Загрузка в память .NET модуля?

[DildoFagins]

Когда-то давно натыкался на видос, где аверовский "дятел" вскрывал протектор для дотнет исполняемых файлов, который загружал дотнет модули. Внимание, очень важный момент, именно модули (Module), а не сборки (Assembly). Сборка (PE-файл по сути) может иметь несколько модулей внутри. Насколько я помню, он (аверовский дятел) вытаскивал дотнет модуль (который, насколько я понимаю, является блобом метаданных без PE-обвязки), херачил его в свое консольное приложение, а потом уже загружал в dnSpy для дальнейшего реверса.

Так вот, хотел посмотреть эту тему и, может, подумать с ней чего интересного, но чего-то не получается нагуглить ни исходного видоса, ни того, как грузятся в память и извлекаются из сборок модули. Может кто из вас натыкался на такую вещь? Сорсы, статьи и семплы по теме, будьте любезны. Спасибо!

Ну и да, если видели что-то интересное в дотнет упаковщиках или протекторах (но, конечно, не тех, которые "крипт по тому, что это качественно"), то тоже скидывайте, интересно посмотреть.

 

[DildoFagins]

https://antonioparata.blogspot.com/2018/02/analyzing-nasty-net-protection-of.html?m=1 - вот тут, похоже, немного этого вопроса статья касается:

This implies that instead of using the Assembly.Load method, it uses the way less known Assembly.LoadModule method ([6]). This protection method is a bit more difficult to implement but I have to say that is way more effective as obfuscation.

Так называемые netmodule'и, если верить MSDN'у (я не тестил), можно собрать с помощью компилятора csc.exe: https://docs.microsoft.com/en-us/dotnet/framework/app-domains/build-multifile-assembly

В основном же статья посвящена хуку JIT-компилятора и расшифровки методов перед JIT-компиляцией. Концептуально тема довольно интересная на первый взгляд, но как-то уж слишком легко снимается в автоматическом режиме, поэтому ее практическое применение сомнительно.

 

[mose3c]

For .NET so easy and simple but for Native exe its defferent.
i already write A loader IN c++ to load native exe if you are intrested i can upload it for you its FUD and bypass Windows defender and KasperSky but iam not using it know becouse i write new crypter .
so i can upload it for you if want

 

[Apocalypse]

https://0xpat.github.io/Malware_development_part_9/ думаю из этой темы

 

[mose3c]

https://0xpat.github.io/Malware_development_part_9/ думаю из этой темы

With .NET i completle bypassed the AV but on processhollowing for Native cpp Nahh i think i will to more time to finish my project
Ty for help bro