Unpacker ExeCryptor 2.x.x. version 1.0 RC2 [Public Build]

Вот собственно "дампер" перерос в анпакер, вся необходимая дополнительная информация по опциям
и их применению находится в readme.txt

С пожеланиями и предложениями писать СЮДА!!!

c0c4_22.12.2008_CRACKLAB.rU.tgz - Unpacker_ExeCryptor_2.x.x._v1.0_RC2.RSI.tPORt.zip

| Сообщение посчитали полезным:

Medsft пишет:
pavka пишет:
kioresk
RAZUM has it's own deVM engine for EC 2.3.9 and 2.4.x
Я в очереди если можно
и я в очереди =)

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным:

А продолжение от RSI будет, а то здесь где-то в постах проскакивало Unpacker ExeCryptor 2.x.x. version 1.0 RC2 в логах распаковки

-----
Лучше быть одиноким, но свободным © $me

| Сообщение посчитали полезным:

Norton Antivirus нашел Backdoor.Graybird вирус в Unpacker ExeCryptor 2.x.x. version 1.0 RC1 [Public Build]

| Сообщение посчитали полезным:

comunicatel
Если брали не из шапки, то хз что вам там дали. А если из шапки взяли, то ваше право не пользоваться.

-----
Computer Security Laboratory

| Сообщение посчитали полезным:

Не могу найти OEP, помогите пожайлуста.
dss.rar http://rapidshare.com/files/127843885/dss.rar.html

| Сообщение посчитали полезным:

g-gabber
OEP = 47B768

-----
Программист SkyNet

| Сообщение посчитали полезным:

FrenFolio Большое спасибо! А не погбы в кратце расказать как ты его наешел.
Наука-Сила

| Сообщение посчитали полезным:

Во первых респект RSI. Копаю в свободное от работы время прогу (самому интересно). С распаковкой все отлично. Лицензия завязана на уникальное число(не хардваре ID) специфика проги. Может кто ковырял генератор ключей EXECrypta. Так неохота лезть в метаморф, если надо помощь могу подсобить в атаке на метоморф. RAZUM вроде заикался о том шо идет работа., всем заранее спасибо

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

Что ж вас все в эту тему манит? Она же по RSI'скому анпакеру, а по криптору есть отдельная тема.

VodoleY, а как у тебя связаны лицензия с завязкой на уникальное число и регистрационная схема криптора — двойная регистрация что ли (сначала крипторовская, а потом собственная)?

| Сообщение посчитали полезным:

Сори если в офтопик. Вобщем софта для отчетности, регистрируется под ИдентификационныйНомерОрганизации (пару номеров имею) типа номе=Func(ключ). токо процедурки проверка номера ухоят в метаморфом переваренный код. я тут его почитую, на блочки разделяю, команды вычлиняю. пока шо выробатываю схему разделения и фильтрации кода. Есть такое подозрение шо изобретаю велосипед

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY а прога случайно не бестзвит плюс? ;)

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

PE_Kill
+1 за догадливость подозрения по поводу велосипеда усиливаются

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

PE_Kill пишет:
прога случайно не бестзвит плюс

где ее взять?


нужны просто проги с криптором 2.хх версий.

| Сообщение посчитали полезным:

ftp://ftp.bestzvit.com.ua/8.52BZ/Setup.exe правда там полный комплект 90 метров

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY пишет:
ftp://ftp.bestzvit.com.ua/8.52BZ/Setup.exe правда там полный комплект 90 метров

спасибо

| Сообщение посчитали полезным:

temp, если че, есть наработки, поделиться нефик делать, но там вся фишка в просчете кода, который размазан метоморфом(с небольшими кусочками полиморфа)

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY насчет велосипеда хз, просто я ее уже делал и твое описание подходит под ее защиту. Если ты пытаешься сгенерить ключ, то забудь там регистрация EXECryptor'а, хотя ключи и на русском. Там просто используется замена символов, при проверки ключ конвертируется в нормальный формат. Сам EXECryptor использует HFE попробуй загень. Там только патчить, но что хорошо от ключа там особо ничего не зависит можно без ключа защиту срывать, пару мест запатчить и всё.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

PE_Kill пасибо громадное, сэкономил пару ночей проблема в том, шо регулярно выходят патчи. впринцыпе до птча проги я уже дошел... ща работаем по принцыпу черного ящика. метаморф процедуры описывем (входные выходные параметры). патчить можно... но ИМХО временное решение, мозги будут лечить клиенты. Ради интереса покопать механизм, может и комуто потом результаты пригодяться.
Кста. по поводу унпакера, RSI тушил проверку целосности в потоках, рождение потоков не тушил? по трейсер лог трейсера прорисовывает левые переходы с небуя в NTDLL. это наверняка можно тушить, бо итак лог 3 мегабайта
З.Ы. я как то в детстве arj с паралем руками распаковывал, тоже кричали нериал, оказалось таблицы хафмана тоже не без греха, ищите и найдет

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY
Не могу удержаться
Потокам нужно ret делать после анпакера RSI, анпакер не всегда их находит(бестзвит как раз такой случай).

| Сообщение посчитали полезным:

дык а нафиг себя томить, не сдерживайся

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY,

>> Ради интереса покопать механизм, может и комуто потом результаты пригодятся.

Крипторовскую процедуру проверки ключа можешь не копать, там ничего особо интересного нет. Побрутить ключ конечно можно, но это долго будет...

>> рождение потоков не тушил?

Если правильно тебя понял, то ты хотел бы, чтобы не создавалось большое кол-во потоков. Их нельзя просто взять и отключить, поскольку у криптора так код построен — определенные участки кода выполняются в отдельном потоке (посмотри заметки об отключении проверки смены системной даты в основной теме о крипторе).
Их можно отключить только исправив код — нопим вызов RunInThread/проверку/переход после нее и убераем ret в конце участка кода. Но вручную этим заниматься не айс.

| Сообщение посчитали полезным:

Про брут ключа ниразу даже незадумывался, если я понял ключ считается разновидносьтю ХЭША.
>>RunInThread/проверку/переход после нее и убераем ret
за это спасибо
PE_Kill заикался о HFE

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY ну если охота погемороится, то копай. Найди ключ валидный и рипай процу проверки, сможешь набрутить ключ (возможно, а может и нет), вот как вставить в ключ UserParam который является ID организации, и при этом сохранить подпись.... Короче по мне так легче падчить, тем более, что патчить надо далеко не каждый билд ;)

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

Именно так дело и обстоит. Вобщем ответы на вопросы я врпинципе получил, спасибо! Если не сложно еще пару слов о методе проверки ключа (точнее пару вопросов).
1. Это таки разовидность ХЭШирования ?
2. Копал ли кто-то, где можно по этому хэшу найти доку, методику, библиотеки (желательно под делфи)

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY
В крипторе, насколько помнится, юзается чуть модифицированный HFE, почитать можно тут:
www.cryptosystem.net/hfe/

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels

| Сообщение посчитали полезным:

Smon пасибки. вот так по кусочку и забиваются в гроб EXECrypta гвозди . вот народ еще доморфер закончит, и будет ему пенсия. надыбал процедурку метаморфированную, возвращает количество дней до окончания лицензии(чиста звитовская наскок я понял) вот и бум ее грызть

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY,

>> вот народ еще доморфер закончит, и будет ему пенсия.

Только не путай деВМ с деМорфером. ДеВМ просто убирает виртуализованные инструкции, т.е. те которые выполняются в крипторовской ВМ. ДеМорфер не писал (да и не нужен он особо), хотя есть некое подобие, которое убирает пару простых паттернов (вроде «push addr -> jmp offset ->  ret» на «jmp addr»), чтобы поменьше лишних движений в Иде делать.

А на пенсии криптор уже давно, но не потому что его ковыряют/расковыряли, а потому что разработчики не особо озабочены его дальнейшим развитием и давно его не обновляли (да возрадуются PolyTech и Oreans).

| Сообщение посчитали полезным:

За последние лет 5 разборок разных, очень разных защит пришел к выводу, что самая большая проблема всяких сторонних защит в том, что программеры которые их используют лентяи и не юзают всес особенностей и плюсов инструмента (да и самих создателей защит глючет пердически) поэтому и хаспы порой снимаются за пол часа. Хотя это видимо офтоп.
ЗЫ. тут гдето на соседней ветке парнишка пытался скриптом Метаморфа гнобить, так его обосрали и обидели.. зря.. кажды имеет право найти гимор на свою голову. ИМХО именно так и развивается талант и получается опыт. ИМЕННО на своих ошибках.

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY пишет:
За последние лет 5 разборок разных, очень разных защит пришел к выводу
VodoleY пишет:
ИМХО именно так и развивается талант и получается опыт
) или не развивается если делать выводы и обобщения на твоем примере

| Сообщение посчитали полезным:

типа тактично обозвали ламером

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным: