Использование FLARE-FLOSS для Извлечения Скрытых IOC Вредоносного ПО

В этом руководстве рассматриваются возможности FLARE-FLOSS по выявлению скрытых и обфусцированных строк в файлах Windows PE. Мы начинаем с установки FLOSS и кросс-компилятора MinGW-w64. Создается синтетический исполняемый файл, имитирующий вредоносное ПО, с использованием различных методов скрытия строк, таких как статические строки, строки на стеке, плотно упакованные строки и строки, закодированные с помощью XOR. Затем мы оцениваем ограничения традиционных инструментов извлечения строк по сравнению с FLOSS, который использует углубленный статический анализ и методы эмуляции для восстановления строк. Это исследование подчеркивает, как аналитики могут выявлять URL, пути реестра, подозрительные вызовы API и другие критические индикаторы компрометации, которые стандартное извлечение строк может пропустить.