Automatisierte Signaturgenerierung für Malware-Stämme - Zynamics

2.5 Analyse von Malware 29
1 #include
2
3 static main() {
4 auto ea, x;
5 for (ea = NextFunction(0); ea != BADADDR; ea = NextFunction(ea)) {
6 Message("Function at %08lX: %s", ea, GetFunctionName(ea));
7 x = GetFunctionFlags(ea);
8 if (x & FUNC_NORET) Message(" Noret");
9 if (x & FUNC_FAR) Message(" Far");
10 Message("\n");
11 }
12 }
Listing 2.8: IDC-Script für die Ausgabe einer Funktionsliste
IDA Pro ist modular aufgebaut und kann mit Plugins (engl. etwa Erweiterungen) um
zusätzliche Funktionalität erweitert werden, wie zum Beispiel die Unterstützung für
neue Prozessortypen oder Dateiformate für ausführbare Programme. Technisch handelt
es sich dabei um spät gebundene Programmbibliotheken (shared libraries), die bei Bedarf
aufgerufen werden. Die in den Abschnitten 2.5.2 und 4.3.1 vorgestellten Werkzeuge sind
Beispiele für IDA-Pro-Plugins.
Um die Plugin-Entwicklung zu unterstützen, bietet IDA Pro eine Programmierschnittstelle
(Application Programming Interface, API), die von Plugins zur Bereitstellung ihrer
Funktionalität aufgerufen werden kann. Fast alle über die graphische Benutzeroberfläche
verfügbaren Befehle lassen sich so aufrufen. 32
Für einfache Aufgaben bietet IDA Pro neben der Programmierschnittstelle eine C-ähnliche
Skriptsprache an (so genannte IDC-Scripts). Listing 2.8 zeigt ein solches Skript zur
Ausgabe einer Liste von Funktionen in der aktuell geladenen ausführbaren Datei. Auch
hier sind viele der über die Benutzeroberfläche erreichbaren Funktionen verfügbar. 32 Für
die Stapelverarbeitung von Dateien können IDC-Scripts ebenfalls verwendet werden.
Eine wesentliche Erleichterung bei der Analyse von Programmen ist außerdem die automatische
Analyse beim Laden von ausführbaren Dateien – IDA Pro erzeugt für jede
geladene Datei eine Datenbank (IDA Database, IDB) mit Metainformationen wie zum
32 Eine bemerkenswerte Ausnahme ist die Funktion zum Öffnen von Dateien. Diese lässt sich ausschließlich
über die GUI aufrufen.