Ну решил пореверсить семплы, а тут крипт ручной, руки не помнят, да и голова тоже. Благодарю за советы заранее
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Вопрос по снятию крипта
- Автор темы kotoharu
- Дата начала
скинь семпл сюда
первое что самое стандартное по мне это попробывать дампнуть запущеный процесс там мб вывалиться голый билд вируса
- Автор темы
- Добавить закладку
- #4
Не, я сам хочу, просто не. Помню как
Запускаешь иду, ставишь точку останова, запускаешь процесс. Если используешь windows, то вызываешь диспетчер задач, выбираешь процесс сэмпла, правый клик - сделать дамп.
- Автор темы
- Добавить закладку
- #6
спасибо
бряк на выделение памяти и изменение атрибутов памяти.
bp VirtualAlloc/VirtualProtect (NtAllocate**, NtProtect**)
в eax,rax будет адрес выделенной памяти, ставь туда железный бряк на обращение памяти.
99% крипторов снимается так
bp VirtualAlloc/VirtualProtect (NtAllocate**, NtProtect**)
в eax,rax будет адрес выделенной памяти, ставь туда железный бряк на обращение памяти.
99% крипторов снимается так
а если стоят всякие антибряки и палево на дебаги и хуки процессов ?
каждую неделю распаковываю дюжину файлов, ни разу не видел защиты. максимум были сисколы. сейчас вообще просто накрывают вмпротектом и все
тогда уже смотришь, где падает процесс и чистишь через хекс редактор, то место, которое проверяет флаги дебага
- Автор темы
- Добавить закладку
- #11
Ну такого не встречал, но вопрос хороший! Ждем экспертов
Вижу вы антидебаг обсуждаете, оставлю здесь анти антидебаг
GitHub - mrexodia/TitanHide: Hiding kernel-driver for x86/x64.
Hiding kernel-driver for x86/x64. Contribute to mrexodia/TitanHide development by creating an account on GitHub.
github.com
Последнее редактирование:
А что если там выделяется память по 100 раз ,я так понял надо найти 4D 5A ,но никак найти не могу ,подскажите надо терпеливо всё дампить и ждать пока вывалится билд или есть какой-то секрет?)
Смотрите еще вызов установки атрибутов памяти, типа VirtualProtect