Buenas!

Me estoy dedicando a analizar un poco de malware y me surge una duda.

El programa es una versión del Security Shield 2011 (rogue). Viene comprimido con un compresor desconocido para el PeID o el RDG. Tras jugar un rato, llegué al OEP (o lo que yo creía que era el OEP). Hago el dump, arreglo la IAT (sin problemas) y, cuando todo parece que va como la seda, el programa no arranca. Bueno, sí arranca pero se estropea enseguida. Como no tengo nidea de por qué puede pasar, arranco los dos exes (el original y el dumpeado) y, una vez el original está en el OEP, comparo cómo se van ejecutando. Me fijo en que, para una función que parece tener el mismo nombre, el original lo carga desde ntll y en el dumpeado la arranca desde kernel32. No entiendo por qué pasa esto.

Al final lo que hice fue esperar a que la rutina de desempacado cargara el programa original en la memoria y lo dumpee desde allí, pero sigo sin entender por qué el dumpeado no funcionaba.

¡A ver si me podéis echar una mano!

Saludos!

Gracias por tu respuesta.

Supongo que tienes razón pero el problema está en que la dirección que me devuelve dicha función es distinta en función (valga la rebuznancia) de si se carga desde kernel32 o de ntdll. Esa dirección la usa poco después para un salto y lo que sucede es que se va a una parte de la memoria que no tiene más que morralla, con lo que tendría que parchear el salto para que vaya adonde toca pero dado que no es un salto fijo (coge el valor de eax), si lo cambio lo más probable es que pete por otro lado. Sigo buscando

Saludos!

Yo verificaría lo mismo que dice NOX, debes intentar encontrar el salto entre una estructura de la IAT correcta y una incorrecta ahí ver si se puede nopear, también puede ser que el programa contenga comprobaciones. como tamaño final del archivo, comprobación, crc, e incluso nombre del archivo. Para comprobar CRC cambia un nombre de la sección del empaquetado, si no abre es CRC, agrega bit's 0 en el original de 1000 en 1000 bite's con un editor hexadecimal hasta aumentar su tamaño el doble o triple, si no abre es por que detecta el peso, renombra el original con otro nombre ejemplo por ejemplo1 si no abre es por que comprueba el nombre de la aplicación. En sí debes investigar y comparar como trabaja desde el OEP tanto el empaquetado con el unpack

Saludos

El ImportRec te avisa cuando una entrada está mal, o tal vez no estabas poniendo bien los datos que te pide para poder reparar correctamente...

Que ver tienes del ImportRec?

Nox.