Comece pela identidade do arquivo e por uma pergunta específica. O nome do arquivo e um rótulo de detecção não bastam para determinar o que os bytes fazem. A inspeção estática ajuda a localizar estruturas e caminhos que merecem atenção.
O fluxo Reverse suportado pelo NotHoly examina arquivos PE e ELF dentro dos limites sem executá-los. A disponibilidade depende do runner configurado. Outros formatos e análise dinâmica exigem ferramentas apropriadas.
Antes de começar
- Uma amostra selecionada, tratada em um ambiente de análise adequado, com o hash original registrado.
- O formato observado e a tarefa: examinar imports, entender um decodificador ou explicar uma função.
- Trechos estáticos relevantes e observações externas identificadas pela fonte.
Siga as etapas
- Confirme o hash e o formato antes do envio. Preserve um original separado para que transformações posteriores não alterem a evidência citada.
- Confira a disponibilidade atual do modo Reverse e selecione o arquivo explicitamente. Um modo listado não comprova que seu runner esteja online.
- Examine seções, imports e strings limitadas antes de focar em uma função. Mantenha offsets e nomes de função junto das evidências extraídas.
- Siga entradas, transformações e consumidores. Peça o que o código comprova e o que ainda depende de observação em execução.
- Confira no seu disassembler e registre limitações, como empacotamento, chamadas não resolvidas ou dependências ausentes.
Use um prompt preciso
Adapte às suas evidências
Examine este arquivo estaticamente. Estabeleça o formato e identifique as funções relevantes para decodificar a configuração. Explique o caminho selecionado com offsets ou referências a funções. Separe capacidade importada, comportamento possível e execução observada. Uma string embutida não comprova contato com um destino.
Verifique seu trabalho
- O resultado usa o mesmo hash e sustenta as afirmações com locais que podem ser inspecionados.
- A investigação não trata um import, rótulo ou string como prova de que uma ação ocorreu.
- Formatos não suportados, evidências truncadas e fluxos de controle não resolvidos ficam explícitos.
Leve suas evidências para uma conversa e avance para a próxima pergunta.
Abrir chat