Druckbare Version
Hallo!
Da ja einige an einem Appendix bezüglich Emulator interessiert waren und ich vor kurzem wieder damit konfrontiert wurde, habe ich es nun fertig geschrieben.
Es geht um das Bypassen von BitDefender's Emulator. Die verwendete Methode sollte allerdings auch bei anderen Emulatoren wirken.
DL: http://rapidshare.com/files/39028443...s_Emulator.pdf
BITTE FEEDBACK GEBEN!
MfG DizzY_D
Super :'D
Wurde auchmal Zeit dass es kommt.
Mache gleich Feedback
[Edit:] Habe es eben mal überflogen und find es echt interessant wie sich emulatoren mit einer Schleife austricksen lassen.
Wünsche mir aber trotzdem noch einpaar weitere Bypassing Tuts ;)
Cool vielen Dank
Ich würd mich freuen, wenn es jemand reuppen könnte...
Wurde schon 10mal heruntergeladen.
Jo ich reuppe gleich mal.
Eine Frage hab' ich da noch.
Undzwar sagst du am Anfang des Textes, dass wenn der Emulator die Datei startet und danach abbricht - er der Grund ist warum die Datei als Virus angesehen wird.
Wie sollte man dann vorgehen wenn der Emulator nicht daran Schuld ist?
Bzw. wo liegt dann der Grund ? Heurisitik|Signatur whatever?!
Wenn der Emulator nicht durchgelaufen wird und man die Exe nicht ausführt, bleibt wohl nur noch die Heuristik/Signaturerkennung ;).
Bei "Ausführungserkennung" können es allerdings noch z.B Hooks auf bestimmte APIs sein oder "Triggered" Memoryscan (Speicher der Anwendung wird bei einem bestimmten Ereignis/API Aufruf/whatever gescannt).
Ich würde mir das tut auch gerne mal ansehen, hat nich einer lust das nochmal hoch zu laden ? Hab schon lange auf nee fortsetzung gewartet ;)
Bitte löschen!!! Doppelpost
i like. nett erklärt und auch für asm-nabs verständlich.
als idee für trash code: winapi. zB ne msgbox mit der falschen parameter anzahl aufrufen. sollte den emu schön austricksen^^
Versteh ich nicht oO. Könntest du das mal genauer erklären?Zitat:
Zitat von wacked
Sry wegen dem Collectors Account! Vielleicht ist ja jemand so nett und stellt mir n Premium Acc zur Verfügung, da meiner gestern abgelaufen ist. Aber keinen gestealten Shit, wenns geht!
Ich hab ihn mal auf meinem geuppt Dizzy ;)
ähm wie wäres mit collectors acc erstellen? hochladen kann man damit auch.
zu der trashcode sache:ne Messagebox brauch ja 4 parameter(hwnd,text,titel,knopftyp). wenn man sie jetzt mit nur 3 parametern aufruft (ka wie das in ASM geht. ich hab mit c++ angefangen damit ich nie nie nie so sachen wie MOV eax,666 machen muss) gibbet einen fehler. evt exception handling in ASM und dat passt. der emulator wird wahrscheinlich als sinnvolle aktionen schlucken.
War nur so ne idee für etwas fortgeschrittenen junkcode
Ein fehlerhafter Junkcode also?
Denke mal nicht, dass soetwas klappt.
Denn der Emulator müsste sofern misstrauisch werden wenn ein Code innerhalb des Emulators abbricht ;)
deswegen exception.
Wenn du nur 3 Parameter statt 4 auf den Stack legst, muss es nicht unbedingt zu einer Exception kommen. Um eine Exception auszulösen, gibt es weit bessere und einfachere wege.
Bsp:
Da es die Adresse 00000000 nicht gibt, kommt es zu einer Exception.Code:xor eax,eax
mov dword ptr[eax],eax
Allerdings interessiert das den Emulator nicht. ;)
Wenn der Exception Handling nicht unterstützen würde, würden ja sehr viele Apps garnicht emuliert werden können.
Was man eventuell versuchen könnte, wäre der Int2d Trick. Ich weiß nicht ob BitDefender das schon Implementiert hat. (Aber EBFE weiß das bestimmt ;))
Naja, ich würde eher sagen, dass int 2d und andere "Erkennugsmethoden" verdächtig wären ;). Afaik werden auch zu viele simple "Sinnlosbefehle" am Stück (NOPs, XCHG, MOV REGX,REGX, PUSH+POP) heuristisch angezweifelt. Allerdings sind das wiederum Infos aus zweiter Hand.
Interrupt 0x2d ist schon etwas länger bekannt, mich würde es ziemlich wundern, wären die Emulatoren da nicht up-to-date. Bezogen auf EBFE's Post: Letzteres habe ich auch schon erlebt.
Denkbar wäre auch, dass eine Entropy zum Einsatz kommt, bei Junkcode, der viele Junkbytes enthält. Wenn man diese als Daten wertet, kommt man für ein Codestück auf einen erheblich ungewöhnlichen Entropy-Wert. Ebenso denkbar für die Erkennung von Junkcode wäre die Ablaufverfolgung. So kann man sehr schön Schleifen erkennen und - im Falle von Junkcode mit vielen Basic Blocks - auch eben diesen.
Eine Frage noch,
wo kriegt man diesen Commandoscanner her?
Finde nix oÔ'
Jop hab das Tutorial erst heute entdeckt und ist ein wirklich einfacher Trick, welcher auch logisch nachzuvollziehen ist, erklärt hast du es gut. Das mit der Emulationszeit wusste ich noch gar nicht...
Ich habe eine Frage bezüglich des jmps bei mir steht nach dem ep direkt code wie soll ich da bitte einen jmp einbauen?
Dann solltest du den Code verschieben.
Ein bisschen Trashcan einbauen, dann dahin springen wo Platz ist (Stichwort: Code Cave).
Dort fügst du die Anti-Emulatorschleife ein und hängst die Befehle an, die du überschrieben hast.
Anschließend springst du mit einem Jump zurück in Richtung Entry-Point (nicht direkt dahin, sonder dahin, wo der Rest vom Code steht, den du nicht ersetzt hast)
Wenn du mit der Beschreibung nichts anfangen kannst solltest du dir entweder üblegen es zu lassen, oder ASM zu lernen.
erst mal vielen dank für die antwort und ja ich habe es verstanden. aber dann noch eine frage was ist ASM?
Assembler (eine Programmiersprache).
Um genau zu sein, die Sprache, in der du gerade in Olly deine Datei betrachtest...
Wobei du dich vielleicht ein wenig mit der Ring3 Ebene und den damit verbundenen V.Adressen auseinandersetzen solltest.
Ich bedanke mich für dieses gute Werk!
sry für den Doppelpost, könnte jemand das Tut nochmal reuppen?
Kann es jemand bitte neu Reuppen?
Reupp im ersten Post!
Führt leider nur auf die Linklist ohne Inhalt.
Grüße
So, jetzt sollte es aber wirklich gehen...
Ok Funzt, danke DizzY_D.
Nur noch ne Frage wo kann ich den Scanner Downloaden? Find den nirgens.
Grüße