makin

Ich habe makin erstellt, um die initiale Malware-Bewertung für mich etwas einfacher zu machen. Ich denke, es ist auch für andere nützlich. Es hilft dabei, Debugger-Erkennungstechniken aufzudecken, die von einer Probe verwendet werden.

Jegliches Feedback wird sehr geschätzt: @_qaz_qaz

Wie funktioniert es?

makin öffnet eine Probe als Debuggee und injiziert asho.dll (das Hauptmodul benennt alle dlls vor der Injektion um). asho.dll hookt mehrere Funktionen in den Bibliotheken ntdll.dll und kernelbase.dll und sendet nach Parameterprüfungen die entsprechende Nachricht an den Debugger (makin.exe).

makin generiert außerdem ein Skript für IDA Pro, um Breakpoints an erkannten APIs zu setzen.

Derzeit kann makin folgende Techniken aufdecken:

ntdll.dll:

• NtClose - ref: Die „Ultimative“ Anti-Debugging-Referenz: 7.B.ii
• NtOpenProcess - ref: Die „Ultimative“ Anti-Debugging-Referenz: 7.B.i
• NtCreateFile - ref: Die „Ultimative“ Anti-Debugging-Referenz: 7.B.iii (Selbst öffnen)
• NtCreateFile - ref: Die „Ultimative“ Anti-Debugging-Referenz: 7.B.iii (Einen Treiber öffnen)
• LdrLoadDll - ref: Die „Ultimative“ Anti-Debugging-Referenz: 7.B.iv
• NtSetDebugFilterState - ref: Die „Ultimative“ Anti-Debugging-Referenz: 7.D.vi
• NtQueryInformationProcess - ref: Die „Ultimative“ Anti-Debugging-Referenz: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - ref:

kernelbase.dll:

• IsDebuggerPresent - ref: MSDN
• CheckRemoteDebuggerPresent - ref: MSDN
• SetUnhandledExceptionFilter - ref: Die „Ultimative“ Anti-Debugging-Referenz: D.xv
• RegOpenKeyExInternalW - überprüft Registrierungsschlüssel
• RegQueryValueExW - überprüft Registrierungsschlüsselwerte

Sie können weitere VM-Prüfungen hinzufügen, indem Sie die Datei checks.json bearbeiten, ohne die ausführbare Datei zu ändern.

Das war's fürs Erste, Sie können so viel hinzufügen, wie Sie möchten :)

Drittanbieter

• Zydis (MIT License)
• JSON for Modern C++ (MIT License)

DEMO: