AntiDBG

antidbg — это пользовательская (user-mode) библиотека антиотладки для Windows x64, предназначенная для защиты программного обеспечения от отладки.

Рассматривайте библиотеку как основу для вашей антиотладочной защиты, а не как единственную линию обороны.

Библиотека:

• Очень проста в использовании (требуется всего один вызов функции).
• Спроектирована для высокой производительности и минимального потребления ресурсов (1% загрузки CPU; <2MB памяти).
• Не имеет внешних зависимостей.
• Полностью лицензирована под MIT.
• Совместима с CFG.

Структура

Модель угроз предполагает, что отладчик может перехватить программное обеспечение, защищённое этой системой защиты, с любого уровня привилегий, при этом обнаружение становится менее эффективным с повышением уровня привилегий.

Это программное обеспечение усилено для обхода тривиального перехвата на уровне CPL > 0 путём:

• Избегания любых API-хуков через системные вызовы с использованием inline assembly.
• Применения политик защиты виртуальной памяти и предотвращения инъекций для текущего процесса.
• Предотвращения подмены системных вызовов в RAX путём обнаружения и/или перезаписи нелегитимных callback-ов инструментирования.
• Обнаружения любых inline-патчей в отслеживаемых секциях .text путём сравнения on-disk vs in-memory.
• Анализа доставки обработки исключений (VEH, SEH, LPTOP_LEVEL_EXCEPTION_FILTER) и программных точек останова.
• Тестирования поведения перенаправления PAGE_GUARD.
• Защиты важных заглушек как не записываемой памяти с последующим их мониторингом с помощью аппаратно-ускоренного хеширования в отдельном потоке.
• Защиты точки входа процесса с помощью TLS callbacks от присоединения отладчика, выполняя проверку стартового адреса потока.
• Создания ловушек в точках входа отладчика, таких как DbgBreakPoint и DbgUiRemoteBreakin, для краха процесса или возврата.
• Скрытия всех потоков от событий отладчика и заморозки процесса. Обеспечивает неизменность состояния приоритета потоков.
• Установки глобального векторизованного обработчика сразу при запуске защит.

Если единственный способ выполнить проверку — использовать не вызываемую через системный вызов экспортируемую функцию, эта функция вручную реверс-инжинирится и реконструируется для выполнения в адресном пространстве модуля защитного потока. Все пользовательские структуры памяти обходятся с помощью прямой интроспекции памяти вместо использования API.

Защитные процедуры намеренно оставляют некоторые пути выполнения без защиты от пользовательских хуков, действуя как ловушки памяти. Они используются для сравнения состояний и для запутывания атакующих.

Защитные процедуры выполняются псевдослучайно. Энтропия определяется на основе чистого аппаратного ASLR, поведения стека и небольшой доли математики; без вызова ядра, использования пользовательских API или выполнения условно или безусловно завершающих инструкций гипервизорами.

При обнаружении нарушения безопасности система защиты вызывает крах текущего процесса путём вызова INT 29h с STATUS_SXS_EARLY_DEACTIVATION, обходя все обработчики исключений. В некоторых случаях она также ставит в очередь APC к ядру для завершения текущего процесса.

Обнаружения

Находятся в главной точке входа (abdg.c) этой библиотеки, описаны по порядку.

Краткие пояснения; конкретное обнаружение может выполнять больше дополнительных/подпроверок, чем описано здесь.

Больше исходного кода других концепций обнаружения вы можете найти в папке antidebug\archived.