Abstract-Aktuell malware överförs ofta i packad eller krypterad form för att förhindra undersökning av antivirusprogram. För att analysera nya malware, forskare brukar tillgripa dynamiska kodanalys tekniker för att packa upp koden för undersökning. Tyvärr är dessa dynamiska tekniker mottagliga för en mängd olika anti-övervakning försvar, liksom "tid bomber" eller "logiska bomber", och kan vara långsam och tråkig att identifiera och inaktivera. I detta dokument diskuteras ett alternativt tillvägagångssätt som bygger på statisk analysteknik för att automatisera denna process. Alias analys kan användas för att identifiera förekomsten av uppackning, statisk skivning kan identifiera uppackningskoden, och kontrollflöde analys kan användas för att identifiera och neutralisera dynamiska försvar. Den identifierade uppackningskoden kan instrumenteras och omvandlas och sedan utföras för att utföra uppackningen. Vi presenterar en fungerande prototyp som kan hantera en mängd olika malware binärer, packade med både anpassade och kommersiella packare, och innehåller flera exempel på dynamiska försvar.
Coogan m.fl. har undersökt användningen av statiska analystekniker för statisk identifiering och extraktion av uppackningskod REF.
Automatic Static Unpacking of Malware Binaries
{'venue': '2009 16th Working Conference on Reverse Engineering', 'journal': '2009 16th Working Conference on Reverse Engineering', 'mag_field_of_study': ['Computer Science']}