обнаружить его легко», есть
00:02:47
ряд вещей, которые мы можем попытаться
00:02:49
выяснить, чтобы попытаться выяснить, что
00:02:52
вызывает это раздувание, действительно ли это действительно
00:02:54
просто большой файл, есть ли у него
00:02:57
ресурсы что происходит с некоторыми из
00:03:00
них, которые я недавно просматривал, они
00:03:02
содержат наложения, и если вы не
00:03:05
помните, что такое наложение, или вы не
00:03:07
знаете, у меня есть видео, обсуждающее их,
00:03:09
в моем портативном исполняемом файле или PE
00:03:11
список воспроизведения файлов, поэтому я советую вам проверить
00:03:13
это, но наложение - это просто
00:03:16
данные, добавленные в конец PE-файла,
00:03:18
которые не будут загружаться в
00:03:21
память операционной системой.
00:03:23
Теперь мы можем видеть, что
00:03:25
эти наложенные данные легко обнаруживаются. здесь
00:03:28
говорится, что это просто обычный текст, поэтому
00:03:31
в интерфейсе у нас есть наложение,
00:03:33
и поскольку это, вы знаете, немного
00:03:36
большой файл,
00:03:37
обработка некоторых из них занимает всего секунду,
00:03:40
но вы можете видеть, хорошо, вот где
00:03:42
наложение начинается с смещение d78200, и это
00:03:46
шестнадцатеричное значение 30, которое представляет собой шестнадцатеричное значение
00:03:48
для нуля,
00:03:50
если мы прокрутим вниз,
00:03:52
просто следите за
00:03:54
столбцом символов, вы заметите, что это
00:03:56
содержимое не меняется, все
00:03:59
в порядке, а затем, когда мы идем вниз,
00:04:00
вы заметим это значение смещения, и
00:04:03
мы вернемся к нему через мгновение,
00:04:04
чтобы вычислить, насколько велика на
00:04:06
самом деле секция этого наложения,
00:04:09
вероятно, эта информация, вероятно,
00:04:11
где-то, я ее не видел, поэтому я подумал, что
00:04:12
это так же это легко вычислить,
00:04:15
конечно, мы могли бы посмотреть на
00:04:16
энтропию, но, знаете ли, здесь это не так
00:04:18
важно, потому что мы смогли
00:04:20
просто быстро определить тот факт, что
00:04:23
само наложение является источником всего
00:04:25
этого раздувания, теперь можно использовать наложения.
00:04:28
может быть что-то, что здесь, вы можете
00:04:31
увидеть энтропию, и поскольку это
00:04:35
большая часть одного значения, верно, это
00:04:38
повторяющееся значение, оно будет иметь
00:04:40
нулевую энтропию, и поэтому наш
00:04:42
график энтропии будет иметь плоскую линию, так что, если вы
00:04:45
не уверены куда смотреть, и вы
00:04:46
посмотрели на энтропию, энтропию, это
00:04:49
дало бы вам довольно хороший показатель,
00:04:50
и хорошая вещь в таких инструментах, как
00:04:51
обнаружение, вы можете выделить в этом
00:04:54
случае наложение, и вы увидите, о да, вот
00:04:57
это все действие набора наложения
00:05:00
вся нулевая энтропия, как я собирался
00:05:02
сказать, вы знаете, что наложения можно использовать, вы
00:05:05
можете найти цифровые подписи, вы можете найти
00:05:07
множество различных причин, по которым файл
00:05:10
может использовать наложение, но есть одна
00:05:13
простая вещь, которую мы можем сделать, если мы не уверены
00:05:15
мы можем вырезать это наложение и посмотреть,
00:05:18
работает ли файл, так что давайте сделаем это,
00:05:20
чтобы сделать это. Я просто возьму
00:05:22
шестнадцатеричный редактор
00:05:24
hxd - это то, что я установил по умолчанию
00:05:27
в этой системе, и мы выполним нашу
00:05:30
настройку .apk в шестнадцатеричный редактор.
00:05:34
Я собираюсь вернуться, чтобы его легко обнаружить,
00:05:36
и причина в том, что я собираюсь посмотреть на
00:05:38
карту памяти,
00:05:41
просто не смог вспомнить это смещение,
00:05:43
поэтому смещение равно d78200, поэтому Control G
00:05:47
d78200,
00:05:50
который занимает нас до начала
00:05:53
этого наложения,
00:05:54
наш курсор находится на первом байте, и теперь
00:05:58
все, что нам нужно сделать, это перейти к концу
00:06:00
этого наложения, и мы можем удалить
00:06:03
эти байты
00:06:06
прямо сейчас, вы можете просто сохранить это как
00:06:07
новый файл если вам нужно, вы
00:06:10
можете легко вернуться к исходному состоянию,
00:06:14
поэтому я просто назову эту настройку
00:06:15
обрезанной,
00:06:18
я думаю, она придаст ей расширение, если
00:06:20
нет, я могу это сделать, и мы закроем наш
00:06:23
шестнадцатеричный редактор, теперь
00:06:25
есть наш обрезанный файл,
00:06:27
и теперь мы можем поместить его в ну, мы можем щелкнуть
00:06:30
правой кнопкой мыши и выполнить свойства, вы можете
00:06:32
видеть, что теперь это файл make 13.4, поэтому мы
00:06:35
вырезали из файла более 700 мегабайт,
00:06:38
просто удалив это
00:06:40
наложение, так что совсем немного, если вы посмотрите,
00:06:44
вернитесь к наложению,
00:06:47
хорошо, что мы можем сделать хорошо,
00:06:50
первое, что мне пришло в голову
00:06:51
как способ расчета, это
00:06:53
давайте переведем наш калькулятор в HEX-режим, вот
00:06:56
смещение, так что 2dd
00:07:00
7 8 1 F 0, а затем мы просто вычтите из
00:07:06
этого адреса
00:07:08
базы,
00:07:10
так что
00:07:11
d78200 о нет,
00:07:15
давайте попробуем еще раз
00:07:17
d78200
00:07:19
хорошо, а затем, если мы захотим преобразовать
00:07:21
это в десятичное число, вы увидите 754 или 754
00:07:25
миллиона, что составляет около
00:07:27
754 мегабайт, если вы выполните
00:07:30
расчет, так что это было источник
00:07:31
всего этого раздувания, ну, конечно, если вы
00:07:34
сейчас бросите обрезанный файл в свой инструмент,
00:07:37
например, легко обнаружите его, у него не будет
00:07:38
проблем с его анализом, он просто
00:07:40
скажет: эй, у этого больше нет
00:07:42
наложения, так что настоящий тест будет
00:07:44
загрузите это в такое место, как песочница,
00:07:47
или запустите его в отладчике, чтобы убедиться,
00:07:49
что оно действительно работает, и вы, возможно,
00:07:51
заметили в начале видео, которое
00:07:52
я уже сделал, что вот
00:07:55
пара этих обрезанных файлов, поэтому я
00:07:57
загрузил это в песочницу, они отлично запустили,
00:07:59
полные отчеты обо всех колодах, поведение,
00:08:02
которое вы ожидаете, вот и все, это
00:08:05
один из способов раздувания PE-файлов,
00:08:07
потому что
00:08:09
содержимое внутри этого
00:08:12
наложения все повторяло, оно
00:08:14
очень хорошо сжато вот почему у вас был 22-мегабайтный
00:08:16
файл, расширенный до 700 и еще какой-то
00:08:19
файл make, а затем, когда мы вырезали все эти данные,
00:08:21
он снова стал похож на 13-мегабайтный
00:08:23
файл, потому что этот повторяющийся шаблон
00:08:25
легко сжать, так что надеюсь, вам понравилось,
00:08:27
пожалуйста, помните чтобы подписаться, у нас
00:08:28
запланировано гораздо больше контента,
00:08:30
вопросы, комментарии, другие способы анализа,
00:08:32
пожалуйста, не стесняйтесь начинать
00:08:33
обсуждение в разделе комментариев. Я
00:08:35
с нетерпением жду вашего ответа и буду
00:08:36
осторожен, пока не поговорю со всеми вами в следующем
00:08:38
видео.

Описание:

Malware authors will often abuse file formats to complicate analysis and adding unnecessary data is one way to do this. This bloat can disrupt analysis and prevent these malicious files from being detected. In this video, we'll explore how malware authors add unnecessary data to PE files by using the overlay. We'll also explore how the data they choose to use compresses well and allows them to distribute relatively small archive files. We'll then use a hex-editor to remove this data and confirm our newly carved file is still valid using a sandbox. Cybersecurity, reverse engineering, malware analysis and ethical hacking content! 🎓 Courses on Pluralsight 👉🏻 https://www.pluralsight.com/authors/josh-stroschein 🌶️ YouTube 👉🏻 Like, Comment & Subscribe! 🙏🏻 Support my work 👉🏻 https://www.patreon.com/JoshStroschein 🌎 Follow me 👉🏻 https://twitter.com/jstrosch, https://www.linkedin.com/in/joshstroschein/ ⚙️ Tinker with me on Github 👉🏻 https://github.com/jstrosch Sample analyzed in this video on Triage: https://tria.ge/230309-s5taradb64 00:00 Introduction 00:36 Shout out to @Gi7w0rm! 00:54 Getting files from Triage 01:48 Viewing File Properties 02:28 Extracted File Size 02:47 Analyzing the File in Detect-It-Easy 03:30 Viewing the Overlay 04:18 Entropy 05:23 Removing Bloat with HxD Hex-Editor 06:59 Calculating Overlay Size

Готовим варианты загрузки

popular icon
Популярные
hd icon
HD видео
audio icon
Только звук
total icon
Все форматы
* — Если видео проигрывается в новой вкладке, перейдите в неё, а затем кликните по видео правой кнопкой мыши и выберите пункт "Сохранить видео как..."
** — Ссылка предназначенная для онлайн воспроизведения в специализированных плеерах

Вопросы о скачивании видео

mobile menu iconКак можно скачать видео "Analyzing Bloated Malware - Trimming Files with a Hex Editor"?mobile menu icon

  • Сайт http://unidownloader.com/ — лучший способ скачать видео или отдельно аудиодорожку, если хочется обойтись без установки программ и расширений. Расширение UDL Helper — удобная кнопка, которая органично встраивается на сайты YouTube, Instagram и OK.ru для быстрого скачивания контента.

  • Программа UDL Client (для Windows) — самое мощное решение, поддерживающее более 900 сайтов, социальных сетей и видеохостингов, а также любое качество видео, которое доступно в источнике.

  • UDL Lite — представляет собой удобный доступ к сайту с мобильного устройства. С его помощью вы можете легко скачивать видео прямо на смартфон.

mobile menu iconКакой формат видео "Analyzing Bloated Malware - Trimming Files with a Hex Editor" выбрать?mobile menu icon

  • Наилучшее качество имеют форматы FullHD (1080p), 2K (1440p), 4K (2160p) и 8K (4320p). Чем больше разрешение вашего экрана, тем выше должно быть качество видео. Однако следует учесть и другие факторы: скорость скачивания, количество свободного места, а также производительность устройства при воспроизведении.

mobile menu iconПочему компьютер зависает при загрузке видео "Analyzing Bloated Malware - Trimming Files with a Hex Editor"?mobile menu icon

  • Полностью зависать браузер/компьютер не должен! Если это произошло, просьба сообщить об этом, указав ссылку на видео. Иногда видео нельзя скачать напрямую в подходящем формате, поэтому мы добавили возможность конвертации файла в нужный формат. В отдельных случаях этот процесс может активно использовать ресурсы компьютера.

mobile menu iconКак скачать видео "Analyzing Bloated Malware - Trimming Files with a Hex Editor" на телефон?mobile menu icon

  • Вы можете скачать видео на свой смартфон с помощью сайта или pwa-приложения UDL Lite. Также есть возможность отправить ссылку на скачивание через QR-код с помощью расширения UDL Helper.

mobile menu iconКак скачать аудиодорожку (музыку) в MP3 "Analyzing Bloated Malware - Trimming Files with a Hex Editor"?mobile menu icon

  • Самый удобный способ — воспользоваться программой UDL Client, которая поддерживает конвертацию видео в формат MP3. В некоторых случаях MP3 можно скачать и через расширение UDL Helper.

mobile menu iconКак сохранить кадр из видео "Analyzing Bloated Malware - Trimming Files with a Hex Editor"?mobile menu icon

  • Эта функция доступна в расширении UDL Helper. Убедитесь, что в настройках отмечен пункт «Отображать кнопку сохранения скриншота из видео». В правом нижнем углу плеера левее иконки «Настройки» должна появиться иконка камеры, по нажатию на которую текущий кадр из видео будет сохранён на ваш компьютер в формате JPEG.

mobile menu iconСколько это всё стоит?mobile menu icon

  • Нисколько. Наши сервисы абсолютно бесплатны для всех пользователей. Здесь нет PRO подписок, нет ограничений на количество или максимальную длину скачиваемого видео.