Engenharia Reversa de Malware .NET com dnSpy

Quando Usar

• Uma amostra de malware é identificada como um assembly .NET (C#, VB.NET, F#) que requer descompilação
• Análise de famílias de malware baseadas em .NET (AgentTesla, AsyncRAT, RedLine Stealer, Quasar RAT)
• Desofuscação de código .NET protegido por ConfuserEx, SmartAssembly ou ofuscadores personalizados
• Extração de configurações C2 hardcoded, chaves de criptografia e credenciais de assemblies gerenciados
• Depuração de malware .NET em tempo de execução para observar rotinas de descriptografia e comportamento dinâmico

Não use para binários PE nativos (não gerenciados); use Ghidra ou IDA para análise de código nativo.

Pré-requisitos

• dnSpy ou dnSpyEx instalado (https://github.com/dnSpyEx/dnSpy - fork mantido pela comunidade)
• de4dot para desofuscação automática de .NET (https://github.com/de4dot/de4dot)
• ILSpy como um descompilador alternativo para validação cruzada
• .NET SDK instalado para recompilar assemblies modificados durante a análise
• VM Windows isolada para executar o depurador dnSpy em malware ativo
• Detect It Easy (DIE) para identificar o ofuscador .NET usado

Fluxo de Trabalho

Passo 1: Identificar Assembly .NET e Ofuscador

Verifique se a amostra é um binário .NET e detecte a proteção:

# Check if file is .NET assembly
file suspect.exe
# Output should contain "PE32 executable" with .NET metadata

# Detect obfuscator with Detect It Easy
diec suspect.exe

# Python-based .NET detection
python3 << 'PYEOF'
import pefile

pe = pefile.PE("suspect.exe")

# Check for .NET COM descriptor
if hasattr(pe, 'DIRECTORY_ENTRY_COM_DESCRIPTOR'):
    print("[*] .NET assembly detected")
    print(f"    Runtime version: {pe.DIRECTORY_ENTRY_COM_DESCRIPTOR}")
else:
    # Check for mscoree.dll import (alternative detection)
    for entry in pe.DIRECTORY_ENTRY_IMPORT:
        if entry.dll.decode().lower() == "mscoree.dll":
            print("[*] .NET assembly detected (mscoree.dll import)")
            break
    else:
        print("[!] Not a .NET assembly")

# Check section names for .NET indicators
for section in pe.sections:
    name = section.Name.decode().rstrip('\x00')
    if name in ['.text', '.rsrc', '.reloc']:
        print(f"    Section: {name} (typical .NET)")
PYEOF

Passo 2: Desofuscar com de4dot

Remova a ofuscação .NET comum antes da análise manual:

# Run de4dot to identify and remove obfuscation
de4dot suspect.exe -o suspect_cleaned.exe

# Force specific deobfuscator
de4dot suspect.exe -p cf  # ConfuserEx
de4dot suspect.exe -p sa  # SmartAssembly
de4dot suspect.exe -p dr  # Dotfuscator
de4dot suspect.exe -p rv  # Reactor
de4dot suspect.exe -p bl  # Babel.NET

# Verbose output for debugging
de4dot -v suspect.exe -o suspect_cleaned.exe

# Handle multi-file assemblies
de4dot suspect.exe suspect_helper.dll -o cleaned/

Common .NET Obfuscators:
━━━━━━━━━━━━━━━━━━━━━━━
ConfuserEx:      String encryption, control flow, anti-debug, anti-tamper
SmartAssembly:   String encoding, flow obfuscation, pruning
Dotfuscator:     Renaming, string encryption, control flow
.NET Reactor:    Native code generation, necrobit, anti-debug
Babel.NET:       String encryption, resource encryption, code virtualization
Crypto Obfuscator: String encryption, anti-debug, watermarking
Custom:          Malware-specific obfuscation (manual de4dot configuration needed)

Passo 3: Abrir no dnSpy e Analisar Código

Carregue o assembly desofuscado no dnSpy para análise em nível de código-fonte:

dnSpy Analysis Workflow:
━━━━━━━━━━━━━━━━━━━━━━━
1. File -> Open -> Select cleaned assembly
2. Navigate to the entry point:
   - Assembly Explorer -> <namespace> -> Program class -> Main method
   - Or: Right-click assembly -> Go to Entry Point

3. Key areas to examine:
   - Entry point (Main) for initialization and execution flow
   - Form classes for UI-based malware (RATs, stealers)
   - Network/HTTP classes for C2 communication
   - Crypto/encryption classes for data protection
   - Resource access for embedded payloads
   - Timer/Thread classes for persistence and scheduling

4. Navigation shortcuts:
   Ctrl+G       - Go to token/address
   Ctrl+Shift+K - Search assemblies
   F12          - Go to definition
   Ctrl+R       - Analyze (find usages)
   F5           - Start debugging
   F9           - Toggle breakpoint

Passo 4: Extrair Configuração e Dados C2

Localize a configuração hardcoded no código descompilado:

// Padrões comuns de configuração de malware .NET:

// Padrão 1: Classe estática com valores hardcoded

…