CODEX UNVIRTUALIZE DENUVO/VMProtect


**************

В связи со стремительно развивающимися событиями, данный топик будет реформирован. Перечень тем, на которые ведется обсуждение:

░▒▓▓-SecuROM 7/8 common (VM research; disk-check bypass attack; find OEP & dumping; cumulative attack...)
░▒▓▓-- SPR I (profiles; updates)
░▒▓▓-Requests for generation SecuROM PA Unlock code (SecuROM PA Online-activation) WOW! Only on EXELAB.RU
░▒▓▓-Denuvo ("surface" questions)
░▒▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓

SPR I - Fight against the virtual machines (VM) of all SecuROM 7-8 versions (Подробности в 20, 23 посте.)


80_PA - SecuROM (PA) Online-Activation keygen! Holy shit!
[/url]
the list of programs (games), which can now be activated using 80_PA:
https://pastebin.com/EiMbV3YD or --> pastebin primary link <--

>>>>>>>> (!) Send me more games with SecuROM PA (!) >>>>>>>>>>>>

Denuvo Profiler (DProfiler)


------------
1.04.2012
Собственно я не сказал самого главного. SecuRom_Profiler 7 v1.0(SPR I) - часть большого зеленого пирога, под названием "ТИБЕРИУМНЫЙ РЕВЕРСИНГ" (статья опубликована в 159 номере ][. А позже, ещё одна итоговая статья - 199 ][), включает в себя собственно статью в журнале, ПОЛНУЮ техническую статью, материалы по SecuROM 7.33.0017, исходники X-кода и видео. Технический вариант статьи с приложениями можно брать отсюда:
▒Статья
▒Видео
▒Видео 2 (Продолжение)
▒Видео 3 (Окончательный разгром)
▒Видео 4 (В погоне за взломом DENUVO)
Имеет косвенное отношение к статье:
▒Видео косвенное

Хроники битвы при DENUVO 19.04.19
https://xakep.ru/2019/04/19/denuvo/

Message for the companies(etc) using this protection: we can buy SecuROM/DENUVO SDK & sources. Сontact me according to the personal message. Сonfidentiality is guaranteed!!! The bought files will be used for private research!

░░░░░░░░░░
См. также:
diff_trace

▓▓
615d_22.09.2013_EXELAB.rU.tgz - Sony DADC SecuROM vulnerability.zip
c177_01.02.2017_EXELAB.rU.tgz - PATENT DENUVO.pdf (притащил v00doo)


▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
80_PA new 2.0 hotfix (!!!). Official links (mirrors):
https://mega.nz/#!L6gGBYBK!Y9X-6LFBdow6a1_IBlDFbrS6PBF4RRz_n9kuSGiI0UM (или --> 80_PA_v2.0 keygen link <--)
--> Mirror #1 <--
--> Mirror #2 <--

▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
DENUVO Leak content
обращайтесь в личку - скину.

▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
Denuvo Profiler (DProfiler) - test version 0.3 "INSPIRE"
https://mega.nz/#!DLwExKya!kCyFXw1roY3MkFaTO56LJAd-amc2yXWVerV2ic38bgs (или --> DProfiler link <--)

| Сообщение посчитали полезным: yanus0, obfuskator, Vovan666, MasterSoft, slick, hlmadip, ClockMan, Nightshade, Dart Raiden, Bronco, BAHEK, SReg, [Nomad], DimitarSerg, verdizela, yagello, OnLyOnE, FrenFolio, daFix, VodoleY, gena-m, m0bscene, Gideon Vi, ff0h, zeppe1in, antipod, huckfuck, kioresk, aRiX, 4kusNick, Ara, d0wn, Smon, audiofeel, zNob, cypherpunk, zzzombie1989, MarcElBichon, v00doo, DenCoder, nick7, Haoose-GP, arnix, Qbik, serilo, s2003r, DICI BF, Kindly, PavelDAS, HandMill, VanHelsing, random, TrueLies, warezhunter_, denfil777, alx30721, omeh2003, asm-jaime, WildGoblin, mushr00m, Flippy1801, KOTwasya, r3n5m388, chegevara, Groul, dnv83, kassane, ==DJ==[ZLO], red0x, HAOSov, rootkid, DirtyHarry, MacTep, kurorolucifer, s0cpy, aire1, ReloadUGunz, tRuNKator, Cherbet, RmK-FreE, Pringell, IHateInventNicknames, go2crck, mak, Dimosz, Creckerhack, zd0x, Mustafa_Dev007, UnnyBolt, Isaev, Astap1516, Voices_of_the_BULG, EHS4N, SnakeByte, KOCMOC42, anarh1st47

Существует специальный зашифрованный блок данных в защищаемом приложении - SecuROM Data Block (SDB). По нему и можно определить.

| Сообщение посчитали полезным:

ELF_7719116 пишет:

Существует специальный зашифрованный блок данных в защищаемом приложении - SecuROM Data Block (SDB). По нему и можно определить.
А можно поподробней?

| Сообщение посчитали полезным:

Oleg74
Можно. Суть такова: в PE-хидер вшивается зашифрованный блок, куда секуром складывает свои опознавательные данные - ASCIIZ-строку It's SecuROM, три unsigned int -версия, подверсия, билд(ex.7.33.17) и еще какие-то служебные данные. Как ни странно, но все это дело зашифровано фирменный™ циклом с двойным шагом + DWORDы версий заXORированы с фиксированными масками:

Чтоб цикл начал работать на нас, предварительно надо еще пошукать в том-же PE-хидере три вещи:
-Размер SDB блока(должен быть больше или равен 0xD40)
-MAGIC_BYTE(нулю не должен быть равен)
-Значение смещения самого SDB блока
Остальные детали можно почерпнуть из сего творения сумрачных австрийских гениев: http://download.securom.com/support/srdiag.zip (по адресу .text:004065B0 и т.д.). Кстати ProtectionID по этому алго и работает.
P.S. Все вышесказанное справедливо к 7й версии точно. SecuROM Diagnostic Tool не видит свою 8ю версию(WTF?) - размер SDB блока нулевой...или мне файл кривой прислали. Вполне веротяно, что сам блок остался в 8ке, просто поменяли расположение данных, маски XOR, в цикле например делитель цифра 8(вместо 7).

| Сообщение посчитали полезным: Oleg74

ELF_7719116
Спасибо за информацию! Думаю, в SecuROM Diagnostic Tool стоит покопаться.

| Сообщение посчитали полезным:

Вообщем, хочу поделиться своей очередной радостью, для тех кто неравнодушен
Разобрался в основах проверки оригинального диска, вопросы конечно остались, но суть в принципе ясна!
Получилось(!!!) до самого старта игрушки у мну сделать чтобы SecuROM без проблем "схавал" абсолютно левый диск (герой дня - установочный диск Windows 7) в виртуальном приводе, под контролем OllyDbg
Проверка на две части разбита: сигнатурная часть и геометрическая. Первую можно пройти запатчив 4 перехода, со второй суть сложнее - над правильно такты рассчитать (queryperformancecounter/queryperformancefrequency) и попасть в интервал. Если такты на выходе меньше интервала, то диск - резервная копия, если больше - время на проверку завышено и предлагается повторить. Самое важное: подходя ко второму интервалу, защита уже знает что диск в приводе оригинальный...
Короче начинаю писать epic fa... Sony DADC AG, от Российских ре-инженеров!


| Сообщение посчитали полезным: [Nomad], OnLyOnE, redelf

Респект. А какая версия исследуемого протектора ?

| Сообщение посчитали полезным:

[Nomad]
7.33.017. Смотрел еще 8.03.012 - в принципе, все тоже самое.

| Сообщение посчитали полезным:

Вообщем малость подебажил еще и SecuROM 7.33.017 запустился с физического диска(левого естественно) без даемон тулсов и всего прочего. Просто как обычный запуск...разве что, вместо оригинального DVD Command & Conquer 3: Tiberium Wars(которого у меня попросту нет) - пиратский DVD "Приключения Шерлока Холмса и Доктора Ватсона"
Теперь я понял, почему в реестре пишется !CAUTION! NEVER DELETE OR CHANGE ANY KEY... ПАтАму что БАГ!!! Т.к. без моей задержки по времени, секуром 7 и 8 просит удалить резервную копию (ага! в физической приводе)...идиот! а без патчинга - велика вероятность терминате процесс с кодом 1(я думал это фича защиты, но потом открыл реестр и понял). To be continued...

| Сообщение посчитали полезным:

Многие новые игры идут с онлайн активацией. И я думаю от дисков скоро вообще начнут избавляться. Есть ли профит копать дисковую активацию, которая может вскоре исчезнуть?

| Сообщение посчитали полезным:

Nightshade
Копаю интереса ради. Соглашусь, что тенденция избавления от кругляшков есть, но, скорее всего, в ближайшем будущем(год-два) the end не наступит.
Что касается paul.dll, то и там все можно патчить и эмулировать-было бы желание. Просто не разделяю мнения с разработчиками, что повальная онлайн-активация будет панацеей.

| Сообщение посчитали полезным:

Paul можно не патчить. Достаточно подделать результаты. Раньше в секуре были константы ответа пауля. В стиле 21- не прошли проверку 1- прошли. Или наоборот. Еще было что-то типа списка адресов фунок секура в памяти(типа IAT). Так вот в этой IAT секура были адреса типа "проверка не пройдена" и "пройдена проверка онлайн активации". Тупо меняя 3 dword местами можно было всегда идти по нужной ветке. Как сейчас - хз.

| Сообщение посчитали полезным:

Между прочим! Пару недель назад только узнал, что SecuROM оказывается запрещено дизассемблировать и ломать! (Честное слово)
Правда чтоли???


| Сообщение посчитали полезным:

Взимание платы за игру категорически запрещаются.

| Сообщение посчитали полезным:

ELF_7719116 пишет:
Пару недель назад только узнал, что SecuROM оказывается запрещено дизассемблировать и ломать!
Это же соглашение игры, а не секурома, не? Овер 99% шаровар имеют подобное соглашение, запрещающее модификацию ПО.

-----
Array[Login..Logout] of Life

| Сообщение посчитали полезным:

ELF_7719116 пишет:
Между прочим! Пару недель назад только узнал, что SecuROM оказывается запрещено дизассемблировать и ломать! (Честное слово)
Правда чтоли???

Тебя это останавливает?

-----
aLL rIGHTS rEVERSED!

| Сообщение посчитали полезным:

Nightshade пишет:
Взимание платы за игру категорически запрещаются
ахаха! Фраза действительно выносящая
Kindly пишет:
Это же соглашение игры
RockStar просит не ломать секуром. Ага!
OnLyOnE пишет:
Тебя это останавливает?
Поеду в Австрию, извиняться перед Sony DADC AG. Может простят?!

Кому ещ интересно - за баг во 2й части есть еще одна ссылка http://www.zdnet.com/blog/hardware/securom-drm-sucks/3207. Пиндос взял лицензионный диск FarCry2, вставил в привод ноутбука Alienware M17 и ... секуром криво рассчитал интервал.
Еще смотрел SafeDisk 4.5, там, кстати, патчить еще проще было - функции проверки через дюжину переходов были от DeviceIoControl. Единственное, что в SolidShield'e 1 хрень какая-то была: в дровах время засекалось, а на ring3 циклический ReadFile.

| Сообщение посчитали полезным:

Дописывать/не дописывать?
Собсно начал потихоньку развивать SecuRom_Profiler 7 дальше. В принципе написать мощный инструмент для работы с самим секуромом и его VM(7.3x) не сложно. НО, в моем видении сегодняшний расклад сил таков, что сабж "загибается" (равно как и старфорс). К тому же, в новой 8й версии еще не видел VM (Brave videogame, PES 2013, Crysis 3).

ADD: Наблюдательные лица мне пишут, что в 8м секуроме (Brave videogame) есть VM(ere, wuts goin on`)! Ну конечно, как бы UD2 менял аппаратные точки останова. Там еще есть "FiSHy WiSHy"...
Так вот! На самом деле там огрызок виртуальной машины:

1. Нет CPUID, значит нет Хранилища №1.5. SecuRom_Profiler работает, но декодерованные адреса - туфта. Поэтому JMP EAX прыгает не на островки, а на статические инструкции, которые не относятся к общей логике работы VM(по факту - готовая пища).
2. Сам первые островок находиться в секции, а не в выделенной памяти.

| Сообщение посчитали полезным:

*******************************************
* АНЕКДОТ ОТ БЛАУКОВИЧА ПРО УЛИТКУ *
*******************************************
РЕАЛЬНАЯ ASCIIZ-СТРОКА В BRAVE VIDEOGAME ПО АДРЕСУ 0x208E1410
Кстати, в SecuROM теперь стали поставляться анекдоты. Глядишь, следующая 9 версия будет позиционироваться как журнал "Вокруг смеха".

Оригинальный текст(в скобках исправленное слово):
A snail walks into a bar and the barman tells him theres (there's).a strict policy about having snails in the bar and so kicks him out. A year later the same snail re-enters the bar and asks the barman,.'What did you do that for?'.)
Правильный перевод:
Улитка заходит в бар, но бармен заявляет: «У нас строгая политика в отношении улиток!» — и ногой выпихивает ее на улицу. Через год улитка возвращается в бар и говорит бармену: «Да как ты посмел!?» )

Есть еще строка (чуть выше) пиарящая МТС: i'm an egg, can't move. Сut my life into pieces

| Сообщение посчитали полезным: sivorog

Так повелось, что после своего ДР, добавляю что-то новое в серию "Тибериумный реверсинг".
Настала очередь немного улучшить программу для работы с VM... Да! Это не совсем то, что хотел сделать, ибо мои возможности позволяют достать Sony DADC AG окончательно и ударить полноценным SecuROM unVirtualizer. Но это время, которого у меня мало, ну и, прежде всего хотелось услышать, что это реально нужно! Тем не менее, была сделана модернизация старого SecuRom_Profiler 7 v1.0, чтобы еще успешней бороться с новыми версиями VM. Для удобства, теперь новая программа называется кратко - SPR I (SecuROM ProfileR I). Несмотря на схожий интерфейс с SecuRom_Profiler 7 v1.0, внутри, это другой продукт.

Прежде всего, хочу сказать ОГРОМНОЕ спасибо:
- random. С его релизов и началось обновление и переписывание
- Archer. Ввиду нехватки времени его советы, на мои(иногда дурацкие) вопросы, оказались бесценны
- Nightshade. За некоторую полезную информацию по паше.длл
- mak. За Odd-even crypt алгоритм

Основные нововведения:


Качать в первом посте.
Справка будет чуть попозже.
На английском языке...подумаю еще(выпускать/не выпускать).
SecuRom_Profiler 7 v1.0 уходит на отдых.
Предложения и вопросы-принимаются.

| Сообщение посчитали полезным: zNob, Gideon Vi, CyberGod, random, v00doo, SReg, hello

Всем здравствуйте!
ELF_7719116, свирепствуйте над секурмом?!
Тем не менее, я никак не могу найти информацию по SecuROM PA (Product activation). Возможно ли ее обойти? Что проверяется защитой и как? ulock code, как я понял, завязан сложным крипто-алготитмом без обратного преобразования с request code и проверяется в виртуальной машине.
И переключение между "главными хранилищами" идет через стек (mov eax, FS:[4]... ), кодом в выделенной памяти?

| Сообщение посчитали полезным:

Ну что же, поделюсь что сам знаю на данный момент. Тибериумный реверсинг - Глава №3. SecuROM Product Activation
hello пишет:
Что проверяется защитой и как?
Кратко: Проверяется лицензия. Все что связано с лицензией, имеет в названии буквы DSS(например, для XP/2k3 папка C:\Documents and Settings\All Users\Application Data\DSS\Content Activation\). paul.dll вызывает две функции в целевом .exe, которые проверяют лицензию и ее опции. request code содержит привязку к машине, unlock содержит байты, которые могут накладывать ограничения по лицензии(триал, кол-во запусков). --> PDF на сайте секурома<--.
hello пишет:
ulock code, как я понял, завязан сложным крипто-алготитмом без обратного преобразования с request code и проверяется в виртуальной машине.
Во-первых, принципиально не завязан ничем. Так как, в сравнении с VM 7, в новой 8й, сама суть виртуализации скатилась в говно в сторону упрощения. SecuROM 8 VM теперь, по сути, прослойка между функциями, которая кидает между ними регистры CPU(и не забываем EFLAGS) и выполняет ключевые сравнения, т.е. к примеру имеем код под VM:

some_func и some_func_2 будут выглядеть как стандартные функции, с секуромвской обфускацией и стандартными фитчами, вроде проверки TF и целостности участков кода(защита от софтварных INT3)-VM не виртуализирует, а вызывает внешним вызовом из себя. TEST EAX, EAX будет проверяться внутри VM, для CMP EAX, [какой-то адрес] будет внешний вызов, как и для some_func/some_func_2. MOV [адрес], EAX будет в VM (к слову, это самая заезженная виртуализированная инструкция с секурома 7).
Во-вторых, как следствие первого, раскручивание проверки unlock code - это в наибольшей степени является задрачиваем IDA Pro и утилиты Hex-Rays. В переработанном виде виде С++ и не переработанной последней функции (там одна большая суб, разбитая на несколько операций):

Так к сведению: в секуроме есть свой некоторый аналог [b]printf, который помимо забивания всякой херни в зашифрованные OpenSSL строки

светит чем живет в данный момент секурон онлайн активация, т.е. макросы

таблицу:

и обозначения кодов возврата


п.с. Еще у меня получалось генерить невалдиную лицензию, тогда первая проверка возвращает 9 (License Verification Error), вместо 0x21 когда ее вообще у Вас нет! Serial, по-моему, не связан при генерац...
hello пишет:
И переключение между "главными хранилищами" идет через стек
Да, и копаете в правильном направлении.

| Сообщение посчитали полезным:

SPR I v1.2

ПЛАНОВЫЕ ОБНОВЛЕНИЯ


| Сообщение посчитали полезным: ajax, mak, v00doo, SReg, MarcElBichon, zNob, [Nomad], BAHEK, hello

Уважаемый, ELF_7719116 и остальные, кто причастен к ТР. Мое терпенье закончилось
Я и некоторые мои знакомые постоянно следят за этой темой, за Вашими постами, в надежде, что Вы наконец-то напишите фразу, как это было с секуромом: "Denuvo cracked". А все потому, что уже тошно и невыносимо читать "желтую прессу", которая пишет ахинею, в стиле:
Взято отсюда --> Link <--. Причем тут старфорс, я не понимаю, когда Denuvo - продукт бывших разработчиков SecuROM'а?! Адрес (Denuvo Software Solutions GmbH, Strubergasse 26 ,5020 Salzburg, Austria) тому подверждение. А с 3dm ВООБЩЕ непонятно, взломали ли они защиту или нет. Кто кому какие чемоданчики носит и что проплачивает Ubisoft. Кроме Вас, как единственного авторитетного источника на территории России(других я не знаю), как компетентного лица (глядя на грандиозные успехи со взломом секурома), больше никто не может ответить: можно ли взломать Denuvo? Действительно ли там все так сложно? Что за метод изменяющихся кодов? И не говорите, что Вы не знаете о чем я говорю, в теме "Чем упаковано", Вы правильно ответили: --> Link <--. Я молюсь, что не ошибся со своими выводами
Насколько позволяют мои знания, то предположу, что в этом денуво: после цепочки VirutalProtect вирутальная машина начинается и она до oep?!

ps: По запасному каналу, Вы не отвечаете. Поэтому я решил написать тут. Тем более, можете считать это официальным писмом к Вам от геймеров. Уверен, что под ним подпишется не один десяток человек. Прошу сильно меня не пинать за это.

| Сообщение посчитали полезным:

hello пишет:
3dm ВООБЩЕ непонятно, взломали ли они защиту или нет.
Они частично ее взломали и смогли запустить предварительно активированную игру, в обход проверки, но подделать саму активацию пока что не в состоянии.

| Сообщение посчитали полезным:

TryAga1n пишет:
смогли запустить предварительно активированную игру, в обход проверки, но подделать саму активацию пока что не в состоянии.
Активация, в смысле, Steam - Origin??? Или у денуво есть своя активация?

| Сообщение посчитали полезным:

Неофициальный ответ, на не менее, официальное Ваше письмо:
Уважаемое игровое сообщество, hello, леди и джентльмены, а также их родители, кто придумал это письмо и кто подписался под этим письмом и ребята, кто наблюдает за этим форумом (и ТР, в частности), ну и конечно казлы-разработчики старфорса (секурома, тагес сас)!
Прежде всего предупреждаю, что не надо писать подобные письма здесь, в этом топике - здесь, прежде всего, обсуждаются технические аспекты работы протекторов, а не хотелки геймеров, Ваши эмоции, и бред этих ПОПСОВЫХ "желтых пресс"!
ТЕПЕРЬ, собственно, по теме
hello пишет:
И не говорите, что Вы не знаете о чем я говорю, в теме "Чем упаковано", Вы правильно ответили: --> Link <--. Я молюсь, что не ошибся со своими выводами
За Lords of the Fallen, В ДЕЙСТВИТЕЛЬНОСТИ, я прочитал из той же попсовой "желтой прессы" (как Вы ее называете, с чем, впрочем, се непременно соглашусь), а отнюдь не дизассемблированием LordsOfFallen.exe. Вы немного ошиблись! Кстати, что ARCHANGEL по защите тоже был не в курсе.
hello пишет:
в надежде, что Вы наконец-то напишите фразу, как это было с секуромом: "Denuvo cracked"
Не напишу!!! По крайней мере, в обозримом будущем я не планирую заниматься Denuvo(денуво, ДЕРнуво, дануево). На это есть свои причины, одна из которых (долго не решался написать )... (начну издалека)... #22 пост вверху... Вы же понимаете, что всё нужно доводить до конца, тем более, когда сами спрашиваете постоянно за это(хотите все и сразу?)... если рубить, то наверняка... Специально для тех, у кого сердце радостно бьется при очередной русской победе... для тех, кто верит, что DRM-зло!... всем, кто борется/боролся с протекторами... в назидание и наставление... от коллектива сайта EXELAB.ru... ПОКА, ЧТО НЕОФИЦИАЛЬНО!!!нерабочий вариант(aka небольшая рекламка) ... --> SecuROM PAunlock page <-- ... ДА! это то, что Вы подумали! SecuROM PA online-activation... Но подробностей пока что не будет!
Единственное, что намекну: если ТАМ не работает, это не значит, что не работает вообще! ЕСЛИ Вам нужен unlock code или Вы желаете принять участие в тестировании, напишите сюда или мне в личку...

hello пишет:
А с 3dm ВООБЩЕ непонятно, взломали ли они защиту или нет.
hello пишет:
можно ли взломать Denuvo? Действительно ли там все так сложно? Что за метод изменяющихся кодов?
Уже не ждете ответа, после прочитанного Выше?! Тем не менее, несмотря на то, что второй (косвенный) удар для Denuvo (да, это бывшие разработчики SecuROM, которые сидят в том же городе, но по другому адресу)по факту, за нами, это не значит, что я не видел в отладчике этой защиты Тут Вы частично оказались правы!
ПРЕДУПРЕЖДАЮ сразу-суммарное время проведенное за «отладкой» какой-то фигни, якобы называемой LordsOfFallen составило не более получаса (~20 минут). Основные выводы я для себя сделал (вполне возможно, за этими словами кроется что-то страшное для горе-разрабов Denuvo). Посчитаю нужным озвучить скудную информацию для частичного «утоления Вашей жажды»:
Итак! A: Что мы имеем? Q: По большей части, для этого денуво больше подходит клеймо «SecuROM 9». Очевидно, разработчики правильно рассудили, что с новым названием есть шанс сгребсти с жадных копирастов больше бабла, т.к. секуром, по факту, они просрали (техническое поражение). Если отмести в сторону вагон вызовов WinAPI VirtualProtect, то имеем такой знакомый, теплый и родной анти-аттач на ntdll.DbgUiRemoteBreakIn, который ведет на ExitProcess и проапгрейженную конструктивно работу VM. Виртуальная машина представляет собой нечто между VM от SecuROM версии 8 и VM от SecuROM версии 7, с уклоном в сторону последнего (если Вы читали тех. вариант стати, поймете):

Похожесть: есть такая игрушка Blood Bowl: Legendary Edition («BB_LE.exe», SecuROM версии 7.42, VM ID-ere, wuts goin on`, addres - 0x3C92BC0 ), погуляйте по этой виртуальной машине, и представьте, что зона обменна данных будет привязана к стеку(а не отдельной структурой), регистры VM привязаны к регистрам самого CPU. Эт я к тому, если надумаете копаться в VM SecuROM 9 Denuvo.
Ломаемо ли все это? Более чем! Единственное, что не наблюдаю в текущем current researched range(deep) — привязка к машине (ака CPUID). Напрашивается вывод, секуромовцы реверснули старфорс и «переняли» метод оттуда (как ни странно, «желтая пресса», в лице плаугроундру, тут попала пальцем в небо, а может … и странно).
За 3dm могу, разве что, такой --> линкъ <-- дать. Там речь, вроде, шла о лоадере. И кстати, частично подтверждает мое предположение, что разрекламированная «неуязвимость» «танцует» возле cpuid(когда 3dm говорили, что им нужно протестить кряк на всех CPU).
hello пишет:
Активация, в смысле, Steam - Origin??
Steam точно. VM переплетена с вызовами из steam....dll (как и до этого режим работы виртуальной машины с вызовами всяких системных kernel32)

| Сообщение посчитали полезным: Gideon Vi, hello

ELF_7719116, а что там по поводу постоянного шифрования файлов на диске? Есть мысли, нахрена козе баян?

ELF_7719116 пишет:
SecuROM PA online-activation

да ладна?!

| Сообщение посчитали полезным:

https://support.securom.com/PAunlock/c=1000&exp_serial=1
а это что за анлок? и зачем тогда еще один если есть оффициальный

| Сообщение посчитали полезным:

reversecode пишет:
а это что за анлок? и зачем тогда еще один если есть оффициальный
дак этож наш, краклабовский™! к тому же в официальном надо вводить серийный номер, а чтобы его ввести надо зачем-то покупать лицензионный диск, что крайне неудобно.
реверскод, кстати, DES_warp. там же еще перестановки две после/перед OR вложенными циклами, их ведь тоже надо учесть? в оригинальном encrypt/decrypt их нет. а еще если в циклах OR на XOR поменять, то маска у конечного XOR всегда 0 будет и результат выходного буфера не измениться.
Gideon Vi пишет:
а что там по поводу постоянного шифрования файлов на диске? Есть мысли, нахрена козе баян?
в текущем range не видел, чтобы он открывал CreateFile, ReadFile... судя по всему, с файлами он начинает работать после OEP.

| Сообщение посчитали полезным:

раньше вроде были хуки createfile. И если файл из списка идем в контейнер секурома.

| Сообщение посчитали полезным: