Březen 2022

V nedávné době vědci ze společnosti ESET objevili nový a dosud nepopsaný škodlivý zavaděč nazvaný Wslink. Tento zavaděč funguje jako server a obsahuje inovativní obfuskátor postavený na virtuálním stroji. V této publikaci detailně popisujeme strukturu virtuálního stroje použitého ve vzorcích Wslinku a navrhujeme možný přístup k prozkoumání obfuskačních technik, které jsou použity v těchto vzorcích. Náš přístup demonstrujeme na konkrétních částech kódu chráněných vzorků

V průběhu našeho výzkumu jsme úspěšně vyvinuli a implementovali poloautomatické řešení, které výrazně usnadňuje analýzu základního kódu programu. Virtuální stroj představoval širokou paletu obfuskačních technik, které jsme úspěšně překonali a odhalili tak část deobfuskovaného škodlivého kódu. Detaily tohoto odhalení popisujeme v této publikaci.

V závěrečných částech této analýzy předkládáme části kódu, které jsme vyvinuli pro potřeby našeho výzkumu. Kromě toho nabízí tato publikace přehled vnitřní struktury virtuálních strojů obecně a uvádí některé důležité termíny a rámce, které používáme v podrobné analýze virtuálního stroje Wslink.