Упаковка, обфускация и анти-отладка (концептуально)

Понимаем, как и зачем код защищается от анализа — чтобы уметь и анализировать, и защищать своё.

Упаковка (packing) — сжатие или шифрование исполняемого кода так, что он разворачивается в памяти только при запуске.

Зачем программы усложняют анализ

Легитимные причины: защита интеллектуальной собственности, уменьшение размера, затруднение копирования алгоритмов. Малварь делает то же, чтобы спрятаться от антивирусов и аналитиков. Понимание этих техник нужно и защитнику (применить к своему ПО), и аналитику (распознать в малвари).

Упаковка

Упаковщик берёт оригинальный код, сжимает/шифрует его и добавляет маленький «распаковщик» (stub). При запуске stub разворачивает настоящий код в памяти и передаёт ему управление.

[stub-распаковщик] --при запуске--> разворачивает --> [настоящий код в памяти]

Признаки упаковки: мало осмысленных строк, высокая энтропия, необычные секции. Для анализа упакованного кода обычно используют динамику: дают распаковаться в памяти, затем снимают дамп.

Обфускация

Обфускация делает код запутанным, сохраняя поведение: лишние переходы, мёртвый код, переименование в бессмыслицу, замена простых операций сложными эквивалентами, шифрование строк. Цель — повысить стоимость анализа, а не сделать его невозможным.

Анти-отладка (концептуально)

Некоторые программы пытаются понять, что их отлаживают, и меняют поведение. Типичные идеи (без инструкций по обходу):

Проверка системного флага «процесс отлаживается».
Замер времени между инструкциями: под отладчиком оно растёт.
Поиск точек останова (байта 0xCC) в собственном коде.

Аналитик распознаёт такие проверки и учитывает их; разработчик может добавить лёгкую защиту в своё ПО.

Как работает под капотом

Упаковка опирается на то, что код — это данные: их можно зашифровать и расшифровать в памяти перед исполнением. Анти-отладка — на различиях окружения: отладчик оставляет следы (флаги ОС, замедление, изменённые байты), которые программа может заметить.

Этическая рамка

Мы изучаем эти техники концептуально — чтобы понимать защиту и анализировать малварь легально. Это не руководство по снятию защит с чужого ПО.

Частые ошибки

Пытаться читать упакованный код статически — там только распаковщик.
Считать обфускацию непробиваемой — она лишь повышает стоимость анализа.
Полагаться только на анти-отладку как на защиту — её обходят.

Итог

Упаковка прячет настоящий код, разворачивая его при запуске; распознаётся по энтропии и бедным строкам.
Обфускация запутывает код, сохраняя поведение; повышает стоимость анализа.
Анти-отладка ловит признаки отладчика; всё это изучаем концептуально и легально.