Gracias por acompañarme y bienvenido a esta nueva lección.
Huella de identificación o finger printing significa generar un jallo o valor criptográfico basado en
el contenido del malware AR Algo significa asignarle un valor de tal manera que no puede alterarse el
contenido sin alterar ese valor.
Sirve para identificar inequívocamente una muestra de malware.
Fusi housing sirve para comparar similitudes entre muestras de malware.
Lo veremos más adelante.
Lo primero que vamos a hacer es ejecutar nuestra máquina virtual.
La primera cosa es visitar esta página.
Aquí vamos a atender los calles de nuestro binario.
Tienes el enlace en recursos web.
Vamos a Subiéramos Huan.
Un as puede ser generado por diferentes algoritmos, como MD5 cha 1 o ya 256.
Tenemos todos aquí en esta página.
Estos valores jazzed son nuestros finger printing.
Y por supuesto, podemos obtenerlo también usando las herramientas que hemos estado viendo.
Vamos a abusar P.
Estudio abrámoslo como administrador para generar nuestro finger printing.
Aquí estábamos gustarla vamos a buscar el proyecto de Ramos Huang, que sabemos que es un Rumson Software.
Voy a buscar la carpeta del proyecto.
Para ubicar el ejecutable.
Aquí está.
Voy a abrirla.
Visual Studio hace esta estructura, este es el proyecto.
El ejecutable está en Vinh.
Aquí está, está cargado y podemos ver que el Pez Studio nos genera los tres mismos Galles.
Si comparamos estos con nuestra herramienta en línea, deben ser los mismos.
Mismo contenido, mismos calles o finger printing.
Aquí podemos verlo.
Finalmente, vamos a ver el ADN generado por CFT Explorer.
Mejor tener varias herramientas a la mano.
Hemos hablado del por qué nunca confías en una sola herramienta.
Usar varias de enriquecerá tu análisis?
Ahora quiero hacer una demostración de cómo los gases son únicos y están definitivamente tachados al
contenido.
Usaremos Visual Studio.
No hagas de esta práctica solo.
Mejor observa.
Aquí tenemos Adoramos Huan el proyecto.
Voy a copiar el ejecutable al escritorio y voy a abrir.
Voy a abrirlo en PC Studio para exponer los caches.
Está listo.
Bien, ahora voy a hacer un pequeño cambio en el código de Ramos WAN.
Y veamos qué pasa con las calles.
Voy a añadir una clase.
La voy a nombrar Lilith.
Lilith III.
Y ahora voy a huir el ejecutable de nuevo Bilt.
Ahí vamos.
Está listo.
Ahora voy a abrir el ejecutable que acabo de construir usando Pet Studio.
Bin Debug y aquí está.
Ahora puedo comparar Ashes.
Recuerda a la izquierda tenemos el jazz antes y a la derecha el jazz.
Después de hacer una pequeña modificación en el código, como podemos ver, son totalmente diferentes.
Incluso una pequeña modificación cambia totalmente las calles.
Y de eso se trata la técnica de Finger Printing, identificar un binario inequívocamente por sus calles.
Ahora vamos a hablar de Fusi Walling.
Digamos que ya tienes del jazz de Ramus wan.
Recuerda que un pequeño cambio en el input dará una un hach completamente diferente.
Ahora los ataques pueden añadir una nueva funcionalidad a Ramus Wan y liberar el malware de nuevo.
Digamos que te infectas de nuevo con el mismo malware.
La pregunta es estás infectado con un nuevo malware?
Porque si comparas calles, estos parecen dos completamente diferentes, verdad?
Pero eso no tiene mucho sentido porque es el mismo malware con un pequeño con una pequeña diferencia.
Entonces lo que debemos hacer es comparar estos binarios para ver cuánto se parecen el uno al otro.
Esto es una comparación, Fusi y tenemos una herramienta para eso llamada es es Deep.
Entonces lo que voy a hacer es compilar dos binarios en el 1, haré un pequeño cambio al código fuente
y luego usaremos es deep para compararlos.
Okey, este binario ya está listo, vamos a guardarlo.
Ahora voy a añadir alguna clase al proyecto solo para cambiar el binario un poco.
Listo.
Bien, lo he modificado un poco, ahora vamos a compilarlo y construir nuestro binario.
Ahora tenemos dos binarios, vamos a cambiar el nombre del primero.
Listo.
Ahora voy a copiar los dos binarios en el mismo directorio que nuestra herramienta es.
Es div.
Ese es D.E.P, es una aplicación de consola.
La tengo lista aquí.
Encontrará de estas instrucciones de la documentación de la herramienta.
Como puedes ver, los binarios se parecen en un 55 por ciento, entonces inclusive con un pequeño con
un cambio que se hizo.
La herramienta nos está diciendo que es del mismo malware o al menos pertenece a la misma familia.
Gracias.
Por favor, acompáñame en la siguiente elección.