A análise estática pode revelar um decodificador, uma API importada ou uma string embutida. Ela não comprova que todo ramo aparentemente alcançável foi executado em uma máquina. Mantenha esses níveis de evidência separados.
Use o modo Reverse para inspeção estática dos binários suportados, dentro dos limites, quando o runner configurado estiver disponível. O binário enviado não é executado. Em investigações maiores, leve trechos selecionados do decompilador e observações do seu ambiente de análise para a conversa.
Material de partida
- Um binário suportado selecionado ou um trecho limitado de disassembly ou código decompilado.
- O hash, o formato do arquivo e a pergunta a responder, como decodificação de configuração.
- Observações conhecidas separadas de rótulos, nomes de antivírus e afirmações externas não verificadas.
Analise as evidências
- Estabeleça o formato, as seções e os imports relevantes. Registre o que vem do arquivo e o que vem da interpretação de uma ferramenta.
- Siga uma função pequena e seus chamadores. Acompanhe transformações de bytes, comprimentos e caminhos de erro antes de atribuir significado aos dados decodificados.
- Peça indicadores candidatos com offsets ou referências a funções e uma explicação da confiança. Uma string não comprova contato com um endpoint.
- Confira o resultado no seu disassembler. Qualquer investigação dinâmica exige um ambiente controlado separado; este fluxo estático não executa a amostra.
Um prompt para adaptar
Adapte às suas evidências
Explique esta função de decodificação de configuração e seus chamadores. Acompanhe cada transformação de bytes e identifique quem consome a saída. Diferencie uma string decodificada de um destino de rede confirmado. Liste os offsets ou funções que sustentam cada conclusão e as evidências ainda necessárias sobre o comportamento em execução.
Confira o resultado
- Hashes e referências permitem que outro analista examine os mesmos bytes.
- A explicação considera fluxo de controle, comprimentos dos buffers e falhas na decodificação.
- Os indicadores são classificados pelo tipo de evidência; execução, persistência ou contato de rede não são inferidos apenas de uma string.
Leve suas evidências para uma conversa e avance para a próxima pergunta.
Abrir chat