Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03612.jsonl.gz/1504

Der Aufruf exportierter Funktionen nach Ordnungsnummern ist keine neue oder besondere Technik, aber macht die Geschichte interessant. Dadurch ist kein Name der exportierten Funktion nötig, was den Entwickler dieser DLL (Dynamic Link Library = dynamische Programmbibliothek) ermöglicht, die Namen für die exportierten Funktionen leer zu lassen. Der offensichtliche Grund hierfür ist, dass Malware-Analysten die Funktionsnamen nicht mit den zugehörigen Samples korrelieren können. Der weniger offensichtliche Grund ist, einen Fehler im beliebten IDA Disassembler auszunutzen, der vor kurzem in der neuesten Version von IDA behoben wurde.
Während der Analyse haben die Forscher von Palo Alto Networks versucht, den Grund für die Diskrepanz bei der Anzeige von Export-Funktionen zwischen den beiden Versionen von IDA zu finden. Laut den Release Notes für IDA-Version 6.95, würde der IDA Disassembler eine DLL-exportierte Funktion nicht erkennen und anzeigen, wenn der Name fehlen würde. Diese Technik mit leeren Exportnamen ist eine Anti-Analyse Technik, die eine Analyse für Malware-Analysten, die nicht über die aktuellste Version von IDA verfügen, erschweren könnte.
Die Release Notes für diese Version von IDA wurden zwei Tage bevor beim dem Angriff die Nutzlast durch den Einsatz dieser Technik ausgeliefert werden konnte veröffentlicht. Bei Palo Alto Networks ist man der Ansicht, dass die Dukes-Gruppe entweder den Fehler in IDA gefunden und damit den Bug-Fix verursacht hat, oder dass sie gezielt IDA Release Notes überwacht, um herauszufinden, wie sich die Analyse erschweren liesse. Letzteres scheint die plausiblere Erklärung zu sein und würde darauf hindeuten, dass die Gruppe in der Lage ist, schnell Anti-Analyse-Möglichkeiten zu finden und die Techniken in ihrem Tool-Set bereitzustellen.
Die Dukes-Gruppe weiss, dass Malware-Analysten mittels Reverse Engineering ihre Tools untersuchen und dafür typischerweise den IDA Disassembler verwenden. Es scheint daher, als suche die Gruppe nach Möglichkeiten, um sich den Analyse-Tools zu entziehen, indem sie Release Notes von bekannten Malware-Analyse-Tools beobachtet, um Gegenmassnahmen zu implementieren.