2.05

[+] Many bugs have been fixed.
[+] JSON output in console version.
[+] No UPX build for Windows version

Full changelog: --> Link <--
How to build DiE from sources: --> Link <--

Download: --> Link <--



-----
http://ntinfo.biz

| Сообщение посчитали полезным: yashechka, hypn0, mak, RevCred, VOLKOFF, TRPD, HandMill, MarcElBichon, Bronco, BlackCode, -=AkaBOSS=-, sendersu, sefkrd, Autokent, mushr00m, =TS=, ==DJ==[ZLO], Isaev, ibmCORE, apslash, darkBLACK, Crawler, ELF_7719116, ADMIN-CRACK, Adler, Bad_guy

ajax пишет:
hors RVA неплохо бы показывать еще для исполняемых файлов

Кнопка "FLC" на главном интерфейсе

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

hors "не будет ли любезен..." сделать хелп все-таки?

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

ajax пишет:
hors "не будет ли любезен..." сделать хелп все-таки?


Возможно и сделаю.

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

hors
стоп. это копирую один оффсет из криптосерчера, закрываю окно, вызываю FLC, и так мудохаюсь для каждого оффсета, чтоб в дебаггере дизасме переходить на него?

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

ajax пишет:

hors
стоп. это копирую один оффсет из криптосерчера, закрываю окно, вызываю FLC, и так мудохаюсь для каждого оффсета, чтоб в дебаггере дизасме переходить на него?

В криптосерчере вызываешь правой кнопкой контекстное меню, выбираешь "hex" и сразу переходишь куда надо.

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

не рационально, имхо. 3-е поле с копированием либо его, либо так же по правой кнопке в меню вертикальном еще 1 значение
дизасм имел ввиду сторонний

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

ajax пишет:
не рационально, имхо. 3-е поле с копированием либо его, либо так же по правой кнопке в меню вертикальном еще 1 значение

Что-нибудь придумаю.

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

PeStubOEP by GPcH добавте в детект)

| Сообщение посчитали полезным:

SDK пишет:
PeStubOEP by GPcH
Ну если уж древнее зло вспоминать, тогда еще [G!X]'s Protector by Guru.eXe, Fake Ninja by Spirit и Hide PE by Bad_guy

| Сообщение посчитали полезным: SDK

[G!X]'s Protector Fake Ninja Hide PE уже в базе))

| Сообщение посчитали полезным:

hors
http://fileformats.archiveteam.org/wiki/LZ4

2ec2_04.10.2018_EXELAB.rU.tgz - LZ4.1.sg

| Сообщение посчитали полезным: hors

Detect It Easy 2.01

[+] New icons and images(Thanks Metabolic).
[+] New scan options "Set column size to contents"
[+] New signatures.
[+] New script's functions:
- bool isExportPresent()
- bool isTLSPresent()
- bool isImportPresent()
- bool isResourcePresent()
- bool isExportFunctionPresent(QString sFunctionName)
- bool isExportFunctionPresentExp(QString sFunctionName)
[+] Donate page in About dialog.
[+] Many bugs have been fixed.

Download DIE ver. 2.01 (Mac OS X, DMG)
Download DIE ver. 2.01 (Mac OS X, ZIP)
Download DIE ver. 2.01 (Windows)
Download DIE ver. 2.01 (Linux Ubuntu 64-bit(x64))

-----
http://ntinfo.biz

| Сообщение посчитали полезным: ClockMan, daFix, plutos, BlackCode, HandMill, 4kusNick, mak, mushr00m, TerminatorX

Отличная тулза...но когда вы с интерфейсом под Win 10 разберетесь?



| Сообщение посчитали полезным: HandMill, hors

BlackCode пишет:
Отличная тулза...но когда вы с интерфейсом под Win 10 разберетесь?

Спасибо за тестирование. Но насколько я понимаю, тут проблема не только и не сколько с Win10, а с большим расширением монитора(4K).

Не могли бы Вы протестировать следующее решение этой проблемы?
https://github.com/horsicq/Detect-It-Easy/issues/32

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

hors пишет:
Спасибо за тестирование. Но насколько я понимаю, тут проблема не только и не сколько с Win10, а с большим расширением монитора(4K).
Вы правы, 4к монитор. Сделал как было написано по вашей ссылке



Установил для stuff\die.exe параметры для DiE все заработало как надо.
Вопрос на будущее, можно сделать так, чтобы не исполнять "танец с бубном" для того чтобы интерфейс программы стал адекватным на Win 10 + 4к?
Чтобы интерфейс был адаптивным. Если это возможно)

| Сообщение посчитали полезным:

hors
Когда регистрируешь для ПКМ, добавь ключ Icon для показа иконки приложения
REG_SZ, Icon, %dir%\die.exe, 0

-----
xchg dword [eax], eax

| Сообщение посчитали полезным: d745150, hors

.exe, созданный в среде "CA-Visual Objects application v2.0 -2.8" (определён через ExeinfoPE). В DiE и Nauz определяется как Unknown

http://rgho.st/private/6VbhTDflR/84eb3ad8a15f719d91f8f57d9f8a0b5c

| Сообщение посчитали полезным: hors

void пишет:
hors
Когда регистрируешь для ПКМ, добавь ключ Icon для показа иконки приложения
REG_SZ, Icon, %dir%\die.exe, 0

Спасибо за идею.

Slinger пишет:
.exe, созданный в среде "CA-Visual Objects application v2.0 -2.8" (определён через ExeinfoPE). В DiE и Nauz определяется как Unknown


Спасибо за файл.

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

версия 2.01 не определяет консольную x64 битку скомпиленную Free Pascal 3.0.5 (компилю Lazarus'ом).
В аттаче семпл.

f362_17.02.2019_EXELAB.rU.tgz - project1.exe

| Сообщение посчитали полезным: hors

mushr00m пишет:
версия 2.01 не определяет консольную x64 битку скомпиленную Free Pascal 3.0.5 (компилю Lazarus'ом).
В аттаче семпл.

f362_17.02.2019_EXELAB.rU.tgz - project1.exe

Спасибо за файл.

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

Detect It Easy 2.02

[+] Qt 5.6.3
[+] Qwt 6.1.4
[+] New scanning method: YARA
[+] New detects
[+] Many bugs have been fixed

Download DIE ver. 2.02 (Mac OS X, DMG)
Download DIE ver. 2.02 (Mac OS X, ZIP)
Download DIE ver. 2.02 (Windows)
Download DIE ver. 2.02 (Linux Ubuntu 64-bit(x64))

-----
http://ntinfo.biz

| Сообщение посчитали полезным: sefkrd, plutos, DimitarSerg, SReg, CyberGod, TRPD, HandMill, MarcElBichon, DenCoder, v00doo, mushr00m

хотел было глянуть 2.0.2, но увы

cbf5_23.02.2019_EXELAB.rU.tgz - die_.png

| Сообщение посчитали полезным: hors

mushr00m пишет:
хотел было глянуть 2.0.2, но увы

cbf5_23.02.2019_EXELAB.rU.tgz - die_.png


Спасибо за тестирование. Какая у тебя операционная система?

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

hors, добавь, пожалуйста, определение протектора (Guardant Stealth aka Novex Dongle). Вот файл:--> Link <--

| Сообщение посчитали полезным: hors

hors пишет:
Какая у тебя операционная система?
7 x64 rus

| Сообщение посчитали полезным:

SyntaX пишет:
hors, добавь, пожалуйста, определение протектора (Guardant Stealth aka Novex Dongle). Вот файл:--> Link <--

Спасибо за файл!

mushr00m пишет:
hors пишет:
Какая у тебя операционная система?
7 x64 rus

base/plugins/platforms/qwindows.dll Присутствует в папке?

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

hors
А чего дропнул поддержку ХР ? Верни пожалуйста

Люди делают патчи/фиксы, процитирую сообщение от своего друга и коллеги:

"Полностью дропнули поддержку XP. Мало того, что в заголовке система выше, так ещё и зависимость от bcrypt.

Зависимость идёт от libcrypto-3.dll, которая импортирует из неё BCryptGenRandom. А саму libcrypto-3.dll импортирует DIE, который берёт из неё EVP_sha1. В которой BCryptGenRandom не используется

Таким образом, если сменить в EXE систему и положить рядом заглушку для bcrypt на асме, то всё работает.

Саму bcrypt из систем повыше просто так не возьмёшь - там зависимости не позволят, много всего менять придётся. Но это и не требуется."

-----
ds

| Сообщение посчитали полезным: hors

DimitarSerg пишет:
hors
А чего дропнул поддержку ХР ? Верни пожалуйста

Люди делают патчи/фиксы, процитирую сообщение от своего друга и коллеги:

"Полностью дропнули поддержку XP. Мало того, что в заголовке система выше, так ещё и зависимость от bcrypt.

Зависимость идёт от libcrypto-3.dll, которая импортирует из неё BCryptGenRandom. А саму libcrypto-3.dll импортирует DIE, который берёт из неё EVP_sha1. В которой BCryptGenRandom не используется

Таким образом, если сменить в EXE систему и положить рядом заглушку для bcrypt на асме, то всё работает.

Саму bcrypt из систем повыше просто так не возьмёшь - там зависимости не позволят, много всего менять придётся. Но это и не требуется."

Спасибо за тестирование. libCrypto нужен для YARA(новый экспериментальный метод сканирования).
Если её убрать и скомпилировать со старой версией Qt, то должно всё работать.

Download DIE ver. 2.02 (Windows XP, Qt 4.8.7)

Единственное отличие этой сборки - отсутствие YARA. Это не влияет на точность сканирования сигнатурами DIE(Сканирование по умолчанию) или на сканирование Nauz File Detector(другой экспериментальный метод сканирования)

На скриншоте показано где меняется метод сканирования.



-----
http://ntinfo.biz

| Сообщение посчитали полезным: DimitarSerg

hors пишет:
base/plugins/platforms/qwindows.dll Присутствует в папке?
да. Я же целиком дистр в архиве качал. Запуск от админа тоже не помогает.

| Сообщение посчитали полезным: hors

mushr00m пишет:
hors пишет:
base/plugins/platforms/qwindows.dll Присутствует в папке?
да. Я же целиком дистр в архиве качал. Запуск от админа тоже не помогает.

Ладно, будем разбираться. Версия для WinXP, которую я выложил постом выше тоже не работает?

-----
http://ntinfo.biz

| Сообщение посчитали полезным: