Foro de elhacker.net

Buenas gente del foro, este código lo había hecho hace unos cuantos años por el 2014 (https://foro.elhacker.net/programacion_cc/dudacomo_resuelve_el_pe_loader_direcciones_de_memoria_en_secciones_ejecutables-t421844.0.html), pensando que lo había perdido hasta que lo encontré hace un par de días, finalmente he decidido liberarlo como FOSS para quien quiera probarlo.

La idea es cifrar y/o destruir parte del contenido de las funciones para evitar el análisis estático de los binarios, esto lo tome como idea hace años del antiguo sistema de protección de Themida/WinLicense de Oreans:

#include <stdio.h>
#include <math.h>
#include "codeencryption.h"
 
#pragma optimize("",off)
_declspec(noinline)int addOperation(int a, int b)
{
	int iRetval;
	CodeEncryption cdProtection;
	cdProtection.dwPassWord = 0xDEADBAFF;
	cdProtection.biOptions = ENCRYPTION_PAGE_PROTECTIONS | ENCRYPTION_CLEAR_CODE;
	iRetval = a;
	BeginEncryption(&cdProtection);
	iRetval += b;
	EndEncryption(&cdProtection);
	return iRetval;
}
 
_declspec(noinline)int addAndSquareRoot(int a, int b)
{
	int iRetval;
	CodeEncryption cdProtection;
	cdProtection.dwPassWord = 0xDEADBAFF;
	cdProtection.biOptions = ENCRYPTION_PAGE_PROTECTIONS | ENCRYPTION_CLEAR_CODE;
	iRetval = a;
	BeginEncryption(&cdProtection);
	iRetval += b;
	iRetval = (int)sqrt(iRetval);
	EndEncryption(&cdProtection);
	return iRetval;
}
#pragma optimize("",on)
 
int main()
{
	int a = 4, b = 21;
	printf("%i+%i=%i\n", a, b, addOperation(a, b));
	printf("%i+%i=%i\n", a, b, addOperation(a, b));
	getchar();
	printf("sqrt(%i+%i)=%i\n", a, b, addAndSquareRoot(a, b));
	printf("sqrt(%i+%i)=%i\n", a, b, addAndSquareRoot(a, b));
	getchar();
	return 0;
}

Donde se puede ver el código original compilado se vé de la siguiente forma:
(https://raw.githubusercontent.com/BloodSharp/CodeObfuscation/master/Images/OriginalOutput.png)
(https://raw.githubusercontent.com/BloodSharp/CodeObfuscation/master/Images/Original.png)

Sin embargo si se le pasa el mini sistema de protección que cifra y elimina las rutinas:
(https://raw.githubusercontent.com/BloodSharp/CodeObfuscation/master/Images/EncryptedOutput.png)
(https://raw.githubusercontent.com/BloodSharp/CodeObfuscation/master/Images/Encrypted.png)

Como se pudo observar parte de la función que elegí queda cifrada y en ejecución si se ejecuta más de una vez esta se elimina del código asignando opcodes de NOP.

Desventaja:
Requiere deshabilitar el ASLR (https://es.wikipedia.org/wiki/Aleatoriedad_en_la_disposición_del_espacio_de_direcciones) lo cuál no es lo usual hacerlo dado a que esto está habilitado por defecto para evitar exploits.

Cosas para terminar:
Mejorar la detección de las funciones que marcan el que código cifrar y/o eliminar.

Enlace al repositorio:
https://github.com/BloodSharp/CodeObfuscation


B#