⚡️ ASM. РЕ файл – ломаем стереотипы

В первой статье этого цикла мы разберем РЕ-файлы — сердце любого Windows-приложения.

🔗 Почему формат РЕ практически не менялся за 40 лет?
📍 Какие изменения произошли с приходом 64-битной архитектуры?
🔥 Почему Microsoft избегает внесения крупных изменений в этот формат?

Начнем с основ PE и постепенно перейдем к более сложным аспектам, включая анализ вредоносного ПО.

⚠️ Основная проблема? Отсутствие ясных документов по загрузчикам. Так что прямой реверс ядра тут не поможет — слишком много строк кода в Ntoskrnl.exe и Ntdll.dll, и без руководств разобраться в них непросто.

⭐️ Какая стратегия? Практический анализ с помощью отладчика WinDbg и его "братий". И самое интересное, мы выбрали "схему отрицания": если в спецификации утверждается что-то общеизвестное, мы считаем это ложью и проверяем на самом деле.

Например, Microsoft говорит, что максимум 96 секций в файле. Но что, если это не так? Заголовок указывает на поле размером word = 65.536. И так далее...

🔒 А так же — изучим функциональность таких инструментов, как PEview, FileAlyzer, CFF Explorer и других, чтобы понять, как они помогают нам анализировать и безопасно работать с PE-файлами. Подготовимся к тому, как зловещие руки вредоносного ПО используют эти знания для скрытия своих действий.

⌛ Читать подробнее