KPOT-string-decrypter

نصوص IDA بلغة بايثون لفك تشفير سلاسل برنامج السرقة KPOT وتعيينها كتعليقات بجوار المتغير الذي سيستقبلها أثناء وقت التشغيل. يعمل النص كما يلي:

• يحصل على الإزاحة التي تُمرَّر عبر eax إلى إحدى دالتي فك التشفير (هناك اثنتان، ولهذا يحتوي هذا المستودع على نصَّين)، إما باستخدام mov أو pop eax.

• يفك تشفير السلسلة في مصفوفة بقراءة الحجم المقابل لها ومفتاح XOR.

• يطبع السلسلة المفكوكة والإزاحة التي عُيّنت عندها كتعليق، بالإضافة إلى أي سلاسل لم يتمكن من فك تشفيرها (انظر Important Considerations أدناه).

اعتبارات مهمة

• توجد بضعة مواضع في الكود يستخدم فيها البرنامج الخبيث طريقة مختلفة عن تلك التي تغطيها النصوص. يمكنك العثور على هذه الحالات بتتبع العناوين التي تحمل الرسالة Could not decrypt xref: وفك تشفيرها بتزويد الدوال المعنية بالإزاحة يدويًا.

• يحوّل النص المصفوفة المفكوكة إلى سلسلة عبر decode(). في تجربتي، هناك ثلاث مصفوفات بايت يفك تشفيرها KPOT ليست سلاسل، مما يؤدي إلى تعطل النص. هذه هي الإزاحات التي يتم تجاهلها في .