Мій третій крок в InfoSec: як я вчуся аналізувати малварь в 11 років

Перші кроки в Ghidra та x64dbg: як я в 11 років вчуся читати код малварі «всліпу»

Привіт, IT-спільното DOU! На зв’язку знову blade. У минулому дописі я обіцяв, що моя Malware-лабораторія переходить на новий рівень — від спостереження за поведінкою вірусів до реверс-інжинірингу. Слова треба підтверджувати ділом. Сьогодні я хочу розповісти про свій перший реальний досвід статичного аналізу, біль від асемблера, перші успішні брейкпоінти та велике оновлення моєї бази знань.

🧑‍💻 Трохи про мене

Оскільки це вже мій третій матеріал тут, думаю, настав час познайомитися ближче. Мене звати Тимофій, я з України. Мені 11 років, навчаюся у школі й майже весь свій вільний час присвячую InfoSec, дослідженню Windows Internals та кібербезпеці. Для мене це не просто хобі, а свідомий вибір майбутньої професії, до якої я готуюся вже зараз.

🧱 Еволюція Malware-Encyclopedia: глибше занурення в Windows Internals

Мій головний open-source проєкт Malware-Encyclopedia продовжує активно розвиватися. Цього разу я сфокусувався на детальному розборі взаємодії шкідливого ПЗ із підсистемами ОС:

• Аналіз маніпуляцій з Реєстром (Registry Malware Analysis): Додав у репозиторій окремий розбір гілок реєстру, які малварь використовує не лише для закріплення (Persistence), а й для вимикання захисту — наприклад, спроби деактивації Windows Defender або блокування системних утиліт через Image File Execution Options (IFEO).
• Анатомія WinAPI: Тепер у кожному розборі сімейства вірусів я фіксую конкретні системні виклики. Якщо це стілер — розбираю, як він використовує CryptUnprotectData для крадіжки паролів із браузерів; якщо це лоадер — аналізую ланцюжок від CreateProcess до маніпуляцій із дескрипторами.

Це вже не просто конспект, а детальна інженерна база знань, де кожен маркер компрометації (IoC) прив’язаний до конкретної архітектурної особливості Windows.

🔍 Кінець «комфортного» динамічного аналізу

Раніше мій алгоритм аналізу був простий: запустив вірус в ізольованій віртуалці VirtualBox, подивився логи моніторингу в blade_Trace чи Process Hacker і зібрав IoC. Але сучасні стілери та шифрувальники майже одразу засинають, детектують середовище або шифрують свої API-виклики (API Hashing).

Динамічний аналіз «збоку» став схожим на гадання. З’явилася потреба навчитися читати нутрощі файлу .exe ще до його кліку.

🛠️ Ghidra та x64dbg: перші враження

Я обрав Ghidra як свій перший основний інструмент для статики. Граф функцій спочатку злякав і здався величезним лабіринтом. Читати чистий лістинг асемблера дуже важко, тому вікно декомпілятора Ghidra у C-подібний код сильно рятує, хоча змінні часто мають незрозумілі назви типу local_1c. Перший успіх — мені вдалося знайти захардкоджені рядки (strings) та розібрати логіку перевірки умов у простому CrackMe софті.

Коли статика безсила через обфускацію, я підключаю відладчик x64dbg. Моє головне завдання зараз — навчитися перехоплювати розпакування малварі в оперативній пам’яті. Я вчуся ставити брейкпоінти (Breakpoints) на критичні API-функції виділення пам’яті: VirtualAlloc та VirtualAllocEx. Це дозволяє зупинити вірус точно в момент, коли він розпакував свій чистий шкідливий код у пам’ять, і зняти дамп (Payload) до того, як спрацює маскування.

🎯 Що далі?

Реверс-інжиніринг виявився набагато складнішим, ніж здавалося за підручниками. Тому мені дуже потрібна порада досвідчених фахівців із спільноти DOU (Blue/Purple Team, Reverse Engineers):

1. З яких простіших сімейств реальної малварі краще починати практикувати статику, щоб не зламати мозок об важкі комерційні протектори?
2. Які плагіни для Ghidra є маст-хевом для аналітика-початківця?

Буду дуже радй вашій критиці та підказкам у коментарях! Мій проєкт відкритий для контрибуцій:

👉 Репозиторій на GitHub: blade391off/Malware-Encyclopedia

Дякую за увагу, підтримуйте український InfoSec зірочками й бережіть свої системи! 🇺🇦