makin

我创建了 makin 是为了让初始恶意软件评估对我来说稍微容易一些，我认为它对其他人也很有用，它有助于揭示样本使用的调试器检测技术。

非常感谢任何反馈：@_qaz_qaz

它是如何工作的？

makin 将样本作为被调试进程打开，并注入 asho.dll（主模块在注入前重命名所有 dll），asho.dll 钩住了 ntdll.dll 和 kernelbase.dll 库中的几个函数，在参数检查之后，它会将相应的消息发送给调试器（makin.exe）。

makin 还会为 IDA Pro 生成一个脚本，用于在检测到的 API 处设置断点。

目前，makin 可以揭示以下技术：

ntdll.dll：

• NtClose - 参考：The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess - 参考：The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile - 参考：The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open itself)
• NtCreateFile - 参考：The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open a driver)
• LdrLoadDll - 参考：The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState - 参考：The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess - 参考：The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - 参考：

kernelbase.dll：

• IsDebuggerPresent - 参考：MSDN
• CheckRemoteDebuggerPresent - 参考：MSDN
• SetUnhandledExceptionFilter - 参考：The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW - 检查注册表键
• RegQueryValueExW - 检查注册表键值

你可以通过编辑 checks.json 文件添加更多虚拟机检测，无需修改可执行文件。

目前就这些，你可以随意添加 :)

第三方库

• Zydis (MIT License)
• JSON for Modern C++ (MIT License)

演示：