VMBE2 (Indy)

Кто просматривает этот контент: "Тема" (Всего пользователей: 0; Гостей: 1)

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 600
Репутация
144
#1
Virtual Machine Bypass Engine 2.1.

Движок от Indy.

Сей мотор невозможно проэмулить никакими АВВМ.

Пароль:vx

Вроде masm, ещё не смотрел, нашёл кстати здесь-же:https://ru-sphere.ru/threads/delaem-kriptor-vmeste.1928/page-4#post-108097

Решил создать отдельную тему, может кто-ещё ищет, а-то ссылки везде нерабочии...NO-no!!!
 

Вложения

  • 276.5 КБ Просмотры: 37

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 600
Репутация
144
#2
Блин забыл добавить, кто будет с ним прикалываться, зайдите сюда:http://vxtech.in/f/showthread.php?tid=61

Эта тема автора, там можно кое-какую полезную инфу почерпнуть !My mind
 

Nedovirus

Уважаемый пользователь
Форумчанин
Регистрация
14.05.2014
Сообщения
409
Репутация
673
#3
именно про эту хреновину я намекал в секте симантека, где говорил, что если кому охота поговорить о крипторах - идите к инди и он покажет как о них надо говорить. он реально крут в этом деле, очень.
 

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 600
Репутация
144
#4
если кому охота поговорить о крипторах - идите к инди и он покажет как о них надо говорить
Ога предложение явно с подвохом...Dmeh-Smeh-Smeh!!!

Там с пиплом явно не церемонятся, чо-нить не-то сказанул, сразу выливают ведёрку гавневца + бан...

Можно-было им пожелать ещё сюда зайти поболтать:http://vxtech.in/f/showthread.php?tid=109

Чувствую живыми-бы они от туда не вышли...Отдыхай!!!

А если серьёзно, если разговаривать с Инди, нужно очень хорошо разбираться в этом всем, а таких спецов не-так много, даже не сколько спецов в ассемблере, сколько нужно именно знать устройство и работу АВ, сам ассемблер относительно не сложно по моему мнению изучить, вот сколько там комманд 20-25 может больше, но не намного, а вот научится всё это реально использовать, это уже искусство...WinkSmile

Я лично пока понял про движок только это:
Почему VMBE обламывает АВВМ - АВВМ не может работать динамично с кодом не из нашего модуля, код этот там есть только потому что он там статично впилен и определяется есно по обращению к API. Как доказательство, можно взять свою дллку с диска, или системную (но при этом у АВВМ не должно быть ее прототипа, по этому, если и брать системную, то малоизвестную), подгрузить ее, что-то выполнить и проверить результат, сие проэмулено никогда не будет.

Ну, а посколько куски например ntdll кода у АВВМ таки есть, то там только образ с диска (даже не промаплен, а впилен статично, причем еще не с какой-то системы, а подшлифованный, оптимизированный!). Вот и получается, что обращение к известной API если есть, то АВВМ подсовывает свой буфер (собсно из того же статично впиленого образа), и если он совпадает с ожидаемым и является простым, то и получается, что эмулится, ну стоит взять API по сложнее, которая работает динамично, вызывает сисколл, да еще и с абсолютными адрессами - есно будет фейл.
 

Nedovirus

Уважаемый пользователь
Форумчанин
Регистрация
14.05.2014
Сообщения
409
Репутация
673
#5

Indy

Уважаемый пользователь
Форумчанин
Регистрация
21.01.2015
Сообщения
300
Репутация
179
#6
Эмулятор останавливается при обнаружении обращения к неизвестному ему ресурсу. Авер хитёр и использует сигнатуры для эмуляции апи. Мотор трассирует системный код, это приводит к остановке эмулятора например при обращении к приватным переменным, в случае если код реальный. Для виртуального кода с сигнатурами апи необходим ввод критерия, который отличает виртуальный код от реального.
 

Indy

Уважаемый пользователь
Форумчанин
Регистрация
21.01.2015
Сообщения
300
Репутация
179
#7
были б там мгновенно забанены за нубство
Не за нубство, а за отсутствие здравого смысла и стремления к нему. Важно не сколько комрад знает, а способность его и тяга к обучению.
 

Nedovirus

Уважаемый пользователь
Форумчанин
Регистрация
14.05.2014
Сообщения
409
Репутация
673
#8
в общем не за одно, так за другое )))))))
 

Антоха

Администратор
Администрация
Регистрация
26.12.2012
Сообщения
3 002
Репутация
9 260
#9
Да простит мне Indy этот дикий копипаст...
Ещё пара тулз от Indy (в которые,как правильно выразился Nedovirus,можно потыкать палочкой).
Indy =Clerk=DrOp сказал(а):
GPE/GCBE движки. Позволяет определять размер функций, выделять их по NL, находить начало функций, выполнять анализ, перенос в памяти(морфинг) и многие другие задачи, которые сводятся к созданию, анализу и сборке графа.
В аттаче двиг, он немного изменён(одна инструкция добавлена) для возможности поиска инструкции по адресу в первичном графе.
Indy сказал(а):
o x86, KM, MI, KDR; откат на 5.1, 6.1; недетект всяким аверским говном.

Пиздатый мотор для дебага всякой юзермодной погани. Теперь не нужно юзать ядерный дебаг, чтобы всякая хуита не вышла из под отладки. Возможность выбора сервисной таблицы.
Отлавливаются все сисколы в системе, редирект в юзермод, там наш фильтр их обрабатывает и вертает управленье в юзермод.
Возврат из ядра на адрес PEB[0xFFC], флаг по тому же смещенью в TEB запрещает обработку(по дефолту сброшен, тоесть пропускается).
При возврате имеем в rEax номер сервиса, на стеке:
CODE:
    FSTATE struct
             Ip      PVOID ?
             Args    PVOID ?
    FSTATE ends
О рутките подробнее можно почитать здесь.Загрузчик из памяти(LWE) мне не удалось содрать .
 

Вложения

  • 18.5 КБ Просмотры: 26
  • 47.4 КБ Просмотры: 25

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 600
Репутация
144
#10
О рутките подробнее можно почитать здесь.Загрузчик из памяти(LWE) мне не удалось содрать .
Минут двадцать потратил почитал весь топик, интересно, кое-что для себя нового узнал (В частности что такое Шадов), а exelab.ru это-же кряклаб, я знал про этот ресурс но что-то особо не вникал что там такое делается, наверное зря, похожу может ещё-что почитаю...

Такое ощущение что ресурс полузаброшен, в роде интерес у посетителей есть, я-бы несказал что он мёртвый...WinkSmile
 
Вверх