makin

Я создал makin, чтобы немного упростить для себя первоначальную оценку вредоносного ПО; думаю, это будет полезно и другим. Он помогает выявлять техники обнаружения отладчика, используемые образцом.

Любая обратная связь приветствуется: @_qaz_qaz

Как это работает?

makin открывает образец как отлаживаемый процесс и внедряет asho.dll (основной модуль переименовывает все dll перед внедрением). asho.dll перехватывает несколько функций в библиотеках ntdll.dll и kernelbase.dll, и после проверки параметров отправляет соответствующее сообщение отладчику (makin.exe).

makin также генерирует скрипт для IDA Pro для установки точек останова на обнаруженных API.

На данный момент makin может выявлять следующие техники:

ntdll.dll:

• NtClose — ссылка: The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess — ссылка: The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile — ссылка: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open itself)
• NtCreateFile — ссылка: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open a driver)
• LdrLoadDll — ссылка: The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState — ссылка: The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess — ссылка: The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation — ссылка:

kernelbase.dll:

• IsDebuggerPresent — ссылка: MSDN
• CheckRemoteDebuggerPresent — ссылка: MSDN
• SetUnhandledExceptionFilter — ссылка: The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW — проверяет ключи реестра
• RegQueryValueExW — проверяет значения ключей реестра

Вы можете добавить больше проверок VM, редактируя файл checks.json, без изменения исполняемого файла

На этом пока всё, можете добавлять сколько угодно :)

Сторонние библиотеки

• Zydis (лицензия MIT)
• JSON for Modern C++ (лицензия MIT)

ДЕМО: