DDR爱好者之家 Design By 杰米
#0x00 狭路相逢
"偶然"碰到了一个网络验证,广告语写着"全新的虚拟机架构,虚拟机超强变异,让您的软件难以分析", 看上去好像很好玩, 于是我(emmm)就弄了几个极速模式的样本分析看看, 见识一下这个全新的虚拟机架构, 至于是啥网络验证,这次我就不点名了, 本文也不提供样本。
**以下讨论的是该网络验证基于极速模式加密的样本**
#0x01 猫捉老鼠
根据描述,还可以加密64位文件,但是加密后的文件打开运行却是32位程序,猜测有把原程序写到硬盘的操作。由于其严酷的拉黑机制(反调试 - -!)(你干点啥它都拉黑你, 这就是所谓的超强的反调试, 但其实根本没啥用),考虑先不用调试器,绕路走,用某剑监视其程序操作,部分关键操作如下。
写出Registration.tmp 猜测跟解密相关
某某云网络验证脱壳

1.png


写出exe,猜测是登录后释放的原exe
某某云网络验证脱壳

2.png


转到目录下查看,发现一个43k大小的exe,不符合加密前exe大小。
某某云网络验证脱壳

3.png


但是,在...目录下发现了一个很可疑的exe
某某云网络验证脱壳

4.png


复制出来运行提示未经授权运行,估计它就是我们要找的原程序了。
某某云网络验证脱壳

5.png


#0x02 林中小屋
监控发现原程序读取了Registration.tmp
某某云网络验证脱壳

6.png


用x32dbg看一下,发现这入口一股浓浓的Themida味(这网络验证是Themida的作者写的?)
某某云网络验证脱壳

7.png


运行起来CE搜一遍字符串,这确实是WinLicense没错,
某某云网络验证脱壳

8.png


把Registration.tmp和原程序复制出来,回滚虚拟机快照后,再把Registration.tmp放回去,发现可以直接运行原程序。(但是无法再次运行,会提示未经授权运行。并且更换机器做同样的操作也无法运行。)
某某云网络验证脱壳

9.png


根据以上行为特征,可以大致猜出该网络验证的流程:
**发送卡号并上传机器码 -> 验证通过 -> 下发锁定机器码以及运行次数为1的key ->释放原程序(WL授权加密) -> 运行原程序**
虽然下发的key回滚快照可以一直使用,用监控程序监视它读写了哪些注册表和文件,再统统删掉也可以无限使用,但是它锁定了机器码,总归是不方便。为了速战速决, 考虑脱壳。
#0x03 旧事重提
到达OEP以后修一下IAT,处理下虚拟机内部的pause就能脱下来了。这里不提供脚本,只讲下到达OEP和修IAT的思路。
OEP的话,用祖传VirtualProtect大法。VirtualProtect下断,运行,看到代码段(401000)出现两次后,执行到返回,取消断点。
某某云网络验证脱壳

10.png


某某云网络验证脱壳

11.png


对代码段下内存执行断点。
某某云网络验证脱壳

12.png


再运行一次就到OEP了。
某某云网络验证脱壳

13.png


OEP虽然被虚拟化了,但是可以不修。
WL没有抹掉原来的IAT表,而是随机将部分IAT填充到自己的壳代码了,图中下划线为白色的就是被壳抽取的IAT。
某某云网络验证脱壳

14.png


这里使用的是x32dbg,撸脚本也方便。修复脚本基本思路为:
逐个获取IAT表里的pointer,用mod.isexport判断是否为1,不为1说明被抽取或者为该pointer为0,如果是被抽取,记录当前cip和csp,将cip设置为取得的pointer,并且对csp-4设置硬件写断点,run 3-5次并判断mod.isexport,为1则将[csp-4]写到IAT表对应的位置,并将cip和csp设置回去。
需要注意,ExitProcess貌似被WL特殊照顾,无法用这种办法取得,没想到修复办法,就只能手动填充了。暂时没发现其他的IAT有这种问题,图中47C294处就是脚本无法修复的ExitProcess。
某某云网络验证脱壳

15.png


修复完IAT,记得扫描一遍内存,处理掉所有的pause,jmp或者全部nop都可以,特征如图
某某云网络验证脱壳

16.png


全部处理完,就能运行了。
某某云网络验证脱壳

17.png


**以下讨论的是该网络验证基于极限模式加密的样本**
#0x04 黑洞的极限运动
上面说的是极速模式下的样本,那极限模式的样本呢?尝试按照以上方法脱下来以后,跨平台运行会崩溃。
推测极限模式是WinLicense的全保护,不过问题不大。多分析分析也能脱下来。
该极限模式样本有两种防dump(不知道有没有更多防dump,只加了两个虚拟化水印)
一种是在到达OEP前加密存储kernel32.dll的基址,然后虚拟化水印会读取基址+随机偏移,因为不同机子以及重启后系统dll基址会改变的关系,程序会崩溃。OEP虚拟化也会用这种防dump。
某某云网络验证脱壳

18.png


另外一种是运行到该处水印代码后,虚拟机将代码解密写回原来的位置。
某某云网络验证脱壳

19.png


虚拟机运行完毕后。
某某云网络验证脱壳

20.png


过kernel32基址的防dump,可以分配一块跟当时一样地址的内存,WL只读取,并没有对里面的值做校验,如果有其他dll占用了也可以直接过。
另一种防dump,可以把存放在WL区段的VirtualProtect 地址,修改到自己代码的FF25 ,如果不巧,程序IAT没有VirtualProtect,就得自己加上了。
#0x05 梦一场
!!!!所以这里根本没有什么所谓的超强虚拟机, 全新的虚拟机架构?搞半天就是用WinLicense做了个授权, 我好像是来找自写虚拟壳来着,怎么最后在脱WinLicense了。
后续将会提供脱壳脚本以及特征,方便大家研究学习。
DDR爱好者之家 Design By 杰米
广告合作:本站广告合作请联系QQ:858582 申请时备注:广告合作(否则不回)
免责声明:本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除!
DDR爱好者之家 Design By 杰米

福利放送 2022/12/9

跑跑卡丁车单机版 2020-11-1(可与AI一起玩) 天翼云/百度云