makin

J'ai créé makin pour rendre l'évaluation initiale des malwares un peu plus facile pour moi, je pense qu'il est utile pour les autres aussi. Il aide à révéler les techniques de détection de débogueur utilisées par un échantillon.

Tout retour est grandement apprécié : @_qaz_qaz

Comment ça marche ?

makin ouvre un échantillon en tant que débogué et injecte asho.dll (le module principal renomme toutes les dll avant l'injection), asho.dll hooke plusieurs fonctions dans les bibliothèques ntdll.dll et kernelbase.dll et après les vérifications des paramètres, il envoie le message correspondant au débogueur (makin.exe).

makin génère également un script pour IDA Pro afin de définir des points d'arrêt aux API détectées.

Pour l'instant, makin peut révéler les techniques suivantes :

ntdll.dll :

• NtClose - réf : The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess - réf : The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile - réf : The "Ultimate" Anti-Debugging Reference: 7.B.iii (s'ouvrir lui-même)
• NtCreateFile - réf : The "Ultimate" Anti-Debugging Reference: 7.B.iii (ouvrir un pilote)
• LdrLoadDll - réf : The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState - réf : The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess - réf : The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - réf :

kernelbase.dll :

• IsDebuggerPresent - réf : MSDN
• CheckRemoteDebuggerPresent - réf : MSDN
• SetUnhandledExceptionFilter - réf : The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW - vérifie les clés de registre
• RegQueryValueExW - vérifie les valeurs des clés de registre

Vous pouvez ajouter d'autres contrôles de machine virtuelle en modifiant le fichier checks.json, sans modification de l'exécutable.

C'est tout pour l'instant, vous pouvez en ajouter autant que vous le souhaitez :)

Tierces

• Zydis (Licence MIT)
• JSON for Modern C++ (Licence MIT)

DÉMO :