makin

मैंने makin बनाया ताकि मेरे लिए प्रारंभिक मैलवेयर मूल्यांकन थोड़ा आसान हो सके, मुझे लगता है कि यह दूसरों के लिए भी उपयोगी है, यह एक नमूने द्वारा उपयोग की जाने वाली डीबगर पहचान तकनीकों को प्रकट करने में मदद करता है।

कोई भी प्रतिक्रिया अत्यधिक सराहनीय है: @_qaz_qaz

यह कैसे काम करता है?

makin एक नमूने को डीबगी के रूप में खोलता है और asho.dll इंजेक्ट करता है (मुख्य मॉड्यूल इंजेक्शन से पहले सभी dlls का नाम बदलता है), asho.dll ntdll.dll और kernelbase.dll लाइब्रेरीज पर कई फंक्शन्स को हुक करता है और पैरामीटर जांच के बाद, यह डीबगर (makin.exe) को संबंधित संदेश भेजता है।

makin IDA Pro के लिए एक स्क्रिप्ट भी उत्पन्न करता है ताकि पहचाने गए APIs पर ब्रेकपॉइंट सेट किए जा सकें।

इस समय, makin निम्नलिखित तकनीकों को प्रकट कर सकता है:

ntdll.dll:

• NtClose - संदर्भ: The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess - संदर्भ: The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile - संदर्भ: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open itself)
• NtCreateFile - संदर्भ: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open a driver)
• LdrLoadDll - संदर्भ: The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState - संदर्भ: The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess - संदर्भ: The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - संदर्भ:

kernelbase.dll:

• IsDebuggerPresent - संदर्भ: MSDN
• CheckRemoteDebuggerPresent - संदर्भ: MSDN
• SetUnhandledExceptionFilter - संदर्भ: The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW - रजिस्ट्री कुंजियों की जांच करता है
• RegQueryValueExW - रजिस्ट्री कुंजी मानों की जांच करता है

आप checks.json फ़ाइल को संपादित करके, एक्जीक्यूटेबल में बदलाव किए बिना, और अधिक VM जांच जोड़ सकते हैं

अभी के लिए बस इतना ही, आप जितना चाहें जोड़ सकते हैं :)

तृतीय-पक्ष

• Zydis (MIT License)
• JSON for Modern C++ (MIT License)

डेमो: