Recursos analíticos

Licenças com Analytic features geram relatórios categorizados de operações reconhecidas no programa analisado. Esses relatórios ajudam analistas de segurança a identificar procedimentos dignos de investigação antes de ler todo o código-fonte. Eles suportam aplicativos Visual Basic 5.0/6.0 e, a partir da versão 11.7, assemblies .NET.

Gerando um relatório

  1. Habilite Análise protótipos (Analyze prototypes) em Ferramentas > Opções (Tools > Options).
  2. Abra o arquivo e aguarde a conclusão da análise. Com a licença e as configurações necessárias, o relatório é gerado e exibido automaticamente.
  3. Revise as categorias, em seguida, abra os procedimentos relevantes e examine seu código e referências de strings.

Categorias abrangem operações reconhecidas, como acesso a arquivos e volumes, acesso ao registro, atividade de rede, criação de processos, operações de janela e funções internas selecionadas do VB, como CallByName e VarPtr.

Relatório rápido e contexto de string

O relatório rápido lista endereços e nomes de procedimentos contendo operações reconhecidas. O relatório estendido adiciona as referências de strings disponíveis desses procedimentos. Esse contexto pode revelar caminhos candidatos, chaves do registro, nomes de host ou outros valores que merecem exame.

Relatório de análise com procedimentos por categoria e referências a strings

Strings criptografadas, ofuscadas ou geradas em tempo de execução podem estar ausentes. Uma string associada a um procedimento é um contexto útil, mas não prova por si só que ela é passada para uma chamada de API específica ou que um ramo é executado.

Navegando e salvando resultados

Clique duas vezes em um nome de procedimento no relatório para abrir seu código. Clique duas vezes em um endereço anterior a um procedimento ou string para examinar sua localização no Editor HEX. Use o botão A acima da árvore de objetos para retornar ao relatório na posição anterior e as setas de navegação ou Esc para rever procedimentos examinados.

Selecione e copie o texto do relatório conforme necessário, ou escolha Arquivo > Salvar relatório (File > Save analytics report) para salvá-lo para análise futura.

Interpretando achados

O relatório identifica padrões de código reconhecidos estaticamente e referências. É uma ferramenta de triagem, não um registro de execução observada ou um veredito automático de que um arquivo é malicioso. Chamadas indiretas, interfaces externas não resolvidas, metadados danificados, ofuscação e valores gerados em tempo de execução podem limitar a cobertura. Confirme achados significativos nos procedimentos correspondentes, desassemblagem e dados do arquivo.

Para inspeção mais profunda da reconstrução VB5/6, veja Rastreamento. Para strings literais e suas localizações de código, veja Referências a strings.