Pinicorn: hacia un análisis dinámico automatizado para desempaquetar malware PE de 32 bits
Autores: Lee, Gwangyeol; Kim, Minho; Yi, Jeong Hyun; Cho, Haehyun
Idioma: Inglés
Editor: MDPI
Año: 2024
Acceso abierto
Artículo científico
2024
Pinicorn: hacia un análisis dinámico automatizado para desempaquetar malware PE de 32 bits
Categoría
Ingeniería y Tecnología
Subcategoría
Ingeniería Eléctrica y Electrónica
Palabras clave
Técnicas de ofuscación
Análisis de malware
Empaquetadores
Pinicorn
Técnicas anti-análisis
Tabla de importación
Licencia
CC BY-SA – Atribución – Compartir Igual
Consultas: 41
Citaciones: Sin citaciones
El punto de entrada original (OEP) y las técnicas de ofuscación de API dificultan en gran medida el análisis de malware. Los empaquetadores contemporáneos, que emplean estas estrategias sofisticadas de ofuscación, continúan planteando desafíos no resueltos, a pesar de los extensos esfuerzos de investigación. Estudios recientes, como API-Xray, se han concentrado principalmente en reconstruir tablas de importación ofuscadas en malware, pero la investigación sobre la ofuscación de OEP aún es limitada. Como solución, presentamos Pinicorn, un sistema automatizado de de-ofuscación dinámica diseñado para abordar estas complejidades. Pinicorn evita las técnicas anti-análisis de los empaquetadores y recupera el programa original de la memoria. Está específicamente diseñado para detectar y analizar códigos de trampolín tanto en el OEP como en la tabla de importación. Nuestra evaluación muestra que Pinicorn deofusca con éxito programas ocultos por tres empaquetadores diferentes, confirmando su efectividad mediante un análisis comparativo con sus versiones originales. Además, realizamos experimentos con malware ofuscado por Themida y VMProtect, analizando las técnicas de ofuscación y de-ofuscándolas con éxito para validar la efectividad de nuestro enfoque.
Descripción
El punto de entrada original (OEP) y las técnicas de ofuscación de API dificultan en gran medida el análisis de malware. Los empaquetadores contemporáneos, que emplean estas estrategias sofisticadas de ofuscación, continúan planteando desafíos no resueltos, a pesar de los extensos esfuerzos de investigación. Estudios recientes, como API-Xray, se han concentrado principalmente en reconstruir tablas de importación ofuscadas en malware, pero la investigación sobre la ofuscación de OEP aún es limitada. Como solución, presentamos Pinicorn, un sistema automatizado de de-ofuscación dinámica diseñado para abordar estas complejidades. Pinicorn evita las técnicas anti-análisis de los empaquetadores y recupera el programa original de la memoria. Está específicamente diseñado para detectar y analizar códigos de trampolín tanto en el OEP como en la tabla de importación. Nuestra evaluación muestra que Pinicorn deofusca con éxito programas ocultos por tres empaquetadores diferentes, confirmando su efectividad mediante un análisis comparativo con sus versiones originales. Además, realizamos experimentos con malware ofuscado por Themida y VMProtect, analizando las técnicas de ofuscación y de-ofuscándolas con éxito para validar la efectividad de nuestro enfoque.