|
Título: packer desconocido Publicado por: Revolutions en 12 Enero 2011, 20:09 pm ¿Como puedo saber el packer que tiene este exe?
Lo he intentado con las herramientas habituales y me dicen que no tienen menos uno que dice que no pero hay algo sospechoso, al cargarlo con Olly me dice que se ha detectado. El archivo en cuestion esta en lenguaje Visual FoxPro el archivo normalmente tiene un tamaño de 11MB +/- y ahora unos 4,82MB, puede ser un packer o un compresor. ¿como deberia proceder para saber a que me enfrento? http://www.megaupload.com/?d=5ACM6792 http://www.mediafire.com/?7pen7rucmz3th1w GRACIAS Título: Re: packer desconocido Publicado por: MCKSys Argentina en 12 Enero 2011, 23:15 pm Parece ser un FoxPro, pero lo han cambiado.
Por lo pronto, el OEP parece estar en 401873. Toda la parte que se ejecuta, puede desofuscarse quitando los bytes E9 que sobran (que estan insertados en el codigo). Ahi vas a ver como carga APIs y llama a VirtualProtect. La verdad, no lo he mirado mucho por falta de tiempo, pero con estos tips, seguro que lo sacas. NOTA: Casi todo el EXE es puro Overlay. El EXE real parece ser de 352Kb. No estoy seguro, pero creo que los FoxPro trabajan asi: El EXE que corre y toda la aplicacion como Overlay. Saludos! Título: Re: packer desconocido Publicado por: Revolutions en 17 Enero 2011, 18:58 pm Gracias MCKSys, lo siento pero no se seguir con tus indicaciones, si quieres dime como elimino los bytes E9.
El OEP me sale el 0040401B GRACIAS por tu ayuda Título: Re: packer desconocido Publicado por: MCKSys Argentina en 18 Enero 2011, 20:32 pm Hola!
Bueno, aca te dejo este pequeño script para Odbgscript, con el que podras quitar la ofuscacion de codigo. Ejecutalo estando en el EP del programa. Código: var addr Con esto el codigo quedara "limpio" ;) Saludos! Título: Re: packer desconocido Publicado por: Revolutions en 15 Febrero 2011, 20:19 pm Hola MCKSys Argentina
Me da un error en la linea 9 algo asi Ollyscript Error Error on line 9 Text: mov [addr], 90,1 Gracias chico Título: Re: packer desconocido Publicado por: MCKSys Argentina en 15 Febrero 2011, 20:40 pm Yo uso OdbgScript v1.78.3 y no me da problemas... :)
Saludos! Título: Re: packer desconocido Publicado por: Revolutions en 15 Febrero 2011, 21:49 pm Gracias, era eso que la version mia era antigua.
Saludos Título: Re: packer desconocido Publicado por: Revolutions en 21 Febrero 2011, 11:52 am a ver si me pueden dar una mano, no consigo donde esta el punto caliente, en references string no tiene nada, busco en memory y pongo un breakpoint on acces en el kiko malo, lo dejo correr y entonces traceo a lo retro, pero despues de mucho tiempo no lo consigo algo estoy haciendo mal o no estoy haciendo. Agradeceria una ayuda por favor.
Saludos |