AntiDBG

antidbg es una librería anti-depuración en modo usuario para x64 en Windows, diseñada para proteger software contra la depuración.

Considera la librería como una base para tu protección anti-depuración, no como tu única defensa.

La librería es:

• Muy fácil de usar (solo se requiere una llamada a función).
• Diseñada para alto rendimiento y uso mínimo de recursos (1% de uso de CPU; <2MB de memoria).
• Libre de cualquier dependencia externa.
• Completamente licenciada bajo MIT.
• Compatible con CFG.

Estructura

El modelo de amenaza asume que un depurador puede interceptar software protegido por este sistema de protección desde cualquier nivel de privilegio, siendo las detecciones menos efectivas cuanto mayor sea el nivel de privilegio.

Este software está endurecido para eludir la interceptación trivial con CPL > 0, mediante:

• Evitar cualquier tipo de hook de API mediante syscalls con ensamblador en línea.
• Aplicar políticas de protección de memoria virtual y mitigación de inyección para el proceso actual.
• Prevenir el spoofing de syscalls en RAX detectando y/o sobrescribiendo callbacks de instrumentación no legítimos.
• Detectar cualquier tipo de parche en línea en secciones .text monitorizadas mediante una comparación en disco vs en memoria.
• Analizar la entrega de manejo de excepciones (VEH, SEH, LPTOP_LEVEL_EXCEPTION_FILTER) y breakpoints de software.
• Probar el comportamiento de redirección de PAGE_GUARD.
• Proteger stubs importantes como memoria no escribible, monitorizándolos después con hashing acelerado por hardware en un hilo separado.
• Proteger el punto de entrada del proceso con TLS callbacks contra la conexión de depuradores, realizando inspección de la dirección de inicio de hilos.
• Crear trampas en los puntos de entrada de depuradores, como DbgBreakPoint y DbgUiRemoteBreakin, para hacer crashear el proceso o retornar.
• Ocultar todos los hilos de eventos de depurador y congelación de proceso. Asegura que el estado de prioridad de hilo no se vea afectado
• Establecer un manejador vectored global tan pronto como comienzan las protecciones.

Si la única forma de hacer una comprobación es usar una función exportada no invocable por syscall, la función en cuestión es revertida manualmente y reconstruida para ejecutarse en el espacio de direcciones del módulo del hilo de protección. Todas las estructuras de memoria en modo usuario son recorridas con introspección directa de memoria en lugar de usar APIs.

Las rutinas de protección dejan explícitamente algunas rutas de ejecución sin protección contra hooks en modo usuario, actuando como honeypots de memoria. Se usan para comparación de estado y para confundir a atacantes.

Las rutinas de protección se ejecutan de forma pseudoaleatoria. La entropía se decide con puro ASLR basado en hardware, comportamiento de la pila y un poco de matemáticas; sin llamar al kernel, usando APIs en modo usuario, o emitiendo instrucciones de salida condicional o incondicionalmente por hipervisores.

Cuando se detecta una violación de seguridad, el sistema de protección hace crashear el proceso actual invocando INT 29h con STATUS_SXS_EARLY_DEACTIVATION, eludiendo todos los manejadores de excepciones. En algunos casos, también encola un APC al kernel para terminar el proceso actual.

Detecciones

Encontradas en el punto de entrada principal (abdg.c) de esta librería, explicadas en orden.

Explicaciones resumidas; una detección específica puede realizar más comprobaciones extra/sub-comprobaciones de las que se explican aquí.

Puedes encontrar más código fuente de otros conceptos de detección en la carpeta antidebug\archived.