使用 dnSpy 对 .NET 恶意软件进行逆向工程

适用场景

• 某个恶意软件样本被识别为需要反编译的 .NET 程序集（C#、VB.NET、F#）
• 分析基于 .NET 的恶意软件家族（AgentTesla、AsyncRAT、RedLine Stealer、Quasar RAT）
• 对由 ConfuserEx、SmartAssembly 或自定义混淆器保护的 .NET 代码进行去混淆
• 从托管程序集中提取硬编码的 C2 配置、加密密钥和凭证
• 在运行时调试 .NET 恶意软件以观察其解密流程和动态行为

不适用于原生（非托管）PE 二进制文件；此类分析请使用 Ghidra 或 IDA。

前置条件

• 已安装 dnSpy 或 dnSpyEx（https://github.com/dnSpyEx/dnSpy - 由社区维护的分支）
• 用于自动化 .NET 去混淆的 de4dot（https://github.com/de4dot/de4dot）
• 作为替代反编译器用于交叉验证的 ILSpy
• 已安装 .NET SDK，用于在分析过程中重新编译修改后的程序集
• 用于在真实恶意软件上运行 dnSpy 调试器的隔离 Windows 虚拟机
• 用于识别所使用 .NET 混淆器的 Detect It Easy (DIE)

工作流程

步骤 1：识别 .NET 程序集和混淆器

验证样本为 .NET 二进制文件并检测其保护方式：

# 检查文件是否为 .NET 程序集
file suspect.exe
# 输出应包含 "PE32 executable" 以及 .NET 元数据信息

# 使用 Detect It Easy 检测混淆器
diec suspect.exe

# 基于 Python 的 .NET 检测
python3 << 'PYEOF'
import pefile

pe = pefile.PE("suspect.exe")

# 检查 .NET COM 描述符
if hasattr(pe, 'DIRECTORY_ENTRY_COM_DESCRIPTOR'):
    print("[*] .NET assembly detected")
    print(f"    Runtime version: {pe.DIRECTORY_ENTRY_COM_DESCRIPTOR}")
else:
    # 检查 mscoree.dll 导入（替代检测方式）
    for entry in pe.DIRECTORY_ENTRY_IMPORT:
        if entry.dll.decode().lower() == "mscoree.dll":
            …