Analisando Malware Empacotado com Desempacotador UPX

Quando Usar

• Análise estática revela seções de alta entropia e importações mínimas, indicando que o binário está empacotado
• PEiD, Detect It Easy ou PEStudio identificam UPX ou outro empacotador conhecido
• A tabela de importação contém apenas LoadLibrary e GetProcAddress (resolução de importação em tempo de execução típica de binários empacotados)
• Você precisa recuperar o binário original para desassemblagem e descompilação adequadas em Ghidra ou IDA
• A descompressão automática de UPX falha porque o autor do malware modificou os bytes mágicos ou cabeçalhos do UPX

Não use ao lidar com empacotadores personalizados, protetores baseados em VM (Themida, VMProtect) ou amostras onde a descompressão dinâmica via depuração é mais apropriada.

Pré-requisitos

• UPX (Ultimate Packer for eXecutables) instalado (apt install upx-ucl ou baixe em https://upx.github.io/)
• Detect It Easy (DIE) para identificação de empacotador
• Python 3.8+ com a biblioteca pefile para reparo manual de cabeçalhos
• x64dbg ou x32dbg para descompressão manual quando ferramentas automatizadas falham
• PE-bear ou CFF Explorer para inspeção e reparo de cabeçalhos PE
• VM de análise isolada sem conectividade de rede

Fluxo de Trabalho

Passo 1: Identificar o Empacotador

Determine se a amostra está empacotada e identifique o empacotador:

# Check with Detect It Easy
diec suspect.exe

# Check with UPX (test without unpacking)
upx -t suspect.exe

# Python-based entropy and packer detection
python3 << 'PYEOF'
import pefile
import math

pe = pefile.PE("suspect.exe")

print("Section Analysis:")
for section in pe.sections:
    name = section.Name.decode().rstrip('\x00')
    entropy = section.get_entropy()
    raw = section.SizeOfRawData
    virtual = section.Misc_VirtualSize
    print(f"  {name:8s} Entropy: {entropy:.2f}  Raw: {raw:>8}  Virtual: {virtual:>8}")

# Check for UPX section names
section_names = [s.Name.decode().rstrip('\x00') for s in pe.sections]
if 'UPX0' in section_names or 'UPX1' in section_names:
    print("\n[!] UPX section names detected")
elif '.upx' in [s.lower() for s in section_names]:
    print("\n[!] UPX variant section names detected")

# Check import count (packed binaries have very few)
if hasattr(pe, 'DIRECTORY_ENTRY_IMPORT'):
    total_imports = sum(len(e.imports) for e in pe.DIRECTORY_ENTRY_IMPORT)
    print(f"\nTotal imports: {total_imports}")
    if total_imports < 10:
        print("[!] Very few imports - likely packed")
else:
    print("\n[!] No import directory - heavily packed")
PYEOF

Passo 2: Tentar Descompressão Padrão do UPX

Tente a descompressão integrada do UPX:

# Standard UPX decompress
upx -d suspect.exe -o unpacked.exe

# If UPX fails with "not packed by UPX" error, the headers may be modified
# Verbose output for debugging
upx -d suspect.exe -o unpacked.exe -v 2>&1

# Verify the unpacked file
file unpacked.exe
diec unpacked.exe

Passo 3: Reparar Cabeçalhos UPX Modificados

Se a descompressão padrão falhar, repare os bytes mágicos adulterados:

# Reparar cabeçalhos UPX modificados
import struct

with open("suspect.exe", "rb") as f:
    data = bytearray(f.read())

# Bytes mágicos do UPX: "UPX!" (0x55505821)
# Autores de malware comumente modificam estes para impedir descompressão automática

# Procurar por assinaturas UPX modificadas
upx_magic = b"UPX!"
modified_patterns = [b"UPX0", b"UPX\x00", b"\x00PX!", b"UPx!"]

# Encontrar e restaurar nomes de seção
pe_offset = struct.unpack_from("<I", data, 0x3C)[0]
num_sections = struct.unpack_from("<H", data, pe_offset + 6)[0]
section_table_offset = pe_offset + 0x18 + struct.unpack_from("<H", data, pe_offset + 0x14)[0]

print(f"Offset PE: 0x{pe_offset:X}")
print(f"Número de seções: {num_sections}")
print(f"Offset da tabela de seções: 0x{section_table_offset:X}")

for i in range(num_sections):
    offset = section_table_offset + (i * 40)
    name = data[offset:offset+8]
    print(f"Seção {i}: {name}")

# Restaurar bytes mágicos do UPX no binário
# Procurar pela localização da assinatura do cabeçalho UPX (geralmente perto do final dos dados empacotados)
for i in range(len(data) - 4):
    if data[i:i+3] == b"UPX" and data[i+3] != ord("!"):
        print(f"Encontrado magic UPX modificado no offset 0x{i:X}: {data[i:i+4]}")
        data[i:i+4] = b"UPX!"
        print(f"Restaurado para: UPX!")

# Também restaurar nomes de seção se modificados
for i in range(num_sections):
    offset = section_table_offset + (i * 40)
    name = data[offset:offset+8].rstrip(b'\x00')
    if name in [b"UPX0", b"UPX1", b"UPX2"]:
        continue  # Já está correto
    # Verificar modificações comuns

…