FOR610 – Reverse-Engineering Malware

Topics SizeofResource . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–140

UnmapViewOfSection . . . . . . . . . . . . . . . . . . . 5–53, 54
Function URLDownloadToFileA . . . . . . . . . . . . . . . . . . . . . . 3–72
AllocateVirtualMemory . . . . . . . . . . . . . . 5–26, 4–109 VirtualAlloc . . . . . . . . . . . . . 5–52, 5–54, 4–92, 4–108
BlockInput . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–76, 5–92 VirtualProtect . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–127
CheckRemoteDebuggerPresent . . . . . . . . . . . . . . 5–12 wcsicmp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–106
CloseClipboard . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–144 WinExec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–72, 3–156
CreateMutex . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–143 WriteProcessMemory . . . 5–52, 5–54, 4–108, 4–116,
CreateProcess . . . . . . . . . . . . . . . . . . . 5–51, 5–54, 2–85 4–127
CreateRemoteThread . . . . . . . . 4–108, 4–113, 4–123 WriteVirtualMemory . . . . . . . . . . . . . . . . . 5–26, 4–109
CreateThread . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–109 Structure
CreateToolHelp32Snapshot . . . . . . . . . . . . 2–61, 5–85 EXCEPTION REGISTRATION . . . . . . . . . . . 2–179
CreateUserThread . . . . . . . . . . . . . . . . . . . . . . . . . 4–109 KBDLLHOOKSTRUCT . . . . . . . . . . . . . . . . . . . 2–179
CryptDecrypt . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–90-92 PROCESS INFORMATION . . . . . . . . . . . . . . . . 2–94
EnumProcesses . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–108 STARTUPINFOA . . . . . . . . . . . . . . . . . . . . . . . . . . .2–94
FindResource . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–140 Instruction
FindWindow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–79 ADD . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–37
FindWindows . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–92 AND . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37, 2–40
GetAsyncKeyState . . . . . . . . . . . . . . . . . .2–144, 2–175 CALL . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–20, 2–37, 2–39
GetClipboardData . . . . . . . . . . . . . . . . . . . . . . . . . 2–144 CMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37, 2–40
GetCursorPos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–66 IMUL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37
GetForeGroundWindow . . . . . . . . . . . . . . . . . . . . . 5–66 JA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–41
GetKeyState . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–144 JB . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–41, 2–106
GetLocalTime . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–13 JC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–106
GetModuleHandle . . . . . . . . . . . . . . . . . . . . . 5–77, 5–92 JCC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–41
GetProcAddress . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–53 JE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–41
GetSystemTime . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–13 JG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–41
GetTempFileName . . . . . . . . . . . . . . . . . . . . . . . . . . 2–61 JL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–41
GetTempPath . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–121 JMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22, 2–37, 2–39
GetTickCount . . . . . . . . . . . . . . . . . . . . . . . . .5–13, 5–66 JZ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–41
GetWindowText . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–144 LEAVE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–83
HttpAddRequestHeaders . . . . . . . . . . . . . . . . . . . . 2–45 LOOP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–39
HttpOpenRequest . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–45 LOOPcc . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–109
HttpSendRequest . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–45 MOV . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22, 2–30, 2–37
InternetConnect . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–45 NOP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–9
InternetOpen . . . . . . . . . . . . . . . . . . . . . . . . . 2–45, 2–48 OR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37
InternetReadFile . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–45 PUSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22
IsDebuggerPresent . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–6 RDTSC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–13
KdDebuggerEnabled . . . . . . . . . . . . . . . . . . . . . . . . 5–92 RET . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–39, 2–83
LoadLibrary . . . . . . . . . . . . . . . . . . 5–53, 4–123, 5–146 SCASB . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22
LoadResource . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–140 SETZ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–185
LockResource . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–140 SHL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37
OpenClipBoard . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–144 SHR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37
OpenKey . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–109 SUB . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37, 2–40
OpenProcess . . . . . . . . . . . . . . . . . . . . . . . . 4–108, 4–114 TEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37, 2–40
OutputDebugString . . . . . . . . . . . . . . . . . . . . . . . . . 5–12 XCHG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–37
Process32First . . . . . . . . . . . . . . . . . . . . . . . 5–85, 4–108 Register
Process32Next . . . . . . . . . . . . . . . . . . . . . . . 5–85, 4–108 CS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25
ProtectVirtualMemory . . . . . . . . . . . . . . . . . . . . . . 5–26 DS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25
QueryInformationProcess . . . . . . . . . . . . . 5–12, 5–38 EAX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24
QuerySystemInformation . . . . . . . . . . . . . . . . . . .4–109 EBP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24, 2–67
QuerySystemTime . . . . . . . . . . . . . . . . . . . . . . . . . . 5–13 EBX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24
ReadFile . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–87 ECX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24
ReadProcessMemory . . . . . . . . . . . . . . . . 4–127, 4–129 EDI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24
RegOpenKey . . . . . . . . . . . . . 2–18, 4–87, 5–89, 4–109 EDX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24
ResumeThread . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–54 EIP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25
RtlDecompressBuffer . . . . . . . . . . . . . . . . . . 5–26, 5–29 ES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25
SetWindowsHookEx . . 5–67, 5–67-70, 5–70, 4–126 ESI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24
ShellExecute . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–154

This work is licensed under a Creative Commons Attribution 4.0 International License, by A. Cailliau
Template by A. D’hondt, https://github.com/dhondta/tex-course-index-template 1
 FOR610 – Reverse-Engineering Malware

ESP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–24 BelkaSoft Live RAM Capturer . . . . . . . . . . . . . . . . . . 4–136

FS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25 BHOs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–148
GS . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–25, 5–100, 5–127 Binary expression . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–123
SS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25 Binary Ninja . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–6, 1–80
BinText . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–97
64-bits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–150
A box-js . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–48, 3–143
Download . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–51
AcroForm . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–73 Branch . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–38
ActiveXObject . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–141 Breakpoint . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–85
Addressing mode . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22, 2–32 Countermeasure . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–163
Administrative rights . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–39 Hardware . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–107, 5–158
Adobe Reader . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–55 hardware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–122
advapi32.dll . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–88 VirtualProtect . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–156
Analysis detection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–93 brutexor.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–17
And . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–124 brxor.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–17
Anti-analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–163 Burp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–4
Anti-Debugger . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–6 Byte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–27
Countermeasure . . . . . . . . . . . . . . . . . . . . . . . . 5–9, 5–14 Bytehist . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–11
Any.run . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
ApateDNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–124
API . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–18
Call . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–125
C
Concealed . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–61 C2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–107
Hooking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–106 Call Stack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–30, 4–89
Inline hook . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–126 Calling convention . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–71
Native . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–109 CAPE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
Pattern . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–135 Capstone . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–6
API Monitor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–94 cdecl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–71, 2–84
app.setTimeOut . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–66 Censys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
app.viewerVersion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–66 certutil . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–142
Archive (self-extracting) . . . . . . . . . . . . . . . . . . . . . . . . 3–129 CFF Explorer . . . . . . . . . . . . . . . . . . . . . . 4–13, 5–74, 2–145
Arguments . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–80-81 ASLR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–20-21
64-bits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–156 Clonezilla . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–32
arguments.callee . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–33 Code analysis . . . . . . . . . . . . . . . . . . . . . . . . . 2–4, 1–33, 1–80
Armadillo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–8 Dynamic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–81
ASLR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–19, 5–56, 5–74 Static . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–81
AutoConfigURL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–144 Code Injection . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–61, 4–106
AutoDetect . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–144 Code lifecycle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–5
Automated analysis . . . . . . . . . . . . . . . . . . . . . . . .1–13, 1–18 Collab.collectEmailInfo . . . . . . . . . . . . . . . . . . . . . . . . . . 3–67
AutoRun . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–64 Command and control (C2) . . . . . . . . . . . . . . . . . . . . . . 1–17
AV detection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–78 Compiler . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–5
Avast Antivirus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–82 Compound File Binary Format (CFBF) . . . . . . . . . .3–89
AVCaesar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13 Constant . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–35
avghookx.dll . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–78 CREATE SUSPENDED . . . . . . . . . . . . . . . . . . 5–51, 5–175
CScript . . . . . . . . . . . . . . . . . . . . . . . . 3–37, 3–47, 3–160-163
CurrentVersion/Run . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–41
B Cutter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–6

Balbuzard toolkit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–18

Base Offset . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–82 D
Base64 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–59, 4–71
base64dump.py . . . . . . . . . . . . . . . . . . . . . . 3–60, 3–70, 4–72 .data . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–12
BAT File . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–64, 4–144 Data Structure . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–33, 2–92
bbcrack.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–18 dd . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–32
Beaconing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–17 Debugger . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–34, 1–81
Behavioral Analysis . . . . . . . . . . . . . . . . . . . . . . . . 1–33, 1–51 Detection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–80
Behavioral analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–4 Debugging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–46
BeingDebugged (flag) . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–12 Decompiler vs Dissassembly . . . . . . . . . . . . . . . . . . . . 2–159

This work is licensed under a Creative Commons Attribution 4.0 International License, by A. Cailliau
Template by A. D’hondt, https://github.com/dhondta/tex-course-index-template 2
 FOR610 – Reverse-Engineering Malware

Deep Freeze . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–32 File extension . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–65

Delete . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–144 File handle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–125
Deobfuscation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–17, 3–52 FileInsight . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–136, 3–158
DER format . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–145 Flash . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–10
Dereferencing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–28 FLOSS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–24
Detect It Easy (DIE) . . . . . . . . . . . . . . . . . . . . . . 4–12, 1–47 Fog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–32
Device Driver . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–148 For (loop) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–112, 113
diec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–12 FoxIT Reader . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–55
Disassembling . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–81 Frame pointer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–67
DLL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–14, 2–137 FS:[0] . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–99
DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–44, 1–66 FS:[30h] . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–12, 3–124
DNS leakage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–20 FSG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–8
Do (loop) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–112 FTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–109
document Function . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–64
.createElement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–8 Epilogue . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–66
.getElementById . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–46 Prologue . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–66
DoomJuice . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–119 Function Call Graph . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–120
Driver . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–124 Function Call Trees . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–117
Dropper . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–140 Function Graph . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–14
Dumping . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–23
Debugger . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–30
DumpIt . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–136 G
Dword . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–27
DynamicBase . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–74, 5–98 getAnnots . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–66
Dyre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–66 GetEIP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–123
Ghidra . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–6, 1–80
Bad instruction . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–120
E Comment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–43
Convert . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–21
EA → Effective Address . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Create Project . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–8
Effective Address (EA) . . . . . . . . . . . . . . . . . . . . . . . . . . 2–31 Data Convert . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–49
EFLAGS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25, 2–130 Data Type . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–47
Enable Content . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–148 Defined Strings . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–103
Entropy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–9 Equate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–35
PeStudio . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–10 Function . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–57
Entry Point . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–7, 5–121 Function Call Tree . . . . . . . . . . . . . . . . . . . . . . . . . . 2–55
Entry Point (OEP) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–23 Key binding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–22
Entry Point field . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–112 Local Variable Conflict . . . . . . . . . . . . . . . . . . . . . . 2–93
Epilogue . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–83, 2–90 Project Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–10
Ether . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–18 Propagate External Parameters . . . . . . . . . . . . . 2–47
Exception Show References . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–79
Frame-based . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–99 String Reference . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–106
Stack-based . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–99 Symbol reference . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–16
Executable File . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–5 Symbol References . . . . . . . . . . . . . . . . . . . . . . . . . 4–112
Exeinfo PE . . . . . . . . . . . . . . . . . . . . . . . . . . 4–12, 1–47, 5–97 TLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–118
Exfiltration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–17 Global Descriptor Table (GDT) . . . . . . . . . . . . . . . . 5–127
ExifTool . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–48
exiftool . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–139
Exports . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–15, 2–138 H
hachoir-urwid . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–139
F Handle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–87-88
Hardware breakpoint . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–53
fakedns . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–67 HashSets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
FakeNet-NG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–124 Headers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–12
fastcall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–72 Heap Spraying . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–64, 3–66
feh . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–139 Hex encoding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–74
Fiddler . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–6, 1–112 Hexadecimal string . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–67
file . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–13 Honeyclient . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–4

This work is licensed under a Creative Commons Attribution 4.0 International License, by A. Cailliau
Template by A. D’hondt, https://github.com/dhondta/tex-course-index-template 3
 FOR610 – Reverse-Engineering Malware

Honeypot . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–21 jmp2it . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–83, 3–128

Hooking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–124, 4–126 Pause . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–83
Call Table . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–124 x32dbg . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–83-85
JMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–130 JonDonym . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–20
PUSH/RET . . . . . . . . . . . . . . . . . . . . . . . . 4–131, 4–152 js . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–38, 4–70
Hopper . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–6, 1–80 JSTool . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–20
Hot patching . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–66 Jump table . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–131, 2–184
HTML . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–21
HTTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–44
httpd . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–71, 1–105 K
Hybrid Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13, 1–15
Kahu Security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–48
Kahu tools . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–18
I KdDebuggerFlag . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–80
Key logger . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–172
I/O Request Packet (IRP) . . . . . . . . . . . . . . . . . . . . . . 4–124
IAT → Import Address Table . . . . . . . . . . . . . . . . . . . . . . . .
IDA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–6, 1–80 L
IDT → Interrupt Descriptor Table . . . . . . . . . . . . . . . . . . .
If-Else . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–99-102 Layering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–124
ImageBase . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–19 libemu . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–72
Immediate value . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22 Linker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–5
Import Address Table (IAT) . . . 4–7, 2–16, 4–23, 5–162 Loader . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–5
Fix (Scylla) . . . . . . . . . . . . . . . . . . . . . . . . 4–25, 4–41-42 location.href . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–39
Rebuild . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–113 Loop . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–108, 2–110
Import/Export Tables . . . . . . . . . . . . . . . . . . . . . . . . . . 4–124
Imports . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–15, 1–45, 5–146
Fixer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–23 M
Indicator of Compromise (IOC) . . . . . . . . . . . . 1–17, 1–43
INetSim . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–78, 1–109 Macro . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–83, 3–114
Injection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–122-123 AutoOpen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–88
Inlining . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–76 Debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–101, 3–111
Instruction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22, 2–37 Dump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–92
Interactive Behavior Analysis . . . . . . . . . . . . . . . . . . . 1–101 Enable Content . . . . . . . . . . . . . . . . . . . . . . 3–85, 3–107
Intermodular call . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–51 Extraction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–87
Internet access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–19 Locals . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–103
Internet Explorer . . . . . . . . . . . . . . . . . . . . . . . . . . 3–25, 3–39 Malware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–5
Interpreter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–36 Malware analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–5
Interrupt Descriptor Table (IDT) . . . . . . . . . . . . . . . 4–124 input/output . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–10
Intezer Analyze . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13 stage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–9
IP redirection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–115 Malware Hash Registry . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
iptables . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–117 Malware lab . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–24-25
IRC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–44, 1–109 Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–28
IRP → I/O Request Packet . . . . . . . . . . . . . . . . . . . . . . . . . . Isolation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–28
Malware report . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–11
malware-jail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–48
J MASTIFF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–48
Memory
JavaScript . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–21 Page . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–143
Anti-analysis . . . . . . . . . . . . . . . . . . . . . . . . . . 3–33, 3–42 Virtual Offset . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–154
Beautify . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–20 Virtual vs Physical . . . . . . . . . . . . . . . . . . . . . . . . .4–143
BreakPoint . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–28 Memory Forensics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–135
Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–30 Memory map . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–49
Debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–25 message extract.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–150
Search and Replace . . . . . . . . . . . . . . . . . . . . . . . . . 3–45 MetaDefender . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
Ternary Operator . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–44 Minidriver . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–124
Tuple . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–43 Misdirection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–96, 5–142
Watch . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–30 Most significant bit (MSB) . . . . . . . . . . . . . . . . . . . . . 2–182
javascript . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–67 mshta.exe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–67

This work is licensed under a Creative Commons Attribution 4.0 International License, by A. Cailliau
Template by A. D’hondt, https://github.com/dhondta/tex-course-index-template 4
 FOR610 – Reverse-Engineering Malware

Mutant → Mutex . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . pdf-parser.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–61-63

Mutex . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–15, 2–143 pdfid.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–61
MyDoom . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–119 pdftk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–80
MZ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–142, 4–147 PE (Portable Executable) . . . . . . . . . . . . . . . . . . . . . . . 1–47
PE Capture . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–124
PE Tools . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–23
N pe unmapper . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–161, 5–170
PECompact . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–97
NanoLocker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–141 peeppdf.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–65
nc . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–120 peframe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–46, 4–149
netcat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–120 pepack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–13
Nightmare . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–48 Persistence . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–41
NoMoreXOR.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–18 pescan . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–13, 1–48
nslookup . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–67 pestr . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–42, 4–149, 5–170
NTVDM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–149 PeStudio . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–44, 2–138
ASLR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–20
Packed . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–10
O TLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–117
Obfuscation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–18 Pev Toolkit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–42
Object Code . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–5 PhantomJS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–48
OLE1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–117 Pinpoint . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–4
OLE2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–89 Pointer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–28
olebrowse.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–92, 3–136 PolarProxy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–124
olecfinfo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–92, 3–136 POP3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–109
oledir.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–92, 3–136 PortEx . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–48
oledump.py . . . . . . . . . . . . . . . . . . . . . . . . . 3–92, 3–94, 3–134 Position-independent code (PIC) . . . . . . . . . . . . . . . 2–150
oleid.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–136 PowerShell . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–71
olemap.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–136 Debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–77
olevba.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–87, 3–108 Dump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–78
OllyDbg . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–79 ProcDOT . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–46, 1–52, 1–63
OllyDumpEx . . . . . . . . . . . . . . . . . . . . . . 4–37, 5–109, 5–112 Process Environment Block (PEB) . . . . . . . .5–12, 3–124
OOXML . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–89 Process Hacker . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–44, 1–52
Open Threat Exchange . . . . . . . . . . . . . . . . . . . . 1–13, 1–16 Dump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–171
openssl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–145 String . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–22
Operand . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–22 Process hollowing . . . . . . . . . . . . . . . . . . . . . . . . . . 5–54, 5–61
Operation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22 Dump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–55-56
Or . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–125 Process Monitor . . . . . . . . . 3–12, 5–44, 1–52, 1–54, 1–61
Original Entry Point (OEP) . . 4–23, 4–30, 4–38, 5–106 Process Tree . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–45
OSINT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–17 Process replacement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–54
Program Tree . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–12
Prologue . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–82, 2–89
P ProtectionID . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–13
PXE booting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–32
p-code . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–104
Dump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–106
P2P . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–44 Q
packerid . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–13
Packing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–3, 4–5-6, 1–47 qpdf . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–80
Debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–55 Queuing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–124
Page Memory Rights . . . . . . . 4–39, 4–119, 5–160, 5–171 Quttera . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
PassiveTotal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13, 1–16 Qword . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–27
Patching . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–9, 4–86, 5–130
pcodedmp.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–106, 3–109
PDF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–55 R
Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–80
Dictionary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–58 Radare . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–6, 1–80
File structure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–56 .rdata . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–12
Object . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–57 RDG Packer Detector . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–13
Stream . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–80 Redline . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–137

This work is licensed under a Creative Commons Attribution 4.0 International License, by A. Cailliau
Template by A. D’hondt, https://github.com/dhondta/tex-course-index-template 5
 FOR610 – Reverse-Engineering Malware

reg export . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–68 Breakpoint . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–115

Register . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–22, 2–24, 2–26 Cleanup . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–106
64-bits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–151 Pointer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–67
Edit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–9 Stack String → String,stack . . . . . . . . . . . . . . . . . . . . . . . . . .
Register-based CPU . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–23 Static properties . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–41
Registry . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–41, 4–64, 4–68 Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–33
Regshot . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–52, 1–55, 1–59 stdcall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–71
Rekall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–137 strace . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–18
.reloc . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–12 strdeob.pl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–23
Remapping . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–161 String . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–33, 2–103
Ressource Dumpimp . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–142 Process Hacker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–22
Return Pointer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–65 Stack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–19
RIP-relative addressing . . . . . . . . . . . . . . . . . . . . . . . . . 2–150 Strings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–42, 4–70, 3–91
ROL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–96 pestr . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–170
RollBack Rx . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–32 strlen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–111
RootKit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–107, 2–148 Structured Exception Handling (SEH) . . . . . . . . . . . 5–99
ROR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–96 Structured Storage (SS) . . . . . . . . . . . . . . . . . . . . . . . . . 3–89
RTF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–117 swf mastah.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–80
Auto extraction . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–117 Switch . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–130
Controls/Group/Object . . . . . . . . . . . . . . . . . . . . 3–118 SYN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–108
Nesting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–120 syncAnnotScan . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–66
rtfdump.py . . . . . . . . . . . . . . . . . . . . . .3–119-212, 3–151-153 SysAnalyzer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–82
Carving . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–155 System call . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–18
rtfobj.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–157 System Service Descriptor Table (SSDT) . . . . . . . 4–124
RunPE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–54

T
S
TcpLogView . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–124
Sandbox detection . . . . . . . . . . . . . . . . . . . 5–63, 5–66, 5–93 TDL RootKit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–148
Sandboxie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–82 .text . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–12
scdbg . . . . . . . . . . . . . . . . . . 3–72, 4–75, 4–79, 3–125, 3–156 TFTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–109
Debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–81 Themida . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–8
Stack manipulation . . . . . . . . . . . . . . . . . . . . . . . . . 4–82 thiscall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–72
Scout . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–4 Thread Information Block (TIB) . . . . . . . . . .5–99, 3–124
sctest . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–72 Thread Local Storage (TLS) . . . . . . . . . . . . . . . . . . . . 5–116
Scylla . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–24, 5–113 ThreatAnalyzer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–82
IAT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–25, 5–162 Thug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–4
ScyllaHide . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–14, 5–27 Tinba . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–66
Sections . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–7, 2–12, 1–45 TitanMist . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–18
Segment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–25 TOR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–20
selector . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–127 translate.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–97
Self-defense . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–29 TrickBot . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–161
set-static-ip . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–115 TrId . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–48
SetBPX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–85 trid . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–13
setdllcharacteristics . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–20-21 try/except . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–99
Shellcode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–69 Two complements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–182
shellcode2exe.py . . . . . . . . . . . . . . . . . . . . . . . . . . 3–77, 3–128
Signed . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–182
signsrch . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–48 U
Single-step . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4–34, 1–83
SMTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–109 Unicode conversion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–70
Snapshot . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–31 unicode2raw . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–70
SpiderMonkey . . . . . . . . . . . . . . . . . . . . . . . 3–37, 3–66, 4–70 Universal Import Fixer . . . . . . . . . . . . . . . . . . . . . . . . . . 4–23
SRE → Software Reversing Engineering . . . . . . . . . . . . . . Unpacking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–145
SRP Stream . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–93 UnpacMe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–18
SSDT → System Service Descriptor Table . . . . . . . . . . . . Unsigned . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–182
SSView . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–92, 3–136 unXOR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–18
Stack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–67-69 Upatre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–66

This work is licensed under a Creative Commons Attribution 4.0 International License, by A. Cailliau
Template by A. D’hondt, https://github.com/dhondta/tex-course-index-template 6
 FOR610 – Reverse-Engineering Malware

UPX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–8 WinPMEM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–136

Unpacking (auto) . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–17 Wireshark . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–52, 1–56, 1–66
urlscana.io . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13 Filter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–13
TCP Stream . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–73
WM (SYS)KEY(XX) . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–179
V WM MOUSEMOVE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–71
WMIC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–12
V8 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–37
Word . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–27
Variable
wow64 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2–149
Global . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–53
WPE Pro . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–82
Local . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–53, 5–151
WSF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–49
Static . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–53
VBA → Visual Basic for Applications . . . . . . . . . . . . . . . .
VBScript . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–18, 3–47 X
Deobfuscation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–160
VCF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–49 x32dbg
vftable → Virtual Function Table . . . . . . . . . . . . . . . . . . . . cleardb . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–48
Viper . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–48 Dump . . . . . . . 5–29, 5–34, 5–57, 4–95, 4–101, 5–160
VirSCAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13 Follow in Memory Map . . . . . . . . . . . . . . . . . . . . . 5–58
Virtual Address Descriptor (VAD) . . . . . . . . . . . . . . 4–146 Ignore Exception . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–105
Virtual Function Table (vftable) . . . . . . . . . . . . . . . . 4–124 jmp2it . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–83-85
Virtual size . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–10 Save Patch . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–11
Virtualization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–26 SEH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–101, 5–104
Virtualization detection . . . . . . . . . . . . . . . . . . . . . . . . . .5–65 SetBPX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–28
VirusTotal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13, 14 Stack edition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–77
Visual Basic for Applications (VBA) . . . . . . . . . . . . . 3–84 Strings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–35
Downloader . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–84 Thread . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–177
Stomping . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–104 TLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–121
Watches . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–112 xAnalyzer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–151
Volatility . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–137, 5–170 XFA → XML Forms Architecture . . . . . . . . . . . . . . . . . . . .
apihooks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–150 XML Forms Architecture (XFA) . . . . . . . . . . . . . . 3–73-75
cmdline . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–142 XOR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–96
dlllist . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–145 XOR (VBA) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–97
kdbgscan . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–138 XOR Encoding . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–15, 3–98
ldrmodules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–145 XOR Obfuscation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–119
malfind . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–146 xor-kpa.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–100-101
memdump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–144 xorBruteForcer.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–18
pslist . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–139 XORSearch . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5–16, 3–122
pstree . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–140 xortool . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–18
Virtual Offset . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4–150 xxd . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1–75, 1–97, 1–118
VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–20
vURL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
Y
W Yara . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–137
Yotalhash . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–13
Website . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3–4
WH MOUSE LL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–70
While (loop) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2–112 Z
WinDbg . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1–80, 5–82
Windows Virtual PC . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5–82 zipdump.py . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3–137-138

This work is licensed under a Creative Commons Attribution 4.0 International License, by A. Cailliau
Template by A. D’hondt, https://github.com/dhondta/tex-course-index-template 7