unipacker

 _   _         __  _  __                    _
| | | |       / / (_)                    | |
| | | |_ __  | |   _   | | _ __   __ _  ___| | _____ _ __
| | | | '_ / /   | |     '_  / _` |/ __| |/ / _  '__|
| |_| | | |     | |   / / |_) | (_| | (__|   <  __/ |
 ___/|_| |_|| |  |_|  | || .__/ __,_|___|_|____|_|
              _     /_/ | |
                          |_|

un {i}パッカー

マスター
開発者

ユニコーンエンジンを使用してPEファイルを開梱します

マルウェア著者によるランタイムパッカーの使用は非常に一般的です。分析を妨げるのに役立つテクニックです。さらに、パッカーは、署名またはハッシュだけでマルウェアを識別することを不可能にするため、ウイルス対策製品にとって課題です。

詰め込まれたマルウェアサンプルを分析できるようにするには、バイナリを開梱する必要があることがよくあります。通常、これは、アナリストが動的分析手法（ツール：OllyDBG、X64DBG）を使用してバイナリを手動で展開する必要があることを意味します。自動開梱にはいくつかのアプローチもありますが、それらはすべてWindowsでのみ使用できます。したがって、梱包されたWindowsマルウェアをターゲットにする場合、アナリストにはWindowsマシンが必要になります。私たちのプロジェクトの目標は、実行可能なWindowsバイナリを生成するエミュレーションを使用して、プラットフォームに依存しない自動梱包を可能にすることです。

完全にサポートされているパッカー

• Aspack ：圧縮率が高い高度な商用パッカー
• FSG ：フリーウェア、速度で開梱します
• MEW ：小さなバイナリ向けに特別に設計されています
• MPRESS ：無料、より複雑なパッカー
• 小柄：Aspackに似たフリーウェアパッカー
• UPX ：クロスプラットフォーム、オープンソースパッカー
• yzpack

他のパッカー

必要なAPI関数がun {i}パッカーに実装されている限り、他のパッカーも同様に機能するはずです。特別に知られていないパッカーについては、エミュレーションの開始アドレスとエンドアドレスを手動で指定したいかどうかを尋ねられます。 PEヘッダーで宣言されたエントリポイントから始めて、セクションホッピングが検出されるまでエミュレートする場合は、 Enterを押します

ショーケース

私たちは、研究プロジェクト、大学のコース、およびマルウェアの難読化について学生に教えるその他のリソースのために、国連{I}パッカーの積極的な使用法を見ることができて謙虚です。

• Westphalian Universityの修士課程「マルウェア分析とサイバー脅威インテリジェンス」に属するチュートリアルビデオは、UN {I} Packerで難読化されたマルウェアを分析する方法を示しています
• DeepFrect：悪意のあるバイナリ内でマルウェアコンポーネントをローカライズおよび識別するためのツールを提示する論文。そのデータセットは、国連{i}パッカー前処理ステップに依存しています
• BDHUNTER：動作ディスパッチャを自動的に識別して悪意のある動作のトリガーを支援するシステムを説明する論文。このツールでは、入力として未貼りのマルウェアサンプルが必要です。著者はun {i}パッカーを使用して提案します
• JARV1S Resassembler：UN {I}パッカーを前処理ステップとして使用する分解者
• バージニア大学の「CS 4630：Defense Againg the Dark Arts」のAnti-Anti-Virus 2講義、Un {I} Packerを開梱技術の例として使用する
• マルウェア分析の習得：Alexey KleymenovとAmr Thabetによるマルウェア分析のこの包括的なガイドの第2版では、いくつかの人気のあるパッカーに適したツールとしてのパッカーに言及していることを説明しています。

追加のプロジェクトにun {i}パッカーを使用していて、このリストに掲載されていることを希望する場合は、ご連絡をお待ちしています。

使用法

通常のインストール

OS用のYARAパッケージをインストールし、PYPIからUN {I}パッカーを取得し、自動的に作成されたコマンドラインラッパーを使用して開始します。

 pip3 install unipacker
unipacker

un {i}パッカーの使用方法に関する詳細な手順については、wikiを参照してください。さらに、すべてのシェルコマンドが文書化されています。この情報にアクセスするには、 helpコマンドを使用します

クリス・ディートリッヒ教授による（ドイツ語）ビデオで動作中の国連{i}パッカーを簡単に見ることができます

開発モードのインストール

リポジトリをクローンし、 pip3 install -e .

Dockerを使用します

提供されたDockerFileを使用して、un {i}パッカーのコンテナ化バージョンを実行することもできます。

 docker run -it -v ~/local_samples:/root/unipacker/local_samples vfsrfs/unipacker

ホームディレクトリにlocal_samplesというフォルダーがあると仮定すると、これはコンテナ内に取り付けられます。したがって、un {i}パッカーは/root/unipacker/local_samplesを介してそれらのバイナリにアクセスできます

RESTFUL API

@RPGEEGANAGEによって作成されたサードパーティのラッパーは、RESTFULサーバーにリクエストを送信することでサンプルを開梱できます：https：//github.com/rpgeeganage/restful4up