Цель - распаковать и убрать ограничение

Файл представляет из себя какой-то контейнер. После запуска в память распаковывается lua5.1.dll и дальше много вызовов из этой длл. Есть две секции с названиями .enigma1, .enigma2

Такое впечатление что скомпилированный луа расшифровывает оверлей и запускает его.

Возможно файл не пакован потому что хорошо сжимается rar-ом.

Подскажите с какой стороны подойти к вытягиванию файлов из этого контейнера.

Спасибо.

| Сообщение посчитали полезным:

Это наверное Enigma Virtual Box. Ну раз вы нашли lua dll, то наверное сможете и остальное по находить.

-----
Лучше быть одиноким, но свободным © $me

| Сообщение посчитали полезным:

Всякое такое скриптовое говно анпакается типично - сморим колстек на системном шлюзе. Обычно вначале идут аллокации. Я уверен что сабж - унылое говно, которое также вскрывается за минуту.

| Сообщение посчитали полезным:

BoRoV пишет:
Enigma Virtual Box

Подарочный сборник УГ.


6d13_27.07.2013_EXELAB.rU.tgz - iDezender.exe.cc.7z

| Сообщение посчитали полезным:

lua dll там в открытом виде как модуль - сдампить проблем нет.
вот со всем остальным непонятно: импорт в сабже подпорчен, TLS колбэк что-то шаманит, в memory map - секций сабжа не видно

Dr0p пишет: сморим колстек на системном шлюзе
можно поподробней ?

gazlan
crypto check-ом смотрел

| Сообщение посчитали полезным:

tino

Что подробнее ??

Брякаемся на сисколе. Сморим колстек. Будет серия аллокаций памяти и прочее, что типично для стартап кода. В 90% случаев EP находится за минуту. Это и не удивительно - этот шлак писан школотой на скриптах, так что всё типично.

| Сообщение посчитали полезным:

tino пишет:
со всем остальным непонятно

enigma1 - это директория DynoZIP, где и хранится вся аппликация (PHP ZenDecoder, как я понимаю + все нужные ему DLL),

enigma2 - три DLL-ки самого EVB (Delphi, последняя - 64 bits)

В потроха не смотрел, но кажется ничего существенного не упаковано и не зашифровано, хотя чуть не в каждом файле по собственной копии какой-то "жирной" криптобиблиотеки (AES, ECC etc) + еще какой-то (заточенный под мультимедиа) сигнатурный анализатор.

IMHO, 80+ Mb decoder PHP-скрипта годится только для кунсткамеры.

| Сообщение посчитали полезным: tino