VehApiResolve

مستوحى من تعتيم واجهة برمجة التطبيقات 32 بت الخاص بـ Dridex Loader.

كيف يعمل هذا؟

نقوم بإعداد معالج استثناءات.

AddVectoredExceptionHandler( CALL_FIRST, ApiResolverHandler );

سيتعامل معالج الاستثناءات هذا فقط مع الاستثناءات التي تُرمى كـ EXCEPTION_BREAKPOINT. عندما نرميه نحن، نتمكن من التقاط CONTEXT. يمكننا الحصول على الوسائط التي تم تمريرها. سيحمل كل من RDX و R8 هاش الدالة وهاش الوحدة. يمكننا بعد ذلك حلهما ديناميكيًا باستخدام GetProcAddrExH كما هو موضح

ExceptionInfo->ContextRecord->Rax = (ULONG_PTR)GetProcAddrExH( ExceptionInfo->ContextRecord->Rdx, ExceptionInfo->ContextRecord->R8 );

غالبًا ما يُستخدم RAX لإرجاع القيم. عندما نعود، إذا تم حل العنوان، فسيتم إرجاعه.

LazyRet proc
	int 3	; raise an exception 
	ret		; rax will hold address
LazyRet endp

1. قم بإلقاء استثناء.
2. تعامل مع هذا الاستثناء.
3. قم بحل الدالة المطلوبة.
4. قم بتخزينها في RAX.
5. عد.

يمكننا بعد ذلك استخدام هذا العنوان.

لماذا؟

من المحتمل أن يجعل حياة مهندس الهندسة العكسية أصعب، وهذا أمر جيد دائمًا.