astaroth-deobfuscator

astaroth-deobfuscator 用于反混淆 Astaroth/Guildma 注入器 DLL 的 IDA Python 脚本 在尝试分析近期 Astaroth/Guildma 攻击活动中使用的注入器 DLL 时（感谢 SANS ISC 的这篇日记），我遇到了一个 极其 烦人的混淆手段。 有一个函数（我在下图中将其命名为 timewaster3000）在整个 DLL 中被调用了 1,000 多次（!!!）。该函数将六个硬编码字符串作为参数，外加一个随机的 word。就我目前所知，这个函数本身就是一个毫无实际用途的算术无底洞（除了浪费逆向工程师的时间）。以下是在这些烦人的调用存在...