Buongiorno a tutti,
ho iniziato da poco ad entrare nel mondo del reverse engineering.
Ho imparato come un malware può enumerare i programmi in esecuzione sul PC per rilevare debugger o strumenti di analisi e terminare la propria esecuzione per evitare il rilevamento.
Questo mi porta a chiedermi: se volessi utilizzare una versione modificata di x64dbg per renderla meno identificabile, quale sarebbe il metodo migliore?
Ovviamente, una soluzione semplice potrebbe essere rinominare l'eseguibile, ad esempio da "x64dbg.exe" a "new.exe", in modo che non venga facilmente riconosciuto da Process Explorer o da altri strumenti di monitoraggio. Tuttavia, mi chiedo se esistano altri metodi più avanzati per evitare il rilevamento.
La domanda è: questo basta? Se volessi anche cancellare i meta dati come la description come posso fare? Stavo cercando tramite HexEditor la stringa ma non la trovo. Potrei utilizzare resource Hacker per effettuare questa operazione ma vorrei capire com'è possibile che resource hacker riesca a vedere la stringa mentre l'HexEditor no? Come viene codificata all'interno di HexEditor?
In questo modo si riesce a bypassare l'enumerazione del tool da parte di un possibile malware?
Grazie a chiunque risponda.
ho iniziato da poco ad entrare nel mondo del reverse engineering.
Ho imparato come un malware può enumerare i programmi in esecuzione sul PC per rilevare debugger o strumenti di analisi e terminare la propria esecuzione per evitare il rilevamento.
Questo mi porta a chiedermi: se volessi utilizzare una versione modificata di x64dbg per renderla meno identificabile, quale sarebbe il metodo migliore?
Ovviamente, una soluzione semplice potrebbe essere rinominare l'eseguibile, ad esempio da "x64dbg.exe" a "new.exe", in modo che non venga facilmente riconosciuto da Process Explorer o da altri strumenti di monitoraggio. Tuttavia, mi chiedo se esistano altri metodi più avanzati per evitare il rilevamento.
La domanda è: questo basta? Se volessi anche cancellare i meta dati come la description come posso fare? Stavo cercando tramite HexEditor la stringa ma non la trovo. Potrei utilizzare resource Hacker per effettuare questa operazione ma vorrei capire com'è possibile che resource hacker riesca a vedere la stringa mentre l'HexEditor no? Come viene codificata all'interno di HexEditor?
In questo modo si riesce a bypassare l'enumerazione del tool da parte di un possibile malware?
Grazie a chiunque risponda.
