Realizando Extração de Firmware com Binwalk

Quando Usar

• Analisando firmware de dispositivos IoT baixado de sites de fornecedores ou extraído de chips de memória flash
• Engenharia reversa de firmware de roteadores, câmeras ou dispositivos embarcados para pesquisa de vulnerabilidades
• Identificando sistemas de arquivos embarcados (SquashFS, CramFS, JFFS2, UBIFS) dentro de "blobs" de firmware
• Detectando regiões criptografadas ou comprimidas usando análise de entropia
• Extraindo credenciais codificadas, chaves de API, certificados ou arquivos de configuração de firmware
• Realizando avaliações de segurança de dispositivos embarcados em testes de penetração autorizados

Não use para analisar binários de aplicativos de desktop padrão ou amostras de malware que não sejam imagens de firmware; use ferramentas dedicadas de análise de malware em vez disso.

Pré-requisitos

• binwalk v3.x instalado (pip install binwalk3 ou do gerenciador de pacotes do sistema)
• Python 3.8+ com bibliotecas padrão (struct, math, hashlib, subprocess)
• Ferramentas SquashFS (unsquashfs) para montar sistemas de arquivos SquashFS extraídos
• Jefferson para extração de sistemas de arquivos JFFS2 (pip install jefferson)
• Sasquatch para variantes não padrão de SquashFS usadas por fornecedores como TP-Link e D-Link
• Utilitário strings (GNU binutils) para extração de strings
• Opcional: firmware-mod-kit para empacotar novamente imagens de firmware modificadas

Fluxo de Trabalho

Etapa 1: Reconhecimento Inicial do Firmware

Execute uma varredura de assinatura para identificar tipos de arquivos embarcados e seus deslocamentos:

# Basic signature scan - identify all recognized file types
binwalk firmware.bin

# Scan with verbose output showing confidence levels
binwalk -v firmware.bin

# Scan for specific file types only
binwalk -y "squashfs" firmware.bin
binwalk -y "gzip\|lzma\|xz" firmware.bin

# Opcode scan to identify CPU architecture
binwalk -A firmware.bin

# Scan for raw strings to find version info, URLs, credentials
binwalk -R "password" firmware.bin
binwalk -R "http://" firmware.bin

Etapa 2: Análise de Entropia

Analise a entropia para identificar regiões criptografadas, comprimidas e em texto puro:

# Generate entropy plot
binwalk -E firmware.bin

# Entropy with specific block size for higher resolution
binwalk -E -K 256 firmware.bin

# Combined entropy and signature scan
binwalk -BE firmware.bin

Interpretando valores de entropia:

• 0.0 - 1.0: Regiões vazias ou de preenchimento (bytes nulos, preenchimento com 0xFF)
• 1.0 - 5.0: Dados em texto puro, código, strings ASCII, configuração
• 5.0 - 7.0: Dados comprimidos (gzip, LZMA, zlib)
• 7.0 - 7.99: Dados fortemente comprimidos ou criptografados
• ~8.0: Entropia máxima, provavelmente dados criptografados ou aleatórios

Etapa 3: Extrair Arquivos Embarcados

Extraia todos os componentes identificados da imagem de firmware:

# Automatic extraction of known file types
binwalk -e firmware.bin

# Recursive extraction (matryoshka mode) for nested archives
binwalk -Me firmware.bin

# Recursive extraction with depth limit
binwalk -Me -d 5 firmware.bin

# Extract specific file type with custom handler
binwalk -D "squashfs filesystem:squashfs:unsquashfs %e" firmware.bin

# Manual extraction of data at a known offset
dd if=firmware.bin of=extracted.squashfs bs=1 skip=327680 count=4194304

Etapa 4: Montar e Inspecionar Sistemas de Arquivos Extraídos

Monte os sistemas de arquivos extraídos para inspeção detalhada:

# Mount SquashFS filesystem
mkdir /tmp/squashfs_root
unsquashfs -d /tmp/squashfs_root extracted.squashfs

# Mount CramFS filesystem
mkdir /tmp/cramfs_root
mount -t cramfs -o loop extracted.cramfs /tmp/cramfs_root

# Extract JFFS2 filesystem
jefferson extracted.jffs2 -d /tmp/jffs2_root

# Inspect the extracted filesystem
ls -la /tmp/squashfs_root/
find /tmp/squashfs_root -name "*.conf" -o -name "*.cfg" -o -name "*.key"
find /tmp/squashfs_root -name "passwd" -o -name "shadow"

Etapa 5: Análise de Strings e Descoberta de Credenciais

Procure por dados sensíveis no sistema de arquivos extraído e no firmware bruto:

# Extrair todas as strings imprimíveis
strings -a firmware.bin > all_strings.txt
strings -n 12 firmware.bin | sort -u > long_strings.txt

# Procurar por credenciais e segredos
grep -rni "password\|passwd\|secret\|api_key\|token" /tmp/squashfs_root/etc/
grep -rni "BEGIN.*PRIVATE KEY" /tmp/squashfs_root/

# Encontrar URLs e endpoints codificados
grep -rnoE "https?://[a-zA-Z0-9./?=_-]+" /tmp/squashfs_root/

# Procurar por arquivos de certificado
find /tmp/squashfs_root -name "*.pem" -o -name "*.crt" -o -name "*.key" -o -name "*.p12"

# Identificar versões do busybox e de serviços
strings /tmp/squashfs_root/bin/busybox | grep "BusyBox v"

…