Tag Archives: malware

Bypass de Cuckoo, la méthode HackedTeam

Bien… Comme tout le monde, c’est bien évidemment que je suis allé voir le code de nos amis transalpins. Et quel joie de trouver une solution de bypass de Cuckoo que je ne connaissait pas. Le code officiel est là … Continue reading

Posted in Asm, Coding, Malware, Reverse | Tagged , , , , , | 4 Comments

Extraction de String / Episode A

Bon… des fois, la fonction d’obfuscation de string d’un malware est chiante et illisible (bref comme il faudrait que ce soit) Et en plus décousue, je veux dire par là que le malware va la picorer et ne deobfusque pas … Continue reading

Posted in Asm, Reverse | Tagged , , | Leave a comment

DecrottePE compatible chinese style.

Bon tant que j’y était, histoire de plus perdre de temps avec certains packer à deux balles ou des dumps encrypté à la chinoise (Xor de base ou Xor shifté). Voici une version de «decrottePE.py» qui bruteforce; C’est pas joli, mais … Continue reading

Posted in Crypto, Malware, Reverse | Tagged , , | 1 Comment

La formidable librairie PEFILE

Petit focus sur la librairie python pefile (Dispo ICI ) créée par Ero Carrera. Cette librairie permet de parser un executable windows sans se fatiguer que celui-ci soit 64 ou 32 bits. J’ai pondu deux minis scripts python avec cette librairie, … Continue reading

Posted in Reverse | Tagged , , | 1 Comment

Le cap a été franchis…

Ca y est le premier exploit avec du bypass de EMET a été débusqué http://researchcenter.paloaltonetworks.com/2014/11/addressing-cve-2014-6332-swf-exploit/ Ca reste du emet 4.1, ca bypass pas toutes les protections… Mais c’est partis ! :)

Posted in Malware, Reverse | Tagged , , | Leave a comment

Packer sans ta mère, Level II, Prérequis III : LoaderDATA

On va voir aujourd’hui un grand classique des packer et aussi des shellcodes; Comment trouver et parser la liste des DLL afin de trouver le début d’une DLL mappée en mémoire; Désormais on sait que grace au PEB + 0xC on peut trouver … Continue reading

Posted in Asm, Malware, Reverse, Windows | Tagged , , , , , | Leave a comment

Le Droppeur du jour, label231486.pdf – Part 2

Suite de l’analyse de la facture de chez DHL :) On le dépacke ! Le dit sample est dispo dans AvCaesar chez Malware.lu mais on n’y apprend pas grand chose de plus. A première vue, on n’arrivera pas a dépacker … Continue reading

Posted in Malware, Reverse | Tagged , , , | Leave a comment

Le Droppeur du jour, label231486.pdf – Part 1

Quel ne fut pas ma joie d’ouvrir ma boite aux lettres et de tomber sur une facture envoyée par “sales@meyda.com”. Une sombre histoire de facturation.

Fichtre, un problème de facturation… Heureusement je ne risque rien, le fichier semble passé … Continue reading

Posted in Malware, Reverse | Tagged , , , | 1 Comment

Dépacking sans IDA :) vive les strings

Un collègue m’a fournit un petit EXE. Voici une petite histoire fort rigolote. Comme quoi la qualité des droppeurs est bien inégale.  À première vue, pfff tendu.. un EXE .NET

Et bien non, on ne reverse pas. En stringuant … Continue reading

Posted in Malware, Reverse | Tagged , | Leave a comment

PASSIVE DNS ou l’art de logger le DNS

Comment retrouver quel était l’ip utilisée par le record www.badbadserver.com le 24 décembre d’il y a 2 ans, cet IP correspond t’elle au point d’exfiltration www.re-badserver.com vu ce matin ? Une seule réponse; le DNS Passif, alias PDNS. Passive DNS … Continue reading

Posted in Malware, Network | Tagged , | 2 Comments