makin

I create makin to make initial malware assessment little bit easier for me, I think it's useful for others as well, It helps to reveal a debugger detection techniques used by a sample.

私は makin を作成しました。これは最初のマルウェア評価を少し簡単にするためのもので、他の人にも役立つと思います。サンプルが使用するデバッガ検出テクニックを明らかにするのに役立ちます。

Any feedback is greatly appreciated: @_qaz_qaz

フィードバックは大歓迎です: @_qaz_qaz

How does it work?

仕組みは？

makin opens a sample as a debuggee and injects asho.dll(main module renames all dlls before injection), asho.dll hooks several functions at ntdll.dll and kernelbase.dll libraries and after parameters checkings, it sends the corresponding message to the debugger (makin.exe).

makin はサンプルをデバッグ対象として開き、asho.dll（メインモジュールはインジェクション前にすべての dll の名前を変更します）を注入します。asho.dll は ntdll.dll と kernelbase.dll ライブラリのいくつかの関数をフックし、パラメータチェックの後、対応するメッセージをデバッガ（makin.exe）に送信します。

makin also generates a script for IDA Pro to set breakpoints at detected APIs.

makin はまた、検出された API にブレークポイントを設定するための IDA Pro 用スクリプトを生成します。

At this moment, makin can reveal following techniques:

現時点で、makin は以下のテクニックを明らかにできます:

ntdll.dll:

• NtClose - ref: The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess - ref: The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open itself)
• NtCreateFile - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open a driver)
• LdrLoadDll - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState - ref: The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess - ref: The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - ref:

kernelbase.dll:

• IsDebuggerPresent - ref: MSDN
• CheckRemoteDebuggerPresent - ref: MSDN
• SetUnhandledExceptionFilter - ref: The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW - checks registry keys
• RegOpenKeyExInternalW - レジストリキーをチェック
• RegQueryValueExW - checks registry key values
• RegQueryValueExW - レジストリキーの値をチェック

You can add more VM checks via editing checks.json file, without modification of the executable

checks.json ファイルを編集することで、実行ファイルを変更せずに VM チェックを追加できます。

That's all for now, you can add as much as you wish :)

以上です。好きなだけ追加してください :)

Third-party

• Zydis (MIT License)
• JSON for Modern C++ (MIT License)

DEMO:

デモ: