Oreans UnVirtualizer ODBG Plug-in

Сейчас на форуме: (+5 невидимых)

<< . 1 . 2 . 3 . 4 .

Посл.ответ	Сообщение
BoRoV Ранг: 533.6 (!), 232thx Активность: 0.45↘0 Статус: Uploader retired	Создано: 25 марта 2011 21:02 · Поправил: BoRoV · Личное сообщение · #1 UnVirtualizes CISC Themida/WL/CodeVirtualize Machines Автор: Deathway Code: This tool will help conversion VirtualOpcodes -> Assembly Instruction restoring the original code of your virtualized Application, the basic engine was from CodeUnvirtualizer, my other tool [Features] - Supports WinLicense/Themida/CodeVirtualizer Cisc Machines - Supports almost all common opcodes - Supports CHECK_MACRO_PROTECTION - Supppots MultiBranch Tech [Use] - Right-click on the jump leading to the Virtual Machine Area and press Unvirtualize (If machine isn't found you have to click again, after checking that the full machine was correctly deofuscated) [Oreans UnVirtualizer] [v1.0] - First public Version 3bb2_25.03.2011_EXELAB.rU.tgz - OreansUnVirtualizerv1.0.rar ----- Лучше быть одиноким, но свободным © $me \| Сообщение посчитали полезным: Maximus, Rio, HandMill

vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 04 апреля 2012 11:15 · Личное сообщение · #2 ClockMan пишет: где EBP "BaseOreans" и идёт обращение в секцию дата-код протектора. Интересная мысль, я сразу в нее не въехал. Обязательно проверю!
SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 15 мая 2012 23:04 · Личное сообщение · #3 плагин UnVirtualizer убирает VM - это плюс а что делать если это нихера не VM, а обфускация?
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 16 мая 2012 10:19 · Личное сообщение · #4 Этим плагином-ничего. А чем она особо мешается? Насколько помню, она не в динамически аллоченой памяти, а в своей секции лежит, и нормально дампится, антидампов в ней тоже нет. А если именно разобрать надо, я не встречал софта, где её надо было бы разбирать, ну разбирать руками или написать софт, в принципе она не особо страшная. Можно попробовать чо-нить типа CodeDoctor натравить, хотя ничего хорошего от него ждать не стоит.
Vamit Ранг: 331.1 (мудрец), 561thx Активность: 0.19↘0.06 Статус: Участник	Создано: 16 мая 2012 18:19 · Личное сообщение · #5 SReg *а что делать если это нихера не VM, а обфускация?* Смотря в чем, если CodeVirtualizer, то исполняешь этот кусок кода в реальном режиме и в нужном месте увидишь родной asm код... ----- Everything is relative...
NikolayD Ранг: 189.9 (ветеран), 334thx Активность: 0.3↘0 Статус: Участник	Создано: 25 декабря 2012 01:05 · Личное сообщение · #6 [v1.6] - RISC machine re-designed - Added RISC V2 machines (new branch tech) - Added Pushad-popad instructions on risc machines - Fixed some issues with end jump - Added new detection for virtual machines - Added abort button 4a33_24.12.2012_EXELAB.rU.tgz - Oreans UnVirtualizer 1.6.rar \| Сообщение посчитали полезным: daFix, MasterSoft, BAHEK, plutos, SReg, Maximus, vnekrilov, DimitarSerg, Ra1n0, mkdev
daFix Ранг: 529.0 (!), 110thx Активность: 0.29↘0.04 Статус: Участник 5KRT	Создано: 25 декабря 2012 03:34 · Личное сообщение · #7 NikolayD Как-то недавно пришлось долго медитировать на кусок кода, где было пропущено всего несколько ассемблерных команд. Просидел долго, но в этой версии все баги вроде поправлены! Респект автору софтины! ----- Research For Food
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 03 февраля 2013 19:29 · Поправил: vnekrilov · Личное сообщение · #8 Вопрос к знающим. Столкнулся с RISC-машиной, при использовании Oreans UnVirtualizer 1.6. Имеется такой код: Code: 00911CED MOV DWORD PTR [EBP+0xfffffffc],0x193 00911D38 CMP DWORD PTR [0x6fc768],0x0 00911D83 JNZ 0x80005ad2 00911D92 PUSH 0x6fc768 00911DFB PUSH 0x4121c4 00911E55 CALL DWORD PTR [0x4012b0] 00911EDC MOV DWORD PTR [EBP+0xfffff854],0x6fc768 00911F18 JMP 0x80005b0e 00911F27 MOV DWORD PTR [EBP+0xfffff854],0x6fc768 00911F63 MOV EAX,DWORD PTR [EBP+0xfffff854] 00911FBD MOV ECX,DWORD PTR [EAX] В нем имеется условный прыжок: Code: 00911D83 JNZ 0x80005ad2 В восстановленном коде он прыгает сюда: Code: 00911F27 MOV DWORD PTR [EBP+0xfffff854],0x6fc768 В CISC-машинах - другая структура прыжка, например: Code: 00911D83 JNZ 0x19F В этом случае дистанция прыжка вычисляется просто: 00911D83+19F+5=00911F27 А как вычислить дистанцию в RISC-машине что-то никак не могу сообразить. Может быть кто-то сталкивался с этим вопросом?
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 03 февраля 2013 22:10 · Личное сообщение · #9 Может 0x80005ad2 = -0x00005ad2. Т е прыжок вверх?
Konstantin Ранг: 42.9 (посетитель), 33thx Активность: 0.04↘0 Статус: Участник	Создано: 03 февраля 2013 22:43 · Личное сообщение · #10 vnekrilov пишет: 00911F18 JMP 0x80005b0e а вот этот JMP случайно прыгает не на 00911F63? Тогда может 5ad2 и 5b0e это дистанция от некой одной базы.
hors Ранг: 136.0 (ветеран), 360thx Активность: 0.27↘0.14 Статус: Участник Qt Developer	Создано: 03 февраля 2013 23:34 · Личное сообщение · #11 Чем строить догадки, может стоит уже посмотреть официальную документацию на RISC опкоды? ----- http://ntinfo.biz
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 04 февраля 2013 01:03 · Личное сообщение · #12 hors К чему - к Themida? ----- Stuck to the plan, always think that we would stand up, never ran.
hors Ранг: 136.0 (ветеран), 360thx Активность: 0.27↘0.14 Статус: Участник Qt Developer	Создано: 04 февраля 2013 01:18 · Личное сообщение · #13 ARCHANGEL к RISC архитектуре. ----- http://ntinfo.biz
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 04 февраля 2013 14:49 · Личное сообщение · #14 hors Не понимаю вас, и как это поможет при декомпиляции вм Фемиды? Там что, разрабы риск спецификацию соблюдали, чтоб легче реверсилось? ----- Stuck to the plan, always think that we would stand up, never ran.
hors Ранг: 136.0 (ветеран), 360thx Активность: 0.27↘0.14 Статус: Участник Qt Developer	Создано: 04 февраля 2013 14:59 · Личное сообщение · #15 ARCHANGEL пишет: Не понимаю вас, и как это поможет при декомпиляции вм Фемиды? Там что, разрабы риск спецификацию соблюдали, чтоб легче реверсилось? Вопрос был, как высчитывается адрес jmp на RISC машине. С этим можно разобраться, если посмотреть как переходы реализуются на RISC архитектуре вообще. ----- http://ntinfo.biz
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 04 февраля 2013 16:17 · Поправил: vnekrilov · Личное сообщение · #16 Я поступил следующим образом. В одной оле открыл вторую, во второй открыл подопытного кролика, нашел в плагине Oreans UnVirtualizer адреса, где обрабатывается восстановленный p-код, и смотрю, как плагин считает эти адреса. После изучения этого вопроса - отпишусь. Не хотелось это делать самому, поскольку я думал, что кто-то уже прошел этот путь.
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 05 февраля 2013 14:51 · Поправил: vnekrilov · Личное сообщение · #17 Разобрался в заданном мной вопросе. В RISC-машинах адрес прыжков вычисляется по формуле: ADDR_1 + ADDR_2 + 80000000 Где: ADDR_1 - это первый адрес вначале листинга Risc_Uv_Dump.txt ADDR_2 - это дистанция прыжка в листинге Risc_Uv_Dump.txt Пример: Это - начало листинга: Code: 00949A99 PUSH EAX 00949B02 AND EAX,EDI 00949B11 MOV AX,AX 00949B2F AND EAX,0xe5a9 00949B4D PUSHFD 00949BA7 SHR AH,0x4 Это - часть листинга с прыжком и дистанцией прыжка: Code: 0094F0E8 JE 0x80005c1c 0094F0F7 PUSH 0x0 0094F160 PUSH 0x46 0094F1BA MOV EAX,DWORD PTR [ESI] 0094F205 PUSH ESI 0094F26E CALL DWORD PTR [EAX+0x3b8] 0094F304 PUSH EAX 0094F36D LEA ECX,DWORD PTR [EBP+0xffffffd0] 0094F3B8 PUSH ECX 0094F430 CALL EBX 0094F4B7 PUSH EAX 0094F520 CALL DWORD PTR [0x401038] 0094F5B6 ADD ESP,0xc 0094F5D4 LEA ECX,DWORD PTR [EBP+0xffffffd0] 0094F62E CALL DWORD PTR [0x4013c8] 0094F6B5 LEA EAX,DWORD PTR [EBP+0xc] 0094F700 MOV DWORD PTR [EBP+0xffffff80],EAX 0094F74B MOV ECX,0x4003 0094F75A MOV DWORD PTR [EBP+0xffffff78],ECX 0094F7A5 SUB ESP,0x10 Вычисляем дистанцию прыжка: 00949A99 + 0x80005c1c + 80000000 = 0094F6B5 Значит, в листинге мы должны сделать так: Code: 0094F0E8 JE @loc_0094F6B5 0094F0F7 PUSH 0x0 0094F160 PUSH 0x46 0094F1BA MOV EAX,DWORD PTR [ESI] 0094F205 PUSH ESI 0094F26E CALL DWORD PTR [EAX+0x3b8] 0094F304 PUSH EAX 0094F36D LEA ECX,DWORD PTR [EBP+0xffffffd0] 0094F3B8 PUSH ECX 0094F430 CALL EBX 0094F4B7 PUSH EAX 0094F520 CALL DWORD PTR [0x401038] 0094F5B6 ADD ESP,0xc 0094F5D4 LEA ECX,DWORD PTR [EBP+0xffffffd0] 0094F62E CALL DWORD PTR [0x4013c8] @loc_0094F6B5: LEA EAX,DWORD PTR [EBP+0xc] 0094F700 MOV DWORD PTR [EBP+0xffffff80],EAX 0094F74B MOV ECX,0x4003 0094F75A MOV DWORD PTR [EBP+0xffffff78],ECX 0094F7A5 SUB ESP,0x10 Я полагаю, что эта информация будет полезной для всех тех, кто восстанавливает распознанный код плагином Oreans UnVirtualizer, и получил при этом ошибку в работе плагина. В этом случае, после внесения правок в листинг с распознанным кодом, можно использовать прекрасный плагин Multiline Ultimate Assembler. \| Сообщение посчитали полезным: mak, plutos, DimitarSerg
NikolayD Ранг: 189.9 (ветеран), 334thx Активность: 0.3↘0 Статус: Участник	Создано: 31 января 2014 11:15 · Личное сообщение · #18 [v1.7] - FISH machine avaible (WHITE and RED variants) - Added Vm signatures Hi all, the new version of this plug-in supports the FISH virtual machine, WHITE and RED variants. Some words about this machine... It mixes both CISC and RISC architecture, but the code isn't like template anymore, every virtual machine has a new different number of handlers, and every handler contains a different execution path, a little tricky, but nothing that can't be 'devirtualized' , maybe i'll write a paper about FISH and TIGER machines later. Some specs that aren't coded yet: - Support for Check macro; - Sort algo is very unstable - This plugin may crash when deofuscating very rare sequences, (most of them are 'expected' specially when crash was due to an ud2 instruction). - Suppor for BLACK variants ... About TIGER, I have no plans for the moment, but it isn't very different from FISH analog. Plug-in was tested with 2.2.6.0 version, other versions may have variants that this plug-in couldn't handle. --> Link <-- cc55_31.01.2014_EXELAB.rU.tgz - Oreans UnVirtualizer 1.7.rar \| Сообщение посчитали полезным: CyberGod, SReg, tihiy_grom, v00doo, Maximus, vnekrilov, daFix, Gideon Vi, Ra1n0, neprovad
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 05 февраля 2014 11:18 · Личное сообщение · #19 [v1.8] - FISH BLACK variant avaible - Fixed deofuscation order (GenV6) - New deofucation scheme for FISH machine - New smart code tracer for FISH machines - Stack sort for FISH commands - Improved management of memory (faster deofuscation) - Added movzx reg32, [esp+eax+memoffset] on CISC machines - Added a message prompt when the opcode buffer is not enough - Added LEAVE instruction for FISH machines - Added support for CALLs to VM section in FISH machines - CHECK_PROTECTION macro disabled, now it must be restored by hand - Fixed QWORD incorrect names for some opcodes - Fixed a problem when deofuscating RISC machines 6081_05.02.2014_EXELAB.rU.tgz - Oreans UnVirtualizer 1.8.rar \| Сообщение посчитали полезным: DimitarSerg, CyberGod, SReg, Jaa, daFix, Gideon Vi, nick8606, NikolayD, plutos, mkdev
Kuzya69 Ранг: 30.1 (посетитель) Активность: 0.07↘0 Статус: Участник	Создано: 12 сентября 2017 15:09 · Личное сообщение · #20 Прошу прощения, что бужу старую тему. Может кто-нибудь выложить сюда этот плагин версии 1.4, и желательно мувик с ним? Собрал почти всю коллекцию, но вот этих двух вещей не хватает.
sendersu Ранг: 512.7 (!), 360thx Активность: 0.27↘0.03 Статус: Модератор	Создано: 12 сентября 2017 21:53 · Личное сообщение · #21 раритет (спс vnekrilov!) 585ba176d179cc556ee6227d8bc04bf4 *Oreans UnVirtualizer 1.4.rar b3ca_12.09.2017_EXELAB.rU.tgz - Oreans UnVirtualizer 1.4.rar \| Сообщение посчитали полезным: Kuzya69, zNob, plutos

<< . 1 . 2 . 3 . 4 .

Для печати