CODEX UNVIRTUALIZE DENUVO/VMProtect


**************

В связи со стремительно развивающимися событиями, данный топик будет реформирован. Перечень тем, на которые ведется обсуждение:

░▒▓▓-SecuROM 7/8 common (VM research; disk-check bypass attack; find OEP & dumping; cumulative attack...)
░▒▓▓-- SPR I (profiles; updates)
░▒▓▓-Requests for generation SecuROM PA Unlock code (SecuROM PA Online-activation) WOW! Only on EXELAB.RU
░▒▓▓-Denuvo ("surface" questions)
░▒▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓

SPR I - Fight against the virtual machines (VM) of all SecuROM 7-8 versions (Подробности в 20, 23 посте.)


80_PA - SecuROM (PA) Online-Activation keygen! Holy shit!
[/url]
the list of programs (games), which can now be activated using 80_PA:
https://pastebin.com/EiMbV3YD or --> pastebin primary link <--

>>>>>>>> (!) Send me more games with SecuROM PA (!) >>>>>>>>>>>>

Denuvo Profiler (DProfiler)


------------
1.04.2012
Собственно я не сказал самого главного. SecuRom_Profiler 7 v1.0(SPR I) - часть большого зеленого пирога, под названием "ТИБЕРИУМНЫЙ РЕВЕРСИНГ" (статья опубликована в 159 номере ][. А позже, ещё одна итоговая статья - 199 ][), включает в себя собственно статью в журнале, ПОЛНУЮ техническую статью, материалы по SecuROM 7.33.0017, исходники X-кода и видео. Технический вариант статьи с приложениями можно брать отсюда:
▒Статья
▒Видео
▒Видео 2 (Продолжение)
▒Видео 3 (Окончательный разгром)
▒Видео 4 (В погоне за взломом DENUVO)
Имеет косвенное отношение к статье:
▒Видео косвенное

Хроники битвы при DENUVO 19.04.19
https://xakep.ru/2019/04/19/denuvo/

Message for the companies(etc) using this protection: we can buy SecuROM/DENUVO SDK & sources. Сontact me according to the personal message. Сonfidentiality is guaranteed!!! The bought files will be used for private research!

░░░░░░░░░░
См. также:
diff_trace

▓▓
615d_22.09.2013_EXELAB.rU.tgz - Sony DADC SecuROM vulnerability.zip
c177_01.02.2017_EXELAB.rU.tgz - PATENT DENUVO.pdf (притащил v00doo)


▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
80_PA new 2.0 hotfix (!!!). Official links (mirrors):
https://mega.nz/#!L6gGBYBK!Y9X-6LFBdow6a1_IBlDFbrS6PBF4RRz_n9kuSGiI0UM (или --> 80_PA_v2.0 keygen link <--)
--> Mirror #1 <--
--> Mirror #2 <--

▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
DENUVO Leak content
обращайтесь в личку - скину.

▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
Denuvo Profiler (DProfiler) - test version 0.3 "INSPIRE"
https://mega.nz/#!DLwExKya!kCyFXw1roY3MkFaTO56LJAd-amc2yXWVerV2ic38bgs (или --> DProfiler link <--)

| Сообщение посчитали полезным: yanus0, obfuskator, Vovan666, MasterSoft, slick, hlmadip, ClockMan, Nightshade, Dart Raiden, Bronco, BAHEK, SReg, [Nomad], DimitarSerg, verdizela, yagello, OnLyOnE, FrenFolio, daFix, VodoleY, gena-m, m0bscene, Gideon Vi, ff0h, zeppe1in, antipod, huckfuck, kioresk, aRiX, 4kusNick, Ara, d0wn, Smon, audiofeel, zNob, cypherpunk, zzzombie1989, MarcElBichon, v00doo, DenCoder, nick7, Haoose-GP, arnix, Qbik, serilo, s2003r, DICI BF, Kindly, PavelDAS, HandMill, VanHelsing, random, TrueLies, warezhunter_, denfil777, alx30721, omeh2003, asm-jaime, WildGoblin, mushr00m, Flippy1801, KOTwasya, r3n5m388, chegevara, Groul, dnv83, kassane, ==DJ==[ZLO], red0x, HAOSov, rootkid, DirtyHarry, MacTep, kurorolucifer, s0cpy, aire1, ReloadUGunz, tRuNKator, Cherbet, RmK-FreE, Pringell, IHateInventNicknames, go2crck, mak, Dimosz, Creckerhack, zd0x, Mustafa_Dev007, UnnyBolt, Isaev, Astap1516, Voices_of_the_BULG, EHS4N, SnakeByte, KOCMOC42, anarh1st47

difexacaw пишет:
Для тестов, какой то девирт выполнять и в мыслях небыло

ну ясно-понятно, че. Сам без корабля, но и вы все не туда и не так плывете. Инде во всей красе.

Bronco пишет:
искренне говоря я не вижу аналогий с той личностью

хз, Инде и в Африке Инде. "Вы не так за антилопами бегаете! Нет, я не покажу, как.".

| Сообщение посчитали полезным: WildGoblin

Zveropolis пишет:
"да чего там ломать, кури мануалы релоадед и всё само анпакнется!"
А нахер обсуждать на паблик версию прота 15 летней давности ? Для этого есть жаббер, ася и скуп.Но с такими даунами, как ты, никто инфой делиться уж точно не будетЧествуй репукеров, которые умудряются откесарить и обрезать дистрибы игорей до такой степени, что вставляют свое говнолого вместо оригинальных заставок.В хаке это называется дефейсом, самым паскудным способом заявить о себе, но стоит учесть, что репукеры - это вообще не круцкеры,а архиваторы в мясной оболочке.При том, что архиваторы херовые.Было дело, что качнул мафию3 и выяснялось, что говноинсталлеру, собранному репукером, было мало 16 гигов и он выдавал сбщ. о нехватке оперативы.Я сидел в шоке.Пальнул константу инносетапа и запатчил место проверки.Руки только оторвать за такие сборки стоит.И еще, "чувак".Настоящие профи не понтуются и не выплевывают плоды своего труда направо и налево.Это чистой воды позерство для того, чтобы набрать классы.Твои же сруны эмулят стимапи, что в сущности не отличает такой "кряк" от кракед стима.А ежели сам ты не в состоянии поддерживать нормального разработчика или даже в этом случае принципиальный мудак, то это неизлечимо.Дрочи тогда сиди на спижженый из магазина камень.Через годик-другой продашь почку и купишь серверный 10-ядерник Но, справедливости ради, денуво так никто и не откупорил.

От модератора: Полегче. Без переходов на личности

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

Вот по сути дела говоря я могу сказать что правых в этом топе один чел. И это эльф. Кроме него здесь никто дельного от начала и до конца ничего не выложил. Да не спорю чтиво интересное, но имея минимум времени на всё это оно не несет никакой сути вообще. Это бесполезные летописания во истину денувы и не более. И да разобрать денуву ни кто не хочет, а не может. Это просто не кому не надо, до тех пор пока она жизнь людям не начнет осложнять. Хотелось бы конечно увидеть разбор этого говна в виде статьи по типу эльфа от начала и до конца, но видимо кроме листингов кода мы тут ничего не увидим не от кого. Я не пишу в личку за не имением времени посмотреть и по ообщаться и послушать до чего дошли, однако я не думаю что ребята дураки. Так что по сути чего вы к ним привязались то. Ну нравиться им так общаться обрывками фраз ну пускай. Я думаю в личкке там все дополняется. Может быть это расследование все таки к чему то приведет. Например к статейке как у эльфа в виде некролога денувы(блу).

| Сообщение посчитали полезным: DenCoder, Zveropolis, kampaster

rus935 пишет:
от начала и до конца ничего не выложил
Смешно и грустно подобное читать. Вам лень, времени нет, желания так же, но на блюдечке выложи.
Выложили, оказывается не то, оказывается всё сложно и до сих не понятно, и даже не разложено.
Топ с 2012 по май 2016 имел всего около 13000 просмотров, и 12 страниц. Обсуждений так же не было.
Дружно хлопали в ладошки, на очередные пафосные спитчи ТС.
Парни вы форум не попутали?
Тс лично мне 3 месяца катал по ушам, не слазя с Убунты, что он там что -то реверсит, а перед выпуском материала, тупо закрыл топ. Кто чем дышит выводы сделаны.
До призрака3 мы имели 2 защиты разных разработчиков, если лицензирование можно назвать защитой.
Отсюда 2 антидампа, 2 набора зависимостей и тд. По вмпротекту х64 кто-то продвинулся дальше?
Ограничения в х64 по работе приложений со стеком, дали возможность понять логику и вносить в неё изменения, для подмены данных необходимых лицензии. Имея только отладчик, с багнутым и не доделанным скриптовым движком, хексредактор и калькулятор, лично я, в одиночку, большего чем эмуляция среды, предлагать не планирую. Тем более покупая, делать их доступными паблику.
О риске связанным с таким решением было распространено по сарафанному радио сразу.
У спай есть инструмент, который позволяет забрать статические ключи и комплексные выражения высоко уровневого кода. И они приняли правильное решение, которое никто и не повторит, не имея инструмента.
Вокруг сабжа не здоровая атмосфера и множество конфликтов интересов, и 2 года всех всё устраивало.
А сейчас куча претензий, есть такие что и с наездами, в топ нахлынули жидокошели.
Парни может перестанете дрочить на мою аву и тексты, а купите игру, загрузите её в отладчик, и в топе появиться хотя бы сравнительный анализ, и предметный диалог?

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным: pentest, HAOSov, oldman, Qbik, mak, v00doo, rus935, Haoose-GP

Итак, мастера слова.

На форуме есть раздел "Дневники и блоги".
https://exelab.ru/f/action=vtopic&forum=12
Если вам есть, что сказать по теме защиты SecuROM & DENUVO, то создаёте в разделе "Дневники и блоги" свой личный блог, в котором и делитесь своими наработками, полноценно раскрывая тему защиты DENUVO. Если сочтёте свои исследования достаточно зрелыми, то пишите модератору, чтобы добавить ссылку на ваши исследования в шапку.

Данная тема, которая так манит словоблудов, временно (?) закрыта.



-----
EnJoy!

| Сообщение посчитали полезным: v00doo, shellstorm

Прошла неделя.
Слово предоставляется автору, ELF_7719116.

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter
слишком уж официально

Дорогие друзья! В честь своего Дня Р (прошедшего пару дней назад), по доброй традиции, выкладываю некоторые материалы для «Тибериумного реверсинга». Ни для кого не секрет, что в настоящий момент Denuvo является главной реверс-темой. Поэтому я решил представить "в паб" Denuvo Profiler (DProfiler) - маленький инструмент (всего навсего тестовая альфа версия), предоставляющий базовые принципы работы с Denuvo (в редакции VMProtect 2.x - старые и не очень версии). DProfiler - эволюционное продолжение SPR_I (SecuROM_Profiler). ДА, программа НЕ является чем-то грандиозным и важным; ДА, там полно ошибок и недочетов; ДА, я серьезно урезал функционал паблик версии; ДА, работы ещё очень и очень много. Т.е. это попытка навести порядок, стандартизировать, облегчить обмен данными и ввести минимальный уровень понимания принципов работы защиты для всех желающих в этом разобраться. В дальнейшем, если всех всё устроит, DProfiler будет потихоньку доводиться до ума.
Касаемо информации о внутренних потрохах денувки, то для меня очевидно, что усилиями здешней общественности материала накопилось уже на целую статью (т.е. пришло время систематизировать и обобщать информацию). Дополнительно, от меня существует вариант забацать видео о подделке данных HWID для генерации лицензии для своих друзей (подружек) в обрыгине, имея у себя аккурант с купленой игрой (проапгрейженный вариант оффлайн-активации) - впрочем, там уж всё настолько банально, что заставляет капитана-очевидность впасть в депрессию.
Сообщить что-то ещё... могу разве что промычать в поддержку предыдущих постов от остальных - существует rand_matrix в стеке, и, подозрение на три функи работы с ней - InitMatrix (инициализируем rand-матрицу используя собранные данные условного HWID), TransformMatrix (из rand-матрицы в смещения) и ReleaseMatrix (применяем полученные смещения).


| Сообщение посчитали полезным: mkdev, dixen18, Haoose-GP, SER[G]ANT, red0x, zNob, ClockMan, rus935, ==DJ==[ZLO], HAOSov, IllusiveMan, Nospamwss, ExPlayer, BAHEK, DICI BF

rus935 пишет:
Я так понимаю протест по поводу этого топа уже сформировался
Всё приватно_социальное на паблик, таков принцип?
У меня другой, и я интриги не плету.
rus935 пишет:
Раз обсуждения творения нету
у творения есть автор, уверен что с нетерпением ждёт этого самого обсуждения.
Так что маэстро, не мой выход.
rus935 пишет:
нА СёМ Откланиюсь и забью на это тему навсегда
ну это уже детский сад.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
ну это уже детский сад.

Детский сад это система общения и модерации здесь, она не несет никого смысла. И ни какой пользы. Одни приват не раскрывают и общаются обрывками фраз, другие трут всё подряд. Третьи Короли считающие себя умнее всех. Ну чо ту делать то? Я много раз говорил что мне общение в личке и глубокое погружение время не позволяет. Так что пусто все это. Найду время пообщаемся, но не здесь видимо.

| Сообщение посчитали полезным: difexacaw

rus935 пишет:
система общения и модерации здесь, она не несет никого смысла
правила форума при регистрации, прописаны не для того чтобы их нарушать.
за исключением одного выскочки, здесь очень приличный состав опытных и адекватных модераторов.
rus935 пишет:
Я много раз говорил что мне общение в личке и глубокое погружение время не позволяет
классика жанра из библейских рассказов. а бревно то и не мешает смотреть..))
конкретика по теме топа будет, или только критики социального поведения?

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

оффтоп
difexacaw пишет: Унылое говно эти ваши правила

Без правил будет еще хуже, отсутствие правил допустимо для узкого круга участников, а если число участников превышает полтора землекопа наступит анархия, бесконечные выяснения, пространные треды о денуве или еще каком нибудь рандомном гуане и все это будет перманентно, пока ресурс не загнется или не появится адекватная модерация. Далеко не все люди сознательные, не все знаю меру и не все способны остановиться, большинство же, эгоистичные, самовлюбленные, надменные индивидуумы, и подобных останавливают лишь анальные кары в виде бана, пусть несерьезное, но все же наказание, тот самый стоп сигнал и мера.
Выше летели камни в модератора, но неистово плюсую за закрытие флудотреда.

| Сообщение посчитали полезным:

shellstorm

Не согласен. Должны быть адекватные модеры, тогда правила не нужны. Их принципиально невозможно запилить, учесть все нюансы. Я это знаю на опыте, не одного ресурса, где это не просто так от балды писалось, а аналитически долгое время прорабатывалось, учитывались все возможные нюансы. Тем не менее это всё оказалось бесполезно, а причина тому - люди не роботы.

-----
vx

| Сообщение посчитали полезным: rus935

Подскажите, пожалуйста, кто ковырял и знаком с защитой не понаслышке, что SecuROM хранит по файловым смещениям 000087BC-000087FF образа (в секторе 16 диска). Что-то по типу StarForce Keyless? Хотелось бы прояснить этот момент. Спасибо.

| Сообщение посчитали полезным:

Спасибо за этот проект
Вы можете добавить bone:out from boneville?
Реквизит-код разблокировки: BRJN2-4NUUC-WMK84-K53SG-72ZTG-SKTBY-M7TK8-BL6YG-F5U2
Pa: 01
Crc 4 md5: 2581A62656C1
exe for origional game
Это единственный exe в папке с игрой

| Сообщение посчитали полезным:

Новая Denuvo уже релизнута. Ее вчера добавили в Андромеду патчем. Кстати, оффлайн активация теперь не работает (она работает, но лимит активации теперь 2), информация прямо с рук самого активатора. Лазейку CPY также прикрыли.

| Сообщение посчитали полезным:

aire1 пишет:
Новая Denuvo уже релизнута
Доброе утро. Она еще в феврале появилась на SGW3 Beta, и в марте еще на нескольких играх (NieR, DR4 и т.д.).
aire1 пишет:
но лимит активации теперь 2
Три, а не две. Но это только в Origin, и вряд ли это имеет отношение к самое денуве. Скорее всего это ограничение Origin.
aire1 пишет:
Лазейку CPY также прикрыли
Что ты имеешь в виду? Их решение для старой версии виртуальной машины все еще работает. Понятное дело что для новой нужно писать новые инструменты для разбора. Написали ли CPY их уже или нет, нам не известно.

| Сообщение посчитали полезным: aire1

Haoose-GP пишет:
Доброе утро. Она еще в феврале появилась на SGW3 Beta, и в марте еще на нескольких играх (NieR, DR4 и т.д.).
А, я думал там уже эта самая "Denuvo 2", которая должна в конце апреля быть релизнута.

Haoose-GP пишет:
Три, а не две. Но это только в Origin, и вряд ли это имеет отношение к самое денуве. Скорее всего это ограничение Origin.
Да, ошибся, сорри. Я только что уточнил, оказывается EA просто изменили принцип работы ActivationUI

| Сообщение посчитали полезным:

too87264
Hello!
. Действительно ли в папке больше нет никаких файлов?? Возможно есть другие папки с paul.dll и другими библиотеками (Whether really in the folder there are no files any more? It is possible to eat other folders with paul.dll and other libraries). Скиньте больше информации. Как полностью называется игра?
Кстати, такая же ерунда с SamMax201.exe (извиняюсь, не сохранил месседж, кто-то скидывал Sam & Max)
aire1 пишет:
EA просто изменили принцип работы ActivationUI
По-моему принцип работы ActivationUI, который работает, кстати, через жопу (/SMOID = filemapping_handle, чтение-запись в цикле, поксоренные данные с боянистой константой) - не менялся довольно давно. И он нужен только самом на начальном этапе в качестве анпакера своего же файла, а потом отваливается от ексешника вместе с обрыгином за несколько кликов. Кол-во активаций сервером должно регулируроваться.
DirtyHarry пишет:
что SecuROM хранит по файловым смещениям 000087BC-000087FF образа (в секторе 16 диска).
Я лично не копался по типам данным. Причём наверняка старые версии SecuROM по диск-чекингу отличаются от линейки 7.x-8x. Чес говоря, не совсем понимаю, зачем Вам эта информация, когда можно просто несколько ключевых развязок запатчить: начиная от AND EAX,0000001F, CMP AL,1F ... до

и чекать абсолютно любой компакт-диск (см. Sony DADC SecuROM vulnerability.zip вверху)

| Сообщение посчитали полезным:

ELF_7719116 пишет:
Кол-во активаций сервером должно регулируроваться.
Ну это естественно. Просто раньше как было? Сначала шел запрос на сервера Denuvo, и только после этого ActivationUI лез в интернет за инфой о кол-ве активаций. И конечно это было довольно просто обойти, в простых случаях просто блокируешь ему доступ в интернет, а в более сложных делаешь это в определенный промежуток времени. Теперь же они это прошарили и сделали так, чтобы сначала ActivationUI лез в интернет за инфой, а уже после этого лезла в интернет Denuvo. И уже если он одобрит, то Denuvo полезет за активацией. Фактически это делает его обход невозможным. Хотя, всякое бывает. Может и тут активаторы найдут брешь.

| Сообщение посчитали полезным:

ELF_7719116
Я плохо разбираюсь в assembly
Больше нет (exe dll ...) файлов, но есть файлы, специфичные для игрыv (no paul.dll)
bone: out from boneville (the game)

| Сообщение посчитали полезным: ELF_7719116

***************************************
80_PA update #7 (Telltale edition)
***************************************
☠ version 1.3.1 ☠

Так сошлось, что два разных человека прислали разные игрушки от Telltale Games, продуктов которой в 80_PA ещё не было. Эта компания так-же использовала SecuROM PA, но немного не так - API из paul.dll вшита в exe'шник (внешняя dll-ка игнорится), а интерфейс активации переваривается с помощью встроенного браузера.

[!] Key kits из 80_PA DE (special release, DENUVO leak content) теперь перешли в официальный билд 80_PA. Начиная с этой версии (v.1.3.1) будут находиться там.
[*] Добавлены новые наборы:

thx mysterio
thx too87264

↑↑↑ по дефолту, ссылки на скачивание в первом посте (direct download links in first post) ↑↑↑

| Сообщение посчитали полезным: VanHelsing, DICI BF, zNob, too87264, HandMill, mak, SReg, ==DJ==[ZLO]

Тем временем CPY нагнули и 4ую версию Denuvo.
2Dark-CPY
- Game is updated to the latest version
- Little side note about Denuvo versioning. Since there is no official versioning inside Denuvo protected files (or at least we never found a trace of it, shame on us) we decided to label this new iteration as version 4 since it's the fourth time we have to change things approaching this protection. So, per this logic:

v1 = Lords of the Fallen/Fifa 15/...
v2 = Mad Max/Just Cause 3/Metal Gear Solid V/...
v3 = Resident Evil 7/Battlefiled 1/Watch Dogs 2/...
v4 = 2Dark/Nier Automata/Dead Rising 4/...

This is not official nor techinically correct but we like some order, hence this little FYI. Enjoy.

| Сообщение посчитали полезным:

Это в 2Dark была 4-я версия??? Мда быстро они

| Сообщение посчитали полезным:

Nospamwss
Видимо так и есть. Но говорить о чем-либо пока рано. Нагнули лишь 86 платформу. На 64 уйдет не мало времени, я думаю.

| Сообщение посчитали полезным:

ELF_7719116
Сообщения не получал ? Пишу-пишу, как раз 2 и отправил с плюшками - ответа почти неделю нет - ничего не случилось ? Санта переживает, да и "подарков" накопилась самая малость - разнести бы.

-----
Don_t hate the cracker - hate the code.

| Сообщение посчитали полезным: ELF_7719116

Nospamwss пишет:
Это в 2Dark была 4-я версия??? Мда быстро они

TRD77 пишет:
Видимо так и есть. Но говорить о чем-либо пока рано. Нагнули лишь 86 платформу. На 64 уйдет не мало времени, я думаю.

Они ничего не ломали лол.Все тот же говноэмулятор стимапи, который кодится на коленке менее, чем за час под любую игру, юзающую стимапи.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

unknownproject пишет:
Они ничего не ломали лол.Все тот же говноэмулятор стимапи, который кодится на коленке менее, чем за час под любую игру, юзающую стимапи.
Тем не менее, те же Reloaded или Codex и этого не могут сделать.
А вообще странно то, что денуву ломают/обходят лишь одни CPY.

| Сообщение посчитали полезным:

unknownproject пишет:
Они ничего не ломали лол.Все тот же говноэмулятор стимапи, который кодится на коленке менее, чем за час под любую игру, юзающую стимапи.
В таком случае почему к играм с Denuvo не подходят любые другие эмуляторы Steam?
UPD: Точнее они подходят, но для функционирования требуется уже готовый файл лицензии с данного компа.

TRD77 пишет:
Тем не менее, те же Reloaded или Codex и этого не могут сделать.
Потому что "и этого" недостаточно.

| Сообщение посчитали полезным: aire1

unknownproject, ну так релизни что-нибудь.

| Сообщение посчитали полезным: aire1, zNob

О как интересно денува уже за счет апи стима ломается, Весело ЖДу продолжения. а то малоли чел лицензирование вдоль и поперек разобрал

| Сообщение посчитали полезным: