makin

Ho creato makin per rendere la valutazione iniziale dei malware un po' più facile per me, penso che possa essere utile anche per altri. Aiuta a rivelare le tecniche di rilevamento del debugger utilizzate da un campione.

Qualsiasi feedback è molto apprezzato: @_qaz_qaz

Come funziona?

makin apre un campione come debuggee e inietta asho.dll (il modulo principale rinomina tutte le dll prima dell'iniezione). asho.dll esegue l'hook di diverse funzioni nelle librerie ntdll.dll e kernelbase.dll e, dopo i controlli dei parametri, invia il messaggio corrispondente al debugger (makin.exe).

makin genera anche uno script per IDA Pro per impostare breakpoint sulle API rilevate.

Al momento, makin è in grado di rilevare le seguenti tecniche:

ntdll.dll:

• NtClose - ref: The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess - ref: The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Apre se stesso)
• NtCreateFile - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Apre un driver)
• LdrLoadDll - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState - ref: The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess - ref: The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - ref:

kernelbase.dll:

• IsDebuggerPresent - ref: MSDN
• CheckRemoteDebuggerPresent - ref: MSDN
• SetUnhandledExceptionFilter - ref: The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW - controlla le chiavi di registro
• RegQueryValueExW - controlla i valori delle chiavi di registro

Puoi aggiungere più controlli VM modificando il file checks.json, senza modificare l'eseguibile

Per ora è tutto, puoi aggiungerne quanti vuoi :)

Terze parti

• Zydis (MIT License)
• JSON for Modern C++ (MIT License)

DEMO: