Anti-UPX Unpackingテクニック - JPCERT/CC Eyes

Windows OSを狙うマルウェア（PEフォーマット）は、コードの分析を困難にするためのさまざまな難読化やパッキングが行われており、その種類は多岐にわたります。それに比べて、Linux OSを狙うマルウェア（ELFフォーマット）のパッキング手法は数が限られており、ほとんどの場合UPXやUPXベースのパッキング手法が用いられています。 今回は、Linux OSを狙うマルウェアによくみられる、upxコマンドでのアンパックを困難にするAnti-UPX Unpackingテクニックについて解説します。 Anti-UPX Unpackingテクニックを使用したマルウェア Anti-UPX Unpackingテクニックを使用した最も有名なマルウェアは、IoT機器をターゲットに感染を広げているマルウェアMirai、およびそれらの亜種のマルウェアです。図1は、UPXパッキングされたバイナリとMiraiの

[yarumato]

“Linuxを狙うマルウェア（ELFフォーマット）のパッキング（圧縮）手法は数が限られる。upxコマンドでのアンパック（展開）を困難にするAnti-UPX Unpackingはヘッダーの特定文字列が変更されているだけなので戻せば展開可能”