Углубление в импорты: продолжаем изучать способы статического резолва
Углубление в импорты: продолжаем изучать способы статического резолва 🕵️♂️ Ранее мы рассказывали, как может быть реализован статический резолв импортов. Однако…
Реально тонкое взаимодействие
Реально тонкое взаимодействие 🕊 В ходе реверс-инжиниринга протокола одного из бразильских банковских троянов обнаружилось использование интересного сетевого фре…
Ищем нужные системные вызовы
@Вредонос попал в систему... @Вредонос хочет сделать пакость... @Вредонос вызывает WinAPI и... @EDR-система обнаруживает его и начинает очень громко орать... 😱…
Как починить CFG. Часть вторая
Как починить CFG. Часть вторая 🛠 Ранее мы рассказывали про то, как восстановить Control Flow Graph (CFG) в случае его обфускации. Однако часто при анализе даже…
Используете ли вы криптографию правильно?
Используете ли вы криптографию правильно? 🔓 Группе исследования сложных угроз департамента Threat Intelligence часто приходится решать интересные задачи в проце…
.NET Reactor: эволюция защиты с 6.7 до 7.0 и методы снятия обфускации
.NET Reactor: эволюция защиты с 6.7 до 7.0 и методы снятия обфускации 🔄 .NET Reactor — это мощный инструмент для защиты исполняемых файлов, написанных на С#, от…
Статический резолв импортов
Статический резолв импортов 👨💻 Динамический резолв импортов по хеш-суммам в ВПО — тема заезженная, но для проведения статического анализа необходимо разметить…
TaxOff: кажется, у вас… бэкдор
📑 TaxOff: кажется, у вас… бэкдор В третьем квартале специалисты TI-департамента экспертного центра безопасности Positive Technologies (PT Expert Security Center…
Учимся восстанавливать импорты VMProtect
Учимся восстанавливать импорты VMProtect ⚙️ VMProtect — один из самых используемых протекторов ВПО. При этом зачастую злоумышленники ленятся и используют лишь п…
Как починить CFG
Как починить CFG 🔧 В процессе реверса ВПО мы встречаемся со случаями, когда обфускация мешает понять общий алгоритм работы. Один из примеров — создание двух пос…
Реверсим Delphi без IDR
🛠 Реверсим Delphi без IDR Когда активно занимаешься реверсом, рано или поздно возникает ситуация, когда на твоем пути появляется исполняемый файл на Delphi. Ана…
Как мы нашли ITW-эксплойт для CVE-2024-38178
🔦 Как мы нашли ITW-эксплойт для CVE-2024-38178 В рамках ежемесячного просмотра свежезапатченных уязвимостей мы в команде ESC-VR обращаем пристальное внимание на…