CODEX UNVIRTUALIZE DENUVO/VMProtect


**************

В связи со стремительно развивающимися событиями, данный топик будет реформирован. Перечень тем, на которые ведется обсуждение:

░▒▓▓-SecuROM 7/8 common (VM research; disk-check bypass attack; find OEP & dumping; cumulative attack...)
░▒▓▓-- SPR I (profiles; updates)
░▒▓▓-Requests for generation SecuROM PA Unlock code (SecuROM PA Online-activation) WOW! Only on EXELAB.RU
░▒▓▓-Denuvo ("surface" questions)
░▒▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓

SPR I - Fight against the virtual machines (VM) of all SecuROM 7-8 versions (Подробности в 20, 23 посте.)


80_PA - SecuROM (PA) Online-Activation keygen! Holy shit!
[/url]
the list of programs (games), which can now be activated using 80_PA:
https://pastebin.com/EiMbV3YD or --> pastebin primary link <--

>>>>>>>> (!) Send me more games with SecuROM PA (!) >>>>>>>>>>>>

Denuvo Profiler (DProfiler)


------------
1.04.2012
Собственно я не сказал самого главного. SecuRom_Profiler 7 v1.0(SPR I) - часть большого зеленого пирога, под названием "ТИБЕРИУМНЫЙ РЕВЕРСИНГ" (статья опубликована в 159 номере ][. А позже, ещё одна итоговая статья - 199 ][), включает в себя собственно статью в журнале, ПОЛНУЮ техническую статью, материалы по SecuROM 7.33.0017, исходники X-кода и видео. Технический вариант статьи с приложениями можно брать отсюда:
▒Статья
▒Видео
▒Видео 2 (Продолжение)
▒Видео 3 (Окончательный разгром)
▒Видео 4 (В погоне за взломом DENUVO)
Имеет косвенное отношение к статье:
▒Видео косвенное

Хроники битвы при DENUVO 19.04.19
https://xakep.ru/2019/04/19/denuvo/

Message for the companies(etc) using this protection: we can buy SecuROM/DENUVO SDK & sources. Сontact me according to the personal message. Сonfidentiality is guaranteed!!! The bought files will be used for private research!

░░░░░░░░░░
См. также:
diff_trace

▓▓
615d_22.09.2013_EXELAB.rU.tgz - Sony DADC SecuROM vulnerability.zip
c177_01.02.2017_EXELAB.rU.tgz - PATENT DENUVO.pdf (притащил v00doo)


▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
80_PA new 2.0 hotfix (!!!). Official links (mirrors):
https://mega.nz/#!L6gGBYBK!Y9X-6LFBdow6a1_IBlDFbrS6PBF4RRz_n9kuSGiI0UM (или --> 80_PA_v2.0 keygen link <--)
--> Mirror #1 <--
--> Mirror #2 <--

▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
DENUVO Leak content
обращайтесь в личку - скину.

▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
Denuvo Profiler (DProfiler) - test version 0.3 "INSPIRE"
https://mega.nz/#!DLwExKya!kCyFXw1roY3MkFaTO56LJAd-amc2yXWVerV2ic38bgs (или --> DProfiler link <--)

| Сообщение посчитали полезным: yanus0, obfuskator, Vovan666, MasterSoft, slick, hlmadip, ClockMan, Nightshade, Dart Raiden, Bronco, BAHEK, SReg, [Nomad], DimitarSerg, verdizela, yagello, OnLyOnE, FrenFolio, daFix, VodoleY, gena-m, m0bscene, Gideon Vi, ff0h, zeppe1in, antipod, huckfuck, kioresk, aRiX, 4kusNick, Ara, d0wn, Smon, audiofeel, zNob, cypherpunk, zzzombie1989, MarcElBichon, v00doo, DenCoder, nick7, Haoose-GP, arnix, Qbik, serilo, s2003r, DICI BF, Kindly, PavelDAS, HandMill, VanHelsing, random, TrueLies, warezhunter_, denfil777, alx30721, omeh2003, asm-jaime, WildGoblin, mushr00m, Flippy1801, KOTwasya, r3n5m388, chegevara, Groul, dnv83, kassane, ==DJ==[ZLO], red0x, HAOSov, rootkid, DirtyHarry, MacTep, kurorolucifer, s0cpy, aire1, ReloadUGunz, tRuNKator, Cherbet, RmK-FreE, Pringell, IHateInventNicknames, go2crck, mak, Dimosz, Creckerhack, zd0x, Mustafa_Dev007, UnnyBolt, Isaev, Astap1516, Voices_of_the_BULG, EHS4N, SnakeByte, KOCMOC42, anarh1st47

Bronco Как вообще разобраться в этой drm? Я пытаюсь что-то сделать но как то не очень понятно.

| Сообщение посчитали полезным:

Astap1516 пишет:
снять обфускацию кода в bf1
Добрый день!
В bf1 обычный EA Origin был - снимается по аналогии с bf4, bf3 and etc: останов на OEP, дамп, исправление IAT, скорректировать EP в хидере (вместо jmp Core/ACtivation.dll поставить offset OEP в CrtMainEntry или как он там называется)
Astap1516 пишет:
я смог найти OEP и сделать дамп в динамике на OEP.
Дамп рабочий получился? Как Вы перехватывали управление в OEP (вызываете из Origin игрушку - origin.exe два раза процесс запустит - на втором заходе нужно попасть в Activation.dll, а уже из Activation.dll в сам bf1)?
Astap1516 пишет:
. Если надо готов скинуть exe'шник
В таком случае мин набор для запуска - корневая папка и подпадпка Core в которой activation.dll (чуть более 100 Мб навскидку). exe'шника два, кстати - x86 и x64.

Добавлено в ответ на след сообщение:
Дамп не рабочий я запустил игру и сделал дамп с помощью scylla в x64dbg (думаю что OEP правильный т.к. импорт определён корректно)
Соберите мин рабочий набор и закиньте в этот же архив дамп. Залейте на файлообменник и киньте ссылку.

| Сообщение посчитали полезным:

Дамп не рабочий я запустил игру и сделал дамп с помощью scylla в x64dbg (думаю что OEP правильный т.к. импорт определён корректно)

| Сообщение посчитали полезным:

Astap1516 пишет:
Как вообще разобраться в этой drm?
я хз знаю что такое дрм, в дуньке всё примитивно, их задача тупо выиграть время после релиза игры.
вм довольно прозрачная, за исключением логических и арифметических операций, которые гоняют через булевую матрицу. есть проблема только с покрытием кода, менеджер условий загажен обфускацией.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco А есть ли в дуньке какой то алгоритм по взлому/обходу. И второй вопрос bronco как ты взламывал денуво?

| Сообщение посчитали полезным:

Astap1516 пишет:
А есть ли в дуньке какой то алгоритм по взлому/обходу. И второй вопрос bronco как ты взламывал денуво?
так то я дуньку срезал полностью. но..
в статике оригинальный код игры не доступен, а от служебного нет толку, если лицуху не купил.
Ну так в чём тогда смысл отлома? вызвал такси, заплатил и не поехал?
у тим своя тема, они на хайпе своё имеют.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco Как понять что ты попал в вм денуво?

| Сообщение посчитали полезным:

Astap1516 пишет:
Как понять что ты попал в вм денуво?
так Activation.dll, после декрипта образа, сразу на неё передаёт управление. в свежей дуньке перестали прятать вмэнтрю.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Как найти переход на вмэнтрю? И как найти асм инструкции на декрипт образа? И как всё это примерно должно выглядеть.

| Сообщение посчитали полезным:

Astap1516 пишет:
Как понять что ты попал в вм денуво?
Astap1516 пишет:
Как найти переход на вмэнтрю?
Astap1516 пишет:
И как найти асм инструкции на декрипт образа?
Bronco пишет:
Ну так в чём тогда смысл отлома?
мой вопрос пока без ответа. не важно как приобрёл, но запустил_играешь, наиграешься_забудешь...

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Смысл в том чтобы понять алгоритм защиты или просто ради веселья


Добавлено
Так всё таки стоит ли переписывать код в новую секцию с подменой каких-то данных и 2 вопрос как выйти на OEP игр защищённой дунькой

| Сообщение посчитали полезным:

Можете сказать по каким параметрам (подробно) формируется hwid у дуньки

| Сообщение посчитали полезным:

Maykal пишет:
Можете сказать по каким параметрам (подробно) формируется hwid у дуньки
Этот вопрос уже эдак в 2016-17 году разобрали общими усилиями сообщества форума.
https://exelab.ru/f/action=vthread&forum=13&topic=19719&page=26 (26 страница)
https://exelab.ru/f/action=vthread&forum=13&topic=19719&page=27 (27 страница)


Скачайте Denuvo Profiler (DProfiler) для наглядности (карта HWID), прочитайте в статье про SECRET_DENUVO_DEBUG_BYTES

| Сообщение посчитали полезным:

Maykal пишет:
Можете сказать по каким параметрам (подробно) формируется hwid у дуньки
я не уверен что он ваще есть. в каждом стыренном теле под лицензию, свой набор привязок.сумарный результ которых ксорится уникальным паблик ключём для каждого тела.
одна привязка = 1 по жёванная инструкция, жуют в основном константы(imm) и динамик_поинтер(disp), реже статик указатели.
ну а к чему вяжется дунька давно расписано.
--------------
а у меня вопрос по Set a Thread Name. как правило таких тел, в коде апа, больше одного, но одно из них, после унпака, стабильно сыпет егоры на мёртвый айди потока, всё это фиксится, вот не понятно только чьё это и зачем..

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

я так понял Voksi разобрался со своими проблемами, взломал Windows 10 --> Link <-- и ищет легальную работу?

| Сообщение посчитали полезным:

Assassins.Creed.Origins.The.Curse.of.the.Pharaohs.Crack.Only.READNFO-CODEX | NFO
CODEX пишет:
Release Notes:

This is an experimental Proof of Concept release where the Denuvo DRM
and VMProtect have been removed completely from the main executable.
The main idea of this project was to verify whether Denuvo affects
CPU usage and overall performance of this game. We noticed faster
loading times but will leave the rest of the performance comparison
battle to others.

Here is a small tech summary of what has been done:

- VMProtect is fully removed (30 VM entry points)
- Denuvo is fully removed (104 VM entry points)
- All required PE directories are fully restored
(exports, imports, exceptions, TLS)
- Fixed around 500k absolute & relative code and data pointers

The team would like to send out special thanks to our hard working mate who is responsible for this huge project. This would not have been possible without you! You rock man!


dezmand07 пишет:
я так понял Voksi разобрался со своими проблемами, взломал Windows 10 --> Link <-- и ищет легальную работу?
Лучшие бы баг-челенджи выполнял. За это и бабки можно нормальные поднять и разработчики такое поощряют, а так он опять на бутылку присесть может.

| Сообщение посчитали полезным: ELF_7719116

DeZoMoR4iN пишет:
CODEX пишет:
Release Notes:
допилили инструмент

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

DeZoMoR4iN пишет:
Here is a small tech summary of what has been done:

- VMProtect is fully removed (30 VM entry points)
- Denuvo is fully removed (104 VM entry points)
- All required PE directories are fully restored
(exports, imports, exceptions, TLS)
- Fixed around 500k absolute & relative code and data pointers

They should have run while they had the chance.

Браво!!! И это реально EPIC WIN над VMProtect Soft и DENUVO Software Solution. Плюс у CODEX весь расклад проверки лицензии должен на руках быть.

Добавлено:
DeZoMoR4iN пишет:
Начало конца Денувы.
Да, с DENUVOй понятно - Рейнгард передирает VMProtect и юзает трюки с полиморфом/усложнением кода. Пожалуй, проблема в том, что похоронят авторов VMProtect рядом с Armadillo и остальными DRM/протами, которые лежат на свалке истории много лет - на virustotal добрый анон уже сливал анпакнутый файл с последним вмпрот 3.

| Сообщение посчитали полезным: DeZoMoR4iN

ELF_7719116 пишет:
Браво!!! И это реально EPIC WIN над VMProtect Soft и DENUVO Software Solution. Плюс у CODEX весь расклад проверки лицензии должен на руках быть.
Начало конца Денувы. Теперь только тулзу обновляй, да анпакай нажимая на кнопки. Хитрая стратегия заключалась в том, чтобы Блаукович предварительно раз 10 обновил Денуву, чтобы тулзу не пришлось переписывать с ноля.

| Сообщение посчитали полезным:

ELF_7719116 пишет:
это реально EPIC WIN над VMProtect Soft и DENUVO Software Solution
так то они уже давно намекали на это, названием своей функции DenuvoIsFinished

| Сообщение посчитали полезным:

DeZoMoR4iN, очень сомневаюсь, что существует какая-то мифическая "тулза", позволяющая ломать в два клика (если это был рофл, то он весьма неудачный). Уверен, что дохрена и еще тележка перелопачено ручками.

| Сообщение посчитали полезным: Bronco

DeZoMoR4iN пишет:
The team would like to send out special thanks to our hard working mate who is responsible for this huge project. This would not have been possible without you! You rock man!


Вечный почет этому дорогому человеку

--> Link <--

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным: DeZoMoR4iN, v00doo

Виновники торжества подтягиваются. Ждём Битвайса и можно резать торт.

| Сообщение посчитали полезным:

red0x пишет:
очень сомневаюсь, что существует какая-то мифическая "тулза", позволяющая ломать в два клика
--> vmprotect 3 trojan unvirtualize <-- - сэмпл автоматика разбирала, сам дамп не рабочий. Но явно близко до выпиливания вмпрота из малвары с последующим восстановлением исходного кода.

DENUVO 1-3 (VMProtect 2.06 - удалось установить точную версию) в теории и "ломается" за два/три клика. Под "ломается" подразумеваю построение зависимостей HWID от набора секретных DWORD, вшитых в файл лицензии Origin/Steam. В ранних версиях за OEP даже ехать не требуется. Допишите "trace analyser" (анализ хендлеров VM и трассировщик с подавлением защиты целостности VMProtect готов, количество VM не играет никакой роли) для Denuvo_Profiler и будет Вам счастье

| Сообщение посчитали полезным:

с изюминкой нфошка..
We noticed faster loading times but will leave the rest of the performance comparison battle to others.
но...как то по взрослому пипл в тесты погрузился. может чего и нароют.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
может чего и нароют
Это при условии, что будут правильно тестировать. Достаточно просто взять 8-и ядерный 9700K какой-нибудь и с каждым новым прогоном отключать по ядру. График времени кадра будет лучше и чем меньше ядер будет оставаться, тем сильнее будет разница. Можно ещё попробовать искусственно замедлить оперативную память, попробовать режимы DDR4-2666 к примеру с высокими задержками, высоким tRFC и низким tREFI. При этом игра и файл подкачки должны быть на разных SSD, чтобы исключить влияние дисковой подсистемы на скачки фреймтайма.

| Сообщение посчитали полезным:

Bronco пишет:
может чего и нароют
первый старт игры и правда стал в разы быстрее.
ещё вчера погонял часик экзешник с выпиленной дуней, особой разницы в производительности не заметил (можно сказать её вообще нет).
а настраивать память, тайминги, ядра и прочие факторы - больше для тестов, но не для конечного пользователя.

| Сообщение посчитали полезным:

dezmand07 пишет:
настраивать память, тайминги, ядра и прочие факторы - больше для тестов, но не для конечного пользователя
Не согласен. У многих 4-ядерные процессоры ещё с тех времён остались, медленная память и в лучшем случае GTX 1060. На слабых ПК разница будет более заметной. На процессорах с большим количеством ядер/потоков разница не такая очевидная.

| Сообщение посчитали полезным:

https://fitgirl-repacks.site/need-for-speed-heat-p2p-crack-is-actually-a-stolen-codex-one-and-why-its-bad/

мда...

| Сообщение посчитали полезным:

На сцене кто-то, что-то рипнул. Ну охуеть теперь. Никогда такого не было и вот опять

| Сообщение посчитали полезным: