Привет Алисы🎀
Хотите заглянуть внутрь зеркала(или хотя бы монитора) и попасть в зазеркалье ?🔮

В этом посте хочу предоставить вам матерьялы про "то что внутри вашего пк" то есть про ассемблер , точнее не простой ассемблер, а для реверса вирусов и рассказать зачем ассемблер в самих вирусах 🦠

Практическая статья с анализом будет чуть позже, ибо сейчас у админа к сожалению не хватает времини

Для чего нужен ассемблер при написании вирусов?🧬

Антивирусы могут обнаружить вирус если его криптуют обычными шелкодами, или dll запросами и тд. 

По этому для хорошего криптования вирусов часто в самом коде .
Для этого ассемблер просто необходим , ибо высокоуровневыми инструментами сделать хороший полиморфный/метоморфный вирус весьма трудно .
Хотя злоумышленники и могут использовать полиморфные движки вроде этого тык или библиотеки вроде этой для С++ тык .
Злоумышленникам выгодние писать самостоятельно , ибо антивирусные системы могут определять полиморфные движки или библиотеки

Вообще методы анализа часто полагаются на сопоставление сигнатур и эвристических правил 

Если вы не знали, то сигнатура - это модель или хэш, который может однозначно идентифицировать файл по машинному коду, строкам или чувствительным инструкциям свойственным инструментам для критования вирусов
В большой базе данных хранятся существующие образцы сигнатур, и они сравниваются с сигнатурой, полученной файла вруса и таким образом вычисляется наш молварь.
Но по этой причине трудно распознать совершенно новый вредоносный код, так как его сигнатура еще не сформирована.💊
Эвристические правила определяются экспертами по вирусам после анализа молварей. В общем случае им сначала необходимо изучить инструкции кода, проверить изменения данных в памяти и записывать системные события, чтобы понять каждый образец. По этому труднее работать с совершенно новым кодом .

Так же иногда ассемблер используют по части заражения систем , например систем линукс где с заражением чуть сложнее чем в window🧪

По части этого я знаю интересный проект можете глянуть: статья тык, репа тык
Он нацелен на файлы ELF в текущем каталоге . Он использует Reverse Text Segment (технику заражения) .

Его идея состоит в том, что вирус  может освободить место для своего кода, расширив текстовый сегмент в обратном порядке. 

Многие не знают, "где брать вирусы для своих исследований".
Вот тред на гитхаб где есть 31 вирус написанный на ассемблер или использованием энного тык
Еще интересная тема с вирусами это работа с шифровальщиками вот хороший пример шифровальщика и дешифровки на питоне тык, так же хороший инструмент для дешифровки вымогателей на С++ тык

Теперь про сам реверс

Я не буду сильно углубляться , об этом в других постах  -здесь я просто предоставлю вам матерьялы для изучения 

Когда мы делаем статический реверс анализ, мы пытаемся извлечь концепции кода и алгоритмы вируса из asm. В можно использовать такие инструменты, как IDA Pro , SoftIce, Ollydbg , Ghidra и тд.
Так же вот тред на гитхаб с хорошими инструментами для этого написанными на ассемблер тык, а так же на С тык
Вот хорошие матерьялы по ассемблер и реверс репозиторий

Я прикреплю архив с матерьялом ниже✨

Таким как реверс с разбором ассемблерного код , обучение и использование нейронок для обнаружения вирусов , и тд  - советую заглянуть

❣️

Напоминаю , я провожу исследование с анализом вируса, но меня много сторонних дел по этому оно, как и пост про тор выйдут чуть позже 🫥

Спасибо за прочтение❤️

И помните , если птица Додо предлагает вам наперсток не стоит оказываться , вы же не хотите ее обидеть🐧✨
#virus #revers #ransomware #malware #polymorphic #anitivirus #linux