El análisis estático puede revelar un decodificador, una API importada o una cadena incrustada. No demuestra que todas las ramas aparentemente alcanzables se ejecutaran en una máquina. Mantén separados esos niveles de evidencia.
Usa Reverse para inspección estática acotada de binarios compatibles cuando el runner configurado esté disponible. El binario enviado no se ejecuta. Para una investigación mayor, incorpora fragmentos del descompilador y observaciones de tu propio entorno de análisis.
Material de partida
- Un binario compatible seleccionado o un fragmento acotado de desensamblado o código descompilado.
- El hash, el formato y la pregunta, como la decodificación de una configuración.
- Observaciones conocidas separadas de etiquetas, nombres de antivirus y afirmaciones externas sin verificar.
Analiza las evidencias
- Establece el formato, las secciones y los imports relevantes. Registra qué observaciones proceden del archivo y cuáles de la interpretación de una herramienta.
- Sigue una función pequeña y sus llamadores. Examina transformaciones de bytes, longitudes y errores antes de dar significado a los datos decodificados.
- Pide indicadores candidatos con offsets o referencias a funciones y una explicación de su confianza. Una cadena no demuestra contacto con un endpoint.
- Contrasta el resultado en tu desensamblador. La investigación dinámica requiere otro entorno controlado; este flujo estático no ejecuta la muestra.
Un prompt para adaptar
Adáptalo a tus pruebas
Explica esta función de decodificación de configuración y sus llamadores. Sigue cada transformación de bytes e identifica quién consume la salida. Distingue una cadena decodificada de un destino de red confirmado. Enumera offsets o funciones que sustenten cada conclusión y la evidencia aún necesaria sobre el comportamiento en ejecución.
Comprueba el resultado
- Hashes y referencias permiten que otro analista examine los mismos bytes.
- La explicación contempla flujo de control, longitudes de búfer y errores de decodificación.
- Los indicadores se clasifican por tipo de evidencia; una cadena sola no demuestra ejecución, persistencia ni contacto de red.
Lleva tus evidencias a una conversación y trabaja en la siguiente pregunta.
Abrir chat