elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.


 


Tema destacado: [AIO elhacker.NET 2015] Compilación herramientas análisis y desinfección malware


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderador: fary)
| | |-+  Pregunta trozo código ensamblador de malware
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Pregunta trozo código ensamblador de malware  (Leído 176 veces)
orApic

Desconectado Desconectado

Mensajes: 5


Ver Perfil
Pregunta trozo código ensamblador de malware
« en: 19 Junio 2017, 17:04 »

Buenas,
 estoy analizando la función que instala un inline hook y me encontré con este trozo de código:

Código:
loc_10004599:           ; lpModuleName
push    0
call    ebx ; GetModuleHandleW
inc     esi
cmp     esi, 44h
jb      short loc_10004599

No parece hacer nada con el resultado por que hace un mov con destino eax.
¿Alguna idea de porqué hace esto?
En línea

MCKSys Argentina
Moderador Global
***
Desconectado Desconectado

Mensajes: 4.005


Diviértete crackeando, que para eso estamos!


Ver Perfil
Re: Pregunta trozo código ensamblador de malware
« Respuesta #1 en: 19 Junio 2017, 17:13 »

El retorno de la API está en eax. Quizás lo usa más adelante?

El código que has colocado es muy poco/corto. Es difícil saber lo que está pasando...  :P

Saludos!
En línea

MCKSys Argentina

"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."

orApic

Desconectado Desconectado

Mensajes: 5


Ver Perfil
Re: Pregunta trozo código ensamblador de malware
« Respuesta #2 en: 19 Junio 2017, 17:25 »

Justo después del jb hay un
Código:
mov     eax, edi
Por eso no sé muy bien para qué lo hace  :-\
En línea

MCKSys Argentina
Moderador Global
***
Desconectado Desconectado

Mensajes: 4.005


Diviértete crackeando, que para eso estamos!


Ver Perfil
Re: Pregunta trozo código ensamblador de malware
« Respuesta #3 en: 19 Junio 2017, 17:28 »

Justo después del jb hay un
Código:
mov     eax, edi
Por eso no sé muy bien para qué lo hace  :-\

Si es así puede que sea ofuscación?

Saludos!
En línea

MCKSys Argentina

"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."

orApic

Desconectado Desconectado

Mensajes: 5


Ver Perfil
Re: Pregunta trozo código ensamblador de malware
« Respuesta #4 en: 19 Junio 2017, 17:32 »

Si es así puede que sea ofuscación?

Saludos!
Podrías explicarte? No entiendo porqué sería ofuscación. Me refiero aquí sólo está iterando 68 veces con esa llamada de GetModuleHandle pero luego no hace nada con el resultado entiendo. O me estoy equivocando  :huh:
En línea

MCKSys Argentina
Moderador Global
***
Desconectado Desconectado

Mensajes: 4.005


Diviértete crackeando, que para eso estamos!


Ver Perfil
Re: Pregunta trozo código ensamblador de malware
« Respuesta #5 en: 19 Junio 2017, 17:39 »

Podrías explicarte? No entiendo porqué sería ofuscación. Me refiero aquí sólo está iterando 68 veces con esa llamada de GetModuleHandle pero luego no hace nada con el resultado entiendo. O me estoy equivocando  :huh:

Claro. Es un bucle que no hace nada, pero que llama a una API. Puede que sea para confundir a los analizadores automáticos (como haz dicho, este código proviene de un malware).

Llamar a esa API más de una vez, en un bucle y sin usar el resultado; equivale a no hacer nada excepto perder ciclos de cpu.

Saludos!
En línea

MCKSys Argentina

"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."

orApic

Desconectado Desconectado

Mensajes: 5


Ver Perfil
Re: Pregunta trozo código ensamblador de malware
« Respuesta #6 en: 19 Junio 2017, 17:44 »

Claro. Es un bucle que no hace nada, pero que llama a una API. Puede que sea para confundir a los analizadores automáticos (como haz dicho, este código proviene de un malware).

Llamar a esa API más de una vez, en un bucle y sin usar el resultado; equivale a no hacer nada excepto perder ciclos de cpu.

Saludos!

mmm Puede ser sí. Gracias!
En línea

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
El mejor trozo de código jamas visto xDDD « 1 2 »
Foro Libre
WHK 11 2,199 Último mensaje 11 Enero 2010, 18:20
por [u]nsigned
VB .Net decompilado, necesito quedarme con un trozo de codigo en el EXE.
Ingeniería Inversa
olevlove 2 1,457 Último mensaje 15 Mayo 2010, 21:06
por olevlove
Reconstruir este trozo de código en java
Java
Tuplado 6 1,555 Último mensaje 16 Octubre 2012, 19:23
por sapito169
ayuda con este código en ensamblador
ASM
jim12328 6 1,403 Último mensaje 12 Mayo 2014, 22:42
por x64core
Codigo en lenguaje de ensamblador MIPS
ASM
rbetgar 3 295 Último mensaje 10 Mayo 2017, 20:06
por MCKSys Argentina
Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines