Questão FC871737
Em uma análise estática de um binário suspeito, o analista identifica uma sequência que utiliza API hashing para resolver funções do Windows dinamicamente. O objetivo pelo qual o m
Ameaças aos Sistemas Computacionais
FGV · 2026
Em uma análise estática de um binário suspeito, o analista identifica uma sequência que utiliza API hashing para resolver funções do Windows dinamicamente.
O objetivo pelo qual o malware utiliza esse mecanismo é
- exclusivamente aumentar a velocidade de execução do malware.
- evitar dependências de DLLs externas, somente.
- reduz o tamanho do arquivo executável em pelo menos 20%.
- evasão de assinaturas baseadas em strings.
- permitir execução apenas em modo kernel.
Mostrar resposta e comentário
Gabarito
D
Comentário do professor
O uso de hashing de API permite que o malware não contenha nomes de funções legíveis no binário. Em vez de referenciar strings como "CreateFileA" ele armazena apenas valores hash pré-calculados.
Em tempo de execução o código percorre a tabela de exportação das DLLs carregadas, aplica o mesmo algoritmo de hash aos nomes expostos e compara os resultados. Quando há correspondência, recupera o endereço da função e a invoca.
Isso impede que mecanismos de defesa baseados em pesquisa de strings ou assinaturas estáticas (av/EDR) detectem chamadas sensíveis no arquivo, tornando a análise estática e a detecção por assinatura muito mais difíceis.
Portanto a técnica visa exatamente a evasão de assinaturas baseadas em strings.
Conteúdo do catálogo FC Concursos · Atualizado em