AntiDBG

antidbg est une bibliothèque anti-débogage en mode utilisateur x64 pour Windows, conçue pour protéger les logiciels contre le débogage.

Considérez cette bibliothèque comme une base pour votre protection anti-débogage, et non comme votre seule défense.

La bibliothèque est :

• Très facile à utiliser (un seul appel de fonction requis).
• Conçue pour des performances élevées et une utilisation minimale des ressources (1 % d'utilisation CPU ; <2 Mo de mémoire).
• Exempte de toute dépendance externe.
• Entièrement sous licence MIT.
• Conforme à CFG.

Structure

Le modèle de menace suppose qu'un débogueur peut intercepter un logiciel protégé par ce système de protection depuis n'importe quel niveau de privilège, les détections étant moins efficaces à mesure que le niveau de privilège augmente.

Ce logiciel est renforcé pour contourner l'interception triviale avec CPL > 0, en :

• Évitant tout type de hook d'API via des appels système avec de l'assembleur inline.
• Appliquant des politiques de protection de la mémoire virtuelle et d'atténuation des injections pour le processus courant.
• Empêchant l'usurpation d'appels système dans RAX en détectant et/ou en écrasant les callbacks d'instrumentation non légitimes.
• Détectant tout type de patch inline sur les sections .text surveillées en effectuant une comparaison sur disque vs en mémoire.
• Analysant la livraison de la gestion des exceptions (VEH, SEH, LPTOP_LEVEL_EXCEPTION_FILTER) et les points d'arrêt logiciels.
• Testant le comportement de redirection de PAGE_GUARD.
• Protégeant les stubs importants en tant que mémoire non inscriptible, en les surveillant ensuite avec un hachage accéléré par matériel sur un thread séparé.
• Protégeant le point d'entrée du processus avec des TLS callbacks contre l'attachement d'un débogueur, en effectuant une inspection de l'adresse de démarrage des threads.
• Créant des pièges dans les points d'entrée des débogueurs, tels que DbgBreakPoint et DbgUiRemoteBreakin, pour faire planter le processus ou retourner.
• Masquant tous les threads des événements du débogueur et du gel du processus. Garantit que l'état de priorité des threads n'est pas affecté.
• Définissant un gestionnaire vectorisé global dès que les protections démarrent.

Si le seul moyen d'effectuer une vérification est d'utiliser une fonction exportée non appelable par syscall, la fonction en question est manuellement rétro-ingénierée et reconstruite pour s'exécuter dans l'espace d'adressage du module du thread de protection. Toutes les structures mémoire en mode utilisateur sont parcourues par introspection directe de la mémoire au lieu d'utiliser des API.

Les routines de protection laissent explicitement certains chemins d'exécution sans protection contre les hooks en mode utilisateur, agissant comme des pots de miel mémoire. Ils sont utilisés pour la comparaison d'état et pour confondre les attaquants.

Les routines de protection s'exécutent de manière pseudo-aléatoire. L'entropie est décidée avec un pur ASLR basé sur le matériel, le comportement de la pile et un peu de mathématiques ; sans appeler le noyau, sans utiliser d'API en mode utilisateur, ni émettre d'instructions de sortie conditionnelles ou inconditionnelles par des hyperviseurs.

Lorsqu'une violation de sécurité est détectée, le système de protection fait planter le processus courant en invoquant INT 29h avec STATUS_SXS_EARLY_DEACTIVATION, contournant tous les gestionnaires d'exceptions. Dans certains cas, il met également en file d'attente un APC vers le noyau afin de terminer le processus courant.

Détections

Se trouvent dans le point d'entrée principal (abdg.c) de cette bibliothèque, expliquées dans l'ordre.

Explications résumées ; une détection spécifique peut effectuer plus de vérifications supplémentaires/sous-vérifications que ce qui est expliqué ici.

Vous pouvez trouver plus de code source d'autres concepts de détection dans le dossier antidebug\archived.