eset/stadeo

🔍 Stadeo: Công cụ deobfuscation chuyên cho Stantinko và Emotet

Phân tích và giải mã kỹ thuật obfuscation phức tạp của botnet Stantinko bằng Python, IDA và Miasm.

Stadeo là bộ công cụ Python do ESET phát triển, hỗ trợ phân tích botnet Stantinko – thực hiện gian lận click, tiêm quảng cáo, đánh cắp mật khẩu và đào cryptocurrency. Các script xử lý kỹ thuật control-flow-flattening (CFF) và string obfuscation độc đáo của Stantinko, như mô tả trong blogpost tháng 3/2020. Ngoài ra, công cụ còn hỗ trợ deobfuscation CFF của Emotet – trojan đánh cắp thông tin ngân hàng và tải payload mã độc như ransomware.

✨ Điểm nổi bật

• Control-flow deobfuscation: giải mã kỹ thuật CFF phức tạp của Stantinko
• String deobfuscation: xử lý chuỗi obfuscated trong mã nguồn malware
• Hỗ trợ Emotet: mở rộng áp dụng cho trojan đánh cắp thông tin ngân hàng
• Tích hợp IDA Pro: sử dụng IDA – công cụ chuẩn ngành cho reverse engineering
• Miasm framework: hỗ trợ phân tích data-flow, symbolic execution và reassembly
• Python thuần: toàn bộ công cụ bằng Python, dễ tích hợp và mở rộng

💡 Vì sao đáng chú ý

Stadeo khác biệt ở khả năng xử lý kỹ thuật obfuscation đặc thù của Stantinko – một botnet hoạt động trái clandestin từ năm 2012. Sự kết hợp giữa IDA Pro và Miasm cung cấp pipeline mạnh mẽ từ phân tích tĩnh đến deobfuscation động. Đặc biệt, khả năng mở rộng hỗ trợ cả Emotet cho thấy tính linh hoạt, giúp các chuyên gia an ninh mạng ứng dụng lại công cụ cho nhiều mối đe dọa khác nhau.

#ReverseEngineering #MalwareAnalysis #Deobfuscation #Python #TiniX