Avast otwiera i udostępnia kod potężnego dekompilatora do analizy malware

Jak zapewne pamiętacie, Avast kupiłAVG w 2016 roku. Oprócz poszerzenia w ten sposób bazy swoichużytkowników do ponad 400 milionów, uzyskał też dostęp docałego portfolio technologii dotychczasowego konkurenta. Jedną znich było właśnie narzędzie RetDec, wykorzystywane przedewszystkim do analizy próbek złośliwego kodu na różne platformy –nie tylko windowsową x86/PE, ale też ARM/ELF.

Bazujący na infrastrukturze narzędzi LLVM RetDec jest bowiem,jak to określono, generycznym narzędziem do transformacjispecyficznego dla platformy kodu maszynowego w jego reprezentację wjęzyku wyższego poziomu, tj. kodzie w C lub quasi-Pythonie. Wspierawięc liczne formaty (m.in. PE, ELF, Mach-O, Intel HEX), architektury(m.in. 32-bitowe x86, ARM, MIPS i PowerPC), formaty plików ikompilatory. To wszystko by wyjść naprzeciw współczesnym realiom,w których malware coraz częściej bierze na celownik urządzeniaInternetu Rzeczy.

Wystarczy więc do dekompilatora wgrać plik wykonywalny czy kodmaszynowy, a na wyjściu uzyskamy całkiem przejrzysty kod w językuwysokiego poziomu. Oczywiście nie jest to dokładnie ten kod, którykompilował autor testowanej próbki, ale na pewnym poziomieabstrakcji jest to kod równoważny, pozwalający uzyskać wgląd wto, co się dzieje, znacznie ułatwiając tym samym odwrotnąinżynierię.

Avast liczy na to, że otwierając swój dekompilator, nie tylkouczyni go popularniejszym, ale też zachęci innych do pracy nad jegoulepszaniem. Na pewno przydałoby się wsparcie dla 64-bitowycharchitektur, społeczność sugeruje też, że taki dekompilatorwiele by zyskał na połączeniu go z siecią neuronową, bygenerować najbardziej prawdopodobne wersje kodu źródłowego, woparciu o wiedzę o zachowaniach danej wersji kompilatora.

Niecierpliwi mogą wypróbować RetDeca jako usługęwebową, gdzie rozmiar pliku jest ograniczony do 10 MB ioczywiście trzeba czekać na zwolnienie się zasobów sprzętowych.Pojawiła się też wtyczka RetDecado narzędzia IDA (Interactive Dissasembler). Podstawowym jednaksposobem korzystania jest oczywiście pobranie wersji na Windowsa(znajdziecie ją w naszej bazieoprogramowania) lub samodzielne skompilowanie wersji na Linuksa.Miłej dekompilacji malware!