DRMBinViaOrdinalImports - コピー防止DRMマルウェアの作成

クイックリンク

Maldev Academy ホーム

Maldev Academy シラバス

Maldev Academy 料金

概要

このリポジトリでは、プログラムのImport Address Table（IAT）を変更し、インポートされた関数名を対応するオーディナル（序数）に置き換える手法を使用しています。その結果、関数をオーディナル経由でのみインポートするバイナリが生成されます。

この手法により、システム間でオーディナル値が一致しないため、サンドボックスシステムによるバイナリの解析が成功する可能性が低くなります。この差異により、Windows Loaderが正しい関数アドレスを見つけられないか、誤った関数を取得してしまい、その結果バイナリはサンドボックス環境で壊れてしまいます。最後に、この手法によってバイナリのリバースエンジニアリングがより困難になります。

このリポジトリには2つのプロジェクトが含まれています:

TechTestBuilder.exe

ディスクからPEファイルを読み取り、名前インポートされた関数をそのオーディナル値で上書きします。生成されたプログラムは、インポートされた関数が生成元システムと同じオーディナル値を持つシステムでのみ実行できます。

• TechTestBuilder.exeプログラムを使用して、mimikatz.exe をオーディナルインポートの関数に変換した mimikatzDRM.exe を生成します。

• 生成に使用したシステムとは異なるシステムで mimikatzDRM.exe を実行すると、次のエラーが発生します。

OrdinalDRMBin.exe

このプロジェクトは、最初に実行されたときにDRM手法自体を利用します。つまり、このバイナリは他のマシンでは簡単に実行できません。OrdinalDRMBin.exe は次の手順を適用します:

1. ローカルプログラムに名前インポートされた関数があるかどうかを確認し、なければIATパッチの適用をスキップします。
2. ディスクから自身を読み取り、名前インポートされた関数をすべてオーディナルインポートに変換します。
3. ディスクから自身を削除します。
4. すべての関数がオーディナルでインポートされる新しいイメージを書き込みます。

• 以下の画像は、実行前の OrdinalDRMBin.exe を示しています。関数が名前でインポートされていることに注意してください。

• 以下の画像は、実行後の OrdinalDRMBin.exe を示しています。関数がオーディナルでインポートされていることに注意してください。

注記

前述のとおり、生成された実装のすべてのインポート関数について正確に同じオーディナル値を持つシステムのみが、保護されたバイナリを実行できます。ただし、異なるDLLから関数をインポートすることで、この可能性を低減できます。IAT Camouflage モジュールで使用されているのと同じアプローチをこの目的に利用できます。