Можно ли «декомпилировать» Windows .exe? Или хотя бы посмотреть сборку?

Question

Мой друг скачал вредоносное ПО с Facebook, и мне любопытно посмотреть, что он делает, не заражая себя. Я знаю, что вы не можете декомпилировать .exe, но я могу хотя бы просмотреть его в Assembly или прикрепить отладчик?

Изменить, чтобы сказать, что это не исполняемый файл .NET, нет заголовка CLI.

Answer 1

Не могу поверить, что никто ничего не сказал о Immunity Debugger , пока.

Immunity Debugger - это мощный инструмент для написания эксплойтов, анализа вредоносных программ и анализа бинарных файлов. Первоначально он был основан на исходном коде Ollydbg 1.0, но с исправленной ошибкой восстановления имен. Он имеет хорошо поддерживаемый Python API для легкой расширяемости, поэтому вы можете написать свои скрипты Python, которые помогут вам в анализе.

Кроме того, есть хороший пример, написанный Питером из команды Corelan, который называется mona.py , кстати, отличный инструмент.

Answer 2

Вы можете использовать dotPeek, очень хорошо для декомпиляции исполняемого файла. Это свободно.

https://www.jetbrains.com/decompiler/

Answer 3

Если у вас нет времени, отправьте вредоносное ПО на cwsandbox:

http://www.cwsandbox.org/

http://jon.oberheide.org/blog/2008/01/15/detecting-and-evading-cwsandbox/

НТН

Answer 4

Если вы хотите запустить программу, чтобы увидеть, что она делает, не заражая ваш компьютер, используйте виртуальную машину, такую ​​как VMWare или Microsoft VPC, или программу, которая может изолировать программу, например SandboxIE.

Answer 5

Комплект explorer может делать то, что вы хотите.