Загрузка...

Define Protector/Obfuscator

Thread in Reversing / Assembler created by geliar12 Sep 23, 2021. 353 views

  1. geliar12
    geliar12 Topic starter Sep 23, 2021 Banned 1 Jan 4, 2019
    Нужна помощь с определением протектора. В cff explorer выглядит так
    [IMG]
    есть подозрения что это vmprotect 3.x
    Файл: https://dropmefiles.com/iYJUZ
     
    Sep 23, 2021
  2. DINER0_inactive270433
    DINER0_inactive270433 Sep 26, 2021 147 Jan 20, 2018
    Эвристический анализ от die показал что это вмпротект, сигнатурки мутации нашел.
    Подобные инструкции имеются у движка виртуализации только vmprotect.
    [IMG]
    Инструкции main он переводит в байты, что так же свойственно пакеру от vmprotect.
    Паттерн основной функции виртуализации: 44 88 44 24 ?
    Паттерн похожей функции с мутацией и виртуализацией: 55 9C F8 49 13 E8
    Паттерн функции которая получает хендл каждого модуля IAT: 48 81 EC ? ? ? ? 48 8D 44 24 ?
     
    Sep 26, 2021
    1. geliar12 Topic starter
      avatarDINER0_inactive270433, не подскажете, как снять протектор?? Способы из интернета не работают.
      Sep 28, 2021
    2. DINER0_inactive270433
      avatargeliar12, Нужен свой статик девиртуализатор, либо дампер специальный. Снять как в случае с C# не получится, потому что среды памяти разные.
      Sep 29, 2021
Loading...