Executableファイル(PEファイル)から難読化文字列の解除・抽出を行うためのツールです。2.0に基づいてリリースされているオープンソースツールです。最新バージョンのFLOSSは、以下の文字列タイプを抽出します。strings):スタック文字列と難読化文字列を組み合わせた文字列FLOSSは、CLI(コマンドラインインターフェース)のツールで、PythonがインストールされているWindowsのコマンドプロンプトから実行することができます。Linuxの場合は、ターミナルから実行可能です。コマンドラインの構文は以下のとおりです。各パラメーターの詳細は以下のとおりです。デコードする文字列を直接指定する文字列抽出ツールとして有名なStringsと比較すると、抽出できるファイル形式に差がありますが、難読化された文字列を復号して抽出できるメリットがあります。解析対象のファイル形式や難読化の有無でツールを使い分けてください。マルウェア解析における利用方法マルウェア解析においては、表層解析や静的解析時のサポートとして利用することができます。難読化処理が行われているマルウェアからStringsでは抽出できない通信先などのIoC情報を得ることができます。今回は、マルウェア「Anchor」に含まれる文字列を抽出する手順を以下に示します。コマンドプロンプトから実行する実行ファイルから文字列を抽出する得られた情報を元に調査を行う詳細な手順1.コマンドプロンプトから実行するここでは、「JSONファイルに出力する場合」の実行方法を紹介します。・JSONファイルに出力する場合FLOSSを実行するコマンドとオプション上記コマンドで出力したJSONファイルの中身は、以下のようになっています。出力したJSONファイルをエディターで開いた様子Stringsとは違いJSON形式の出力が可能なため、抽出結果の分析や結果の再読み込みを容易に実行できるメリットがあります。2.実行ファイルから文字列を抽出する手順1のコマンドを実行すると、以下の文字列を確認しました。この文字列は、Stringsで抽出した文字列の中から確認できていません。anchor001toexample[.]bazar抽出されたスタック文字列3.得られた情報を元に調査を行う「anchor001」を調べると、Anchorによって生成されるグローバル一意識別子に含まれる文字列ということがわかります*1。「toexample[.]bazar」を調べると、マルウェア「BazarLoader」の配布に使われているbazarドメインの通信先の一部だとわかります。このことから、マルウェアがBazzarLoaderに関係している可能性が考えられます。このほかにも、関数と思われる抽出文字列から機能を推定することも可能です。文字列抽出だけではマルウェアの仕様を詳細に把握することは難しいですが、解析対象についてわかっていない点が多いマルウェア解析の初期段階での調査に役立ちます。かたるフィッシングについての注意喚起2024.10.29WESTERをかたるフィッシングについての注意喚起アクセスランキングアクセスランキングスマホがウイルスに感染!?不安に思ったら試したい5つの方法そのウイルス警告は本物ですか?iPhoneが発する警告表示の意味とは?アクセスするだけでも危険な海賊版サイト。ある、キヤノンマーケティングジャパン株式会社が提供しています。