マルウェアのバイナリコードの静的解析には，ツールで完全に自動で行う方法もありますが，コードを人間が読んで理解する方法もあります．

私もたくさん経験していますが，逆アセンブルしたアセンブリコードの処理や意図を理解するのはかなり骨が折れる作業です．アセンブリコードがちょっと複雑になったりちょっと長くなったりすると，とたんにわからなくなります．時間もかかります．

逆アセンブルして得られたアセンブリコードを読んで理解するよりも，デコンパイラ（逆コンパイラ）でデコンパイル（逆コンパイル）して得られたCプログラムのコードを読んで理解するほうが，はるかに楽だし短時間で終わります．

現在入手可能なデコンパイラですぐ思いつくものを挙げておきます．

Hex-Rays Decompiler IDAと組み合わせて使う．商用．個人での購入を躊躇したくなる価格．
Ghidra オープンソース．
RetDec (Repository in GitHub) オープンソース．かつてはAvastの製品．
Boomerang Decompiler (Repository in GitHub) オープンソース．

C言語ではこんなに単純なコードも

factarray.c

# include <stdio.h>
# include <stdlib.h>

int fact(int n)
{
  if (n <= 1) {
    return 1;
  } else {
    return n * fact(n - 1);
  }
}

int main(void)
{
  int i, ans;
  for (i = 1; i <= 10; i++) {
    ans = fact(i);
    printf("fact(%d) = %d\n", i, ans);
  }
  return 0;
}

アセンブリ言語レベルでは処理の流れや意図をつかむのすら大変で時間がかかる．以下はobjdump -dでの逆アセンブル結果．バイナリは32ビットでビルドした．

0000051d <fact>:
 51d:   55                      push   %ebp
 51e:   89 e5                   mov    %esp,%ebp
 520:   83 ec 08                sub    $0x8,%esp
 523:   e8 92 00 00 00          call   5ba <__x86.get_pc_thunk.ax>
 528:   05 b0 1a 00 00          add    $0x1ab0,%eax
 52d:   83 7d 08 01             cmpl   $0x1,0x8(%ebp)
 531:   7f 07                   jg     53a <fact+0x1d>
 533:   b8 01 00 00 00          mov    $0x1,%eax
 538:   eb 16                   jmp    550 <fact+0x33>
 53a:   8b 45 08                mov    0x8(%ebp),%eax
 53d:   83 e8 01                sub    $0x1,%eax
 540:   83 ec 0c                sub    $0xc,%esp
 543:   50                      push   %eax
 544:   e8 d4 ff ff ff          call   51d <fact>
 549:   83 c4 10                add    $0x10,%esp
 54c:   0f af 45 08             imul   0x8(%ebp),%eax
 550:   c9                      leave
 551:   c3                      ret

00000552 <main>:
 552:   8d 4c 24 04             lea    0x4(%esp),%ecx
 556:   83 e4 f0                and    $0xfffffff0,%esp
 559:   ff 71 fc                pushl  -0x4(%ecx)
 55c:   55                      push   %ebp
 55d:   89 e5                   mov    %esp,%ebp
 55f:   53                      push   %ebx
 560:   51                      push   %ecx
 561:   83 ec 10                sub    $0x10,%esp
 564:   e8 b7 fe ff ff          call   420 <__x86.get_pc_thunk.bx>
 569:   81 c3 6f 1a 00 00       add    $0x1a6f,%ebx
 56f:   c7 45 f0 01 00 00 00    movl   $0x1,-0x10(%ebp)
 576:   eb 2d                   jmp    5a5 <main+0x53>
 578:   83 ec 0c                sub    $0xc,%esp
 57b:   ff 75 f0                pushl  -0x10(%ebp)
 57e:   e8 9a ff ff ff          call   51d <fact>
 583:   83 c4 10                add    $0x10,%esp
 586:   89 45 f4                mov    %eax,-0xc(%ebp)
 589:   83 ec 04                sub    $0x4,%esp
 58c:   ff 75 f4                pushl  -0xc(%ebp)
 58f:   ff 75 f0                pushl  -0x10(%ebp)
 592:   8d 83 68 e6 ff ff       lea    -0x1998(%ebx),%eax
 598:   50                      push   %eax
 599:   e8 12 fe ff ff          call   3b0 <printf@plt>
 59e:   83 c4 10                add    $0x10,%esp
 5a1:   83 45 f0 01             addl   $0x1,-0x10(%ebp)
 5a5:   83 7d f0 0a             cmpl   $0xa,-0x10(%ebp)
 5a9:   7e cd                   jle    578 <main+0x26>
 5ab:   b8 00 00 00 00          mov    $0x0,%eax
 5b0:   8d 65 f8                lea    -0x8(%ebp),%esp
 5b3:   59                      pop    %ecx
 5b4:   5b                      pop    %ebx
 5b5:   5d                      pop    %ebp
 5b6:   8d 61 fc                lea    -0x4(%ecx),%esp
 5b9:   c3                      ret

以下はGhidraでのデコンパイル結果．はるかにわかりやすくなった．元のCプログラムを理解する作業とほとんど変わらない．forループはwhileループに変わった．

int fact(int param_1)

{
  int iVar1;
  
  __x86.get_pc_thunk.ax();
  if (param_1 < 2) {
    iVar1 = 1;
  }
  else {
    iVar1 = fact(param_1 + -1);
    iVar1 = iVar1 * param_1;
  }
  return iVar1;
}

undefined4 main(void)

{
  undefined4 uVar1;
  int local_18;
  
  local_18 = 1;
  while (local_18 < 0xb) {
    uVar1 = fact(local_18);
    printf("fact(%d) = %d\n",local_18,uVar1);
    local_18 = local_18 + 1;
  }
  return 0;
}

以下はHex-Rays Decompilerでのデコンパイル結果．こちらもわかりやすい．変数名がiだし．if文のthen節とelse節は逆転．

int __cdecl fact(int a1)
{
  int result; // eax

  if ( a1 > 1 )
    result = a1 * fact(a1 - 1);
  else
    result = 1;
  return result;
}

int __cdecl main(int argc, const char **argv, const char **envp)
{
  int i; // [esp+0h] [ebp-10h]
  int v5; // [esp+4h] [ebp-Ch]

  for ( i = 1; i <= 10; ++i )
  {
    v5 = fact(i);
    printf("fact(%d) = %d\n", i, v5);
  }
  return 0;
}

デコンパイラによって，10分かかっていた静的解析の作業が1分で終わるようになったと感じます．