Dr.Web's FLY-CODE распаковывает Asprotect любой версии

Сейчас на форуме: _MBK_ (+5 невидимых)

Посл.ответ	Сообщение
volopas Ранг: 6.8 (гость), 1thx Активность: 0.02↘0 Статус: Участник	Создано: 28 сентября 2010 15:01 · Поправил: volopas · Личное сообщение · #1 Как выковырять этот FLY-CODE? Тестировал Dr.Web cureit свою delphi-программу, запакованную ASProtect SKE 2.56 . Cureit при старте распаковывается в папку Temp. Там будет 2 exe-файла. Основной - тот который больше по размеру (у меня 2468 KB, имя скорее всего рамдомно задается): C:\..\Temp\984E2800-4EC2E780-EA2F340-DF552780\5fee1_xp.exe В OllyDBG в диалоге "Open 32-bit executable" в строке Имя файла: задать 5fee1_xp.exe, в строке Arguments прописать /lng:ru-scan /ini:setup_xp.ini В cureit нужно остановить проверку запущенных программ, которая там начинается автоматически, нажать F5 выбрать и начать проверку запакованного ASPROTECT'ом файла После выполнения последовательности PUSH EBX PUSH ESI PUSH ECX PUSH EDI PUSH 4 PUSH 0 CALL EAX все ресурсы уже распакованы. Но находятся в памяти.

Isaev Ранг: 756.3 (! !), 113thx Активность: 0.61↘0.05 Статус: Участник Student	Создано: 28 сентября 2010 15:09 · Личное сообщение · #2 А чем не устраивает простой отладчик? Все скрипты для распаковки уже написаны ----- z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh
volopas Ранг: 6.8 (гость), 1thx Активность: 0.02↘0 Статус: Участник	Создано: 28 сентября 2010 15:15 · Личное сообщение · #3 Видимо, в этот момент распакованы и не только ресурсы но и тело, но тело я не могу найти...
volopas Ранг: 6.8 (гость), 1thx Активность: 0.02↘0 Статус: Участник	Создано: 28 сентября 2010 17:18 · Поправил: volopas · Личное сообщение · #4 >А чем не устраивает простой отладчик? >Все скрипты для распаковки уже написаны Хочу автоматическую программу. Типа Стриппера. Все эти скрипты не всю работу делают. Надо самому кое-что доделывать.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 28 сентября 2010 17:54 · Личное сообщение · #5 Анпакеры в аверах никогда не славились полнотой анпака, им это и не нужно.
Isaev Ранг: 756.3 (! !), 113thx Активность: 0.61↘0.05 Статус: Участник Student	Создано: 29 сентября 2010 00:27 · Личное сообщение · #6 volopas пишет: Все эти скрипты не всю работу делают. Надо самому кое-что доделывать. Так допиши, больше пользы будет А за антивиром ты доделывать будешь намного больше, чем за скриптами! ----- z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 02 октября 2010 15:52 · Поправил: Clerk · Личное сообщение · #7 Ладно, опишу подробно. 1. Извлекаем из архива setup.dll и копируем куданибудь. 2. Регаем отладчик для экзешника в реестре("Image File Execution Options", "Debugger"). 3. Запускаем CureIt. Откроется отладчик. 4. Ищем строку в ***_xp.exe "DRWEB_InitDll" и ссылку на неё, будет такой код: Code: push 3e806_xp.00551A54 ; ASCII "DRWEB_InitDll" push esi call 3e806_xp.0045A390 add esp,8 test eax,eax jnz short 3e806_xp.0045E1BD 5. Патчим эту процедуру(тут 45A390), исходная: Code: $ 0045A390 /$ 8B0D 9C9F5A00 mov ecx,dword ptr ds:[5A9F9C] $+6 0045A396 \|. 85C9 test ecx,ecx $+8 0045A398 \|. 75 03 jnz short 3e806_xp.0045A39D $+A 0045A39A \|. 33C0 xor eax,eax $+C 0045A39C \|. C3 ret $+D 0045A39D \|> 8B5424 08 mov edx,dword ptr ss:[esp+8] $+11 0045A3A1 \|. 8B01 mov eax,dword ptr ds:[ecx] $+13 0045A3A3 \|. 8B80 FC000000 mov eax,dword ptr ds:[eax+FC] $+19 0045A3A9 \|. 52 push edx $+1A 0045A3AA \|. 8B5424 08 mov edx,dword ptr ss:[esp+8] $+1E 0045A3AE \|. 8B12 mov edx,dword ptr ds:[edx] $+20 0045A3B0 \|. 52 push edx $+21 0045A3B1 \|. FFD0 call eax $+23 0045A3B3 \. C3 ret Конечная: Code: $ ==> 0045A390 /$ E8 10000000 call 3e806_xp.0045A3A5 ; PUSH ASCII "E:\Dw\setup.dll" $+5 0045A395 \|. 45 3A 5C 44 77 5C 73 65 74 75 70 2E 64 6C 6C 00 ascii "E:\Dw\setup.dll",0 $+15 0045A3A5 \|> E8 D1793A7C call kernel32.LoadLibraryA ; \LoadLibraryA $+1A 0045A3AA \|. FF7424 08 push dword ptr ss:[esp+8] ; /ProcNameOrOrdinal $+1E 0045A3AE \|. 50 push eax ; \|hModule $+1F 0045A3AF \|. E8 7C0A3B7C call kernel32.GetProcAddress ; \GetProcAddress $+24 0045A3B4 \. C3 ret Стаб изменяется должным образом, имя и смещение. Потом в олли можно юзать бинарный копипаст. 6. Запускаем процесс. Будет загружен наш setup.dll указанный. 7. Берём ядерный отладчик(можно дров собрать на коленке), определяем ObType-калбэк в dwprot.sys. Раскрываем второе ветвление в калбэке(после Call IoGetCurrentProcess()). Там в самом начале проверка двух байтовых переменных на ноль. Зануляем первую, это отключит самозащиту(хз мб где в опциях есть). 8. Все остальные действия выполняются с setup.dll(VM тамже). Ищем строку "Asprotect". Это будет длинный список имён пакеров. Находим ссылку на найденное имя. Это будет один вход в таблице, в которой описаны пакеры. Таблица содержит множество сигнатур, вот описатель входа: Code: PACK_INFO struct ; o EOL: D[0] = -1 ; SigOffset1 SHORT ? ; + 0 SigLength1 USHORT ? ; + 2 SigHash1 DWORD ? ; + 4 SigOffset2 SHORT ? ; + 8 SigLength2 USHORT ? ; + 0x0A SigHash2 DWORD ? ; + 0x0C SigOffset3 SHORT ? ; + 0x10 SigLength3 USHORT ? ; + 0x12 SigHash3 DWORD ? ; + 0x14 SigOffset4 SHORT ? ; + 0x18 SigLength4 USHORT ? ; + 0x1A SigHash4 DWORD ? ; + 0x1C Unpacker PVOID ? ; + 0x20, ROUTINE(Esi: @EP, Ebp: ARG's) PackName PSTR ? ; + 0x24 Version CHAR 8 DUP** (?) PACK_INFO ends Это 4 сигнатуры по которым определяется пакер, имя его, версия и ссылка на анпакер. Вот эта ссылка вам и нужна. 9. По ссылке на таблицу найдёте код выполняющий идентификацию пакера, вызывающий анпакер и выполняющий остальную работу с запакованным модулем. Кстате в глобальной таблице калбэков флая имеется вызываемый после идентификации анпакера, именно он и пишет в лог инфу про пакер(индекс 0x1E). \| Сообщение посчитали полезным: Dynamic

Для печати