makin

لقد أنشأت makin لتسهيل التقييم الأولي للبرامج الضارة قليلاً بالنسبة لي، وأعتقد أنه مفيد للآخرين أيضًا، فهو يساعد في كشف تقنيات كشف المُصحح (debugger) التي يستخدمها نموذج ما.

أي ملاحظات ستكون موضع تقدير كبير: @_qaz_qaz

كيف يعمل؟

يفتح makin نموذجًا كمُصحَح (debuggee) ويحقن asho.dll (الوحدة الرئيسية تعيد تسمية جميع dlls قبل الحقن)، حيث تقوم asho.dll بتعليق (hook) عدة دوال في مكتبات ntdll.dll و kernelbase.dll، وبعد التحقق من المعاملات، ترسل الرسالة المقابلة إلى المُصحح (makin.exe).

يقوم makin أيضًا بإنشاء سكريبت لبرنامج IDA Pro لتعيين نقاط توقف (breakpoints) في واجهات البرمجة (APIs) المكتشفة.

في هذه اللحظة، يمكن لـ makin كشف التقنيات التالية:

ntdll.dll:

• NtClose - المرجع: The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess - المرجع: The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile - المرجع: The "Ultimate" Anti-Debugging Reference: 7.B.iii (فتح نفسه)
• NtCreateFile - المرجع: The "Ultimate" Anti-Debugging Reference: 7.B.iii (فتح مشغل)
• LdrLoadDll - المرجع: The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState - المرجع: The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess - المرجع: The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - المرجع:

kernelbase.dll:

• IsDebuggerPresent - المرجع: MSDN
• CheckRemoteDebuggerPresent - المرجع: MSDN
• SetUnhandledExceptionFilter - المرجع: The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW - يتحقق من مفاتيح التسجيل
• RegQueryValueExW - يتحقق من قيم مفاتيح التسجيل

يمكنك إضافة المزيد من الفحوصات للآلة الافتراضية عن طريق تعديل ملف checks.json، دون تعديل الملف التنفيذي

هذا كل شيء الآن، يمكنك إضافة ما تشاء :)

طرف ثالث

• Zydis (رخصة MIT)
• JSON for Modern C++ (رخصة MIT)

عرض توضيحي: