Smontare un loader modulare: perché la verità non è sul disco ma nella memoria del computer

Abbiamo già visto cos'è un loader modulare: un malware che arriva «a vuoto» e si fa recapitare i pezzi dopo. Qui guardiamo l'altra metà della storia: come lo si analizza, cioè come un esperto lo smonta per capire cosa fa. Il lavoro si chiama reverse engineering, letteralmente «ingegneria al contrario»: partire dal programma finito e ricostruire come è fatto dentro.

Il problema è che il loader è costruito apposta per rendere questo lavoro difficile. Lo stager — il pezzo iniziale — è piccolo, con le stringhe di testo cifrate per non rivelare nulla. I plugin arrivano cifrati e vengono eseguiti direttamente in memoria, senza salvarsi su disco. E il malware controlla di non essere sotto osservazione: se si accorge di girare dentro una macchina di analisi, sta zitto.

Il disco mente: a riposo la macchina sembra pulita. La verità del loader vive solo nella memoria del processo mentre è in esecuzione.

La contromossa: guardare la memoria

Se il file non racconta nulla, l'analista cambia punto di osservazione e guarda la memoria RAM del computer mentre il malware è attivo. È lì che i plugin cifrati, una volta decifrati per essere eseguiti, si mostrano in chiaro. Questa disciplina si chiama memory forensics, l'analisi forense della memoria. Si cattura un'istantanea della RAM e la si esamina con strumenti come Volatility:

# Cerca codice iniettato e aree di memoria sospette (Volatility)
vol -f istantanea.raw windows.malfind
vol -f istantanea.raw windows.pslist

# Cosa tradisce il malware
- Aree di memoria con permessi di scrittura ED esecuzione (anomalia)
- Funzioni di sistema richiamate «al volo», fuori dal percorso normale

Perché conta. Contro i loader modulari, continuare a cercare il file è la strategia perdente. Vincono la detection basata sul comportamento e l'analisi della memoria. È un principio generale della cybersicurezza moderna: man mano che i malware spariscono dal disco, la difesa deve imparare a guardare dove il malware non può nascondersi, cioè mentre lavora.