TinyLoad v7.3

TinyLoad v7.3 - PE-Packer für Windows

TinyLoad ist ein PE-Crypter/Packer für x64-Executables. Er verpackt eine eingegebene EXE-Datei mit verschiedenen Schutzschichten, um Reverse Engineering zu verhindern. Es handelt sich um eine einzige .cpp-Datei ohne externe Abhängigkeiten.

So funktioniert es

TinyLoad hängt deine Nutzlast an eine Kopie von sich selbst an. Wenn die gepackte EXE ausgeführt wird, extrahiert sie die Nutzlast, entschlüsselt sie und führt sie direkt im Speicher aus, ohne das Original jemals auf die Festplatte zu schreiben. Jedes Mal, wenn du etwas verpackst, werden die VM-Opcodes zufällig verändert und in 4 unabhängig voneinander verschlüsselte Untertabellen aufgeteilt, sodass keine zwei Builds identisch sind.

Download

Hol dir eine vorkompilierte Binärdatei aus den Releases oder baue sie selbst.

Kompilieren aus dem Quellcode

Du benötigst MinGW (g++). Führe einfach Folgendes aus:

g++ -o TinyLoad.exe TinyLoad.cpp -static -O2 -s

oder verwende build.bat.

Verwendung

TinyLoad.exe --i <input> [--o <output>] [--vm] [--c] [--veh]

Du benötigst mindestens eines von --vm, --c oder --veh.

Beispiele

DIE-Bilder

Kompression

Benutzerdefinierte LZ77-Kompression mit Hash-Ketten-Abgleich und einem 64-KB-Schiebefenster. Die Kompression läuft zuerst, danach wird die VM-Verschlüsselung darübergelegt, sodass auch eventuelle Muster in den komprimierten Daten verborgen werden.

VM-Verschlüsselung

Eine benutzerdefinierte virtuelle Maschine mit 28 Opcodes, die im Stub läuft. Die Opcodes werden zufällig auf 4 Untertabellen mit je 8 Opcodes verteilt, und jede Untertabelle wird per XOR mit einem anderen Schlüssel verschlüsselt, der aus den Nutzlastdaten abgeleitet wird. Das Knacken einer Untertabelle offenbart höchstens 8 der 28 Opcodes. Die Chiffre selbst ist eine 128-Bit-Stromchiffre mit rotl-/rotr-Schlüsselmischung, die vollständig im VM-Interpreter abläuft. Die Nutzlast wird mit XXTEA verschlüsselt.

VEH-Seitenfehler-Entschlüsselung

Wenn --veh aktiviert ist, werden alle Seiten der PE-Abschnitte als PAGE_NOACCESS gemappt. Wenn das Programm versucht, auf eine Seite zuzugreifen, wird eine Ausnahme ausgelöst; ein Vectored Exception Handler entschlüsselt genau diese eine Seite und setzt den korrekten Schutz. Ein Watchdog-Thread läuft im Hintergrund und verschlüsselt jede Seite erneut, die seit 200 ms nicht mehr angefasst wurde. Zu jedem Zeitpunkt ist der Großteil deines Programms im Speicher weiterhin verschlüsselt, sodass Speicherabbilder nur das erfassen, was kürzlich aufgerufen wurde.

Anti-Dump

Die 4 kritischsten APIs (GetModuleHandleA, GetProcAddress, ExitProcess, VirtualAlloc) werden über Wrapper-Funktionen im Stub umgeleitet. Nachdem die Nutzlast geladen wurde, wird das gesamte Import-Verzeichnis genullt, sodass Speicherabbilder die Importtabelle nicht rekonstruieren können.

Diagramm:

Lizenz

MIT

Randnotizen

• Es gibt viele Funktionen, die ich nicht in die README aufgenommen habe. Du kannst den Code selbst lesen oder in die changelog.md schauen.
• Das funktioniert bei den meisten Dateien, die ich getestet habe. Falls es bei deiner nicht funktioniert, öffne ein Issue und ich schaue es mir an.
• Vorschläge und Feature-Ideen gehören ebenfalls in die Issues.
• Wenn du es nutzt, hilft ein Star sehr <3
• Schau für zukünftige Updates in den Blog unter https://iamsopotatoe-coder.github.io/TinyLoad/#blog
• Ja, Antivirenprogramme flaggen Packer, das ist zu erwarten. (Aktuell 9 Erkennungen auf VirusTotal – jede Datei, die du damit verpackst, bekommt 9 Erkennungen, der Inhalt spielt keine Rolle.)
• Bitte verpacke keine Malware damit, es ist für legitime Zwecke gedacht.