Bạn có biết tại sao các nhà nghiên cứu bảo mật họ biết được nguồn gốc của mã độc và cách thức lây lan của chúng không. Thông thường các nhà nghiên cứu sẽ dịch ngược file mã độc từ exe hoặc bất kỳ file nào sang mã nguồn của nó, vì đa số các mã độc sẽ bị mã hóa hoặc làm rối mã. Bộ tổng hợp công cụ dịch ngược và phân tích mã nguồn Retoolkit sẽ giúp bạn làm được việc này một cách dễ dàng.
Retoolkit là gì?
Retoolkit hay còn gọi là Reverse Engineer’s Toolkit là một bộ sưu tập các công cụ giúp dịch ngược mã nguồn nếu bạn nếu bạn đam mê dịch ngược và phân tích phần mềm độc hại trên các hệ thống Windows x86 và x64. Sau khi cài đặt bộ công này bạn, bạn sẽ có được các công cụ được tổng hợp dùng để dịch ngược mã nguồn được nhiều người sử dụng, danh sách gồm:
Tất nhiên là bạn vẫn có thể tải từng phần mềm từ các trang web chính thức và tự cài đặt chúng. Nhưng nếu bạn Download Reverse Engineer’s Toolkit, bạn sẽ tiết kiệm được khá nhiều thời gian so với việc cài thủ công. Ngoài ra, các công cụ được cấu hình sẵn cho phiên bản x86 và x64 nên bạn sẽ tìm thấy những thứ như x64dbg với một vài plugin, công cụ dòng lệnh hoạt động từ bất kỳ thư mục nào, v.v. Tốt nhất bạn nên cài trên máy ảo, vì việc phân tích mã độc có thể gây ảnh hưởng đến máy thật.
Bộ sưu tập các công cụ dịch ngược của Retoolkit như sau:
- .NET: de4dot, dnSpy
- Compilers: fasm (The flat assembler)
- Debuggers: x64dbg (Plugin %AppFolder%x64dbgscripts)
- Decompilers: Exe2Aut, Ghidra, IDR, JD-GUI, myAutToExe, Recaf
- Document analysis: OfficeMalScanner
- Hexadecimal editors: Fhex, ImHex, rehex
- PE analyzers: capa, Detect It Easy, FLOSS, PE-Bear, pestudio, pev
- PE resources editors: Resource Hacker
- Process monitors: API Monitor, FileGrab, Process Hacker, System Explorer
- Signature tools: YARA
- Unpacking: NoVmp, UPX, XVolkolak
- Utilities: beware ircd, CyberChef, Error Lookup, manw, SSView, vt-cli, winapiexec
Mã nguồn được chia sẻ trên github chưa được build, nên khi xem source bạn sẽ thấy các file *.iss, đây là file được tạo ra do tác giả build bằng Inno Setup. Để tải bản cài đặt bạn có thể tải ở trang Release.
Bộ công cụ này có thể không đủ trong một số trường hợp dịch ngược, nếu bạn muốn bổ sung cho đầy đủ có thể cài thêm các công cụ như: Ollydbg, IDA, Hexedit, WinMerge, CFF explorer, Scylla…