Μέθοδοι αντίστροφης μηχανικής για ανάλυση κακόβουλου λογισμικού
Loading...
Date
2026-10-07
Authors
Ζαφειροπούλου, Ελένη
Journal Title
Journal ISSN
Volume Title
Publisher
Abstract
Η παρούσα διπλωματική εργασία εξετάζει την εφαρμογή μεθόδων αντίστροφης μηχανικής στη στατική ανάλυση κακόβουλου λογισμικού, με μελέτη περίπτωσης ένα δείγμα Remcos RAT. Στόχος είναι η διαμόρφωση ελέγξιμης και αναπαραγώγιμης διαδικασίας που συνδέει κάθε τεχνικό συμπέρασμα με συγκεκριμένο εύρημα και μετατρέπει επιλεγμένα χαρακτηριστικά σε πειραματικούς κανόνες YARA. Η ανάλυση πραγματοποιήθηκε χωρίς εκτέλεση του δείγματος, σε ελεγχόμενο εικονικό περιβάλλον Windows 11 ARM64 με το Ghidra 12.1.2. Εξετάστηκαν η δομή Portable Executable, οι συναρτήσεις API, οι συμβολοσειρές, οι διασταυρούμενες αναφορές, οι καλούσες συναρτήσεις και οι ροές ελέγχου και δεδομένων. Τεκμηριώθηκαν υλοποιημένες δυνατότητες εισόδου ήχου και εγγραφής δεδομένων σε αρχείο .wav, ανάκτησης δεδομένων μέσω HTTP, δικτυακής επικοινωνίας, διατήρησης παρουσίας μέσω Registry Run, διαχείρισης του Προχείρου, process hollowing, διαγραφής επιλεγμένων αρχείων δεδομένων των Chrome και Firefox και αποκρυπτογράφησης μέσω Windows DPAPI. Οι συμβολοσειρές «Remcos v», «5.1.1 Pro» και «BreakingSecurity.net» παρείχαν επίσης ισχυρά τεχνουργήματα συσχέτισης με την οικογένεια και την ένδειξη έκδοσης του δείγματος. Δύο κανόνες YARA σχεδιάστηκαν από τα επαληθευμένα ευρήματα, μεταγλωττίστηκαν επιτυχώς και έδωσαν MATCH στο γνωστό θετικό δείγμα. Το αποτέλεσμα επιβεβαιώνει την ορθή μεταφορά των χαρακτηριστικών, όχι όμως την ευαισθησία, την ειδικότητα ή τη δυνατότητα γενίκευσης των κανόνων. Συμπερασματικά, το Ghidra υποστηρίζει τεκμηριωμένη στατική διερεύνηση όταν τα αυτόματα αποτελέσματα επαληθεύονται χειροκίνητα και η υλοποιημένη δυνατότητα διακρίνεται από τη συμπεριφορά που παρατηρείται κατά την εκτέλεση.
Description
Keywords
Αντίστροφη μηχανική, Ανάλυση κακόβουλου λογισμικού