无法解压严重混淆的恶意软件

逆向工程 恶意软件 。网
2021-06-29 12:15:16

我正在尝试解压缩带有 ConfuserEx 1.0.0 的恶意软件,但我似乎无法让它工作。每次我删除防篡改时,整个文件都会损坏。

我尝试了我在网上找到的所有可能的工具,当失败时,我尝试使用我在网上找到的一些教程手动执行此操作,但我总是在解压的第一阶段破坏了可执行文件。我在这个示例中使用了 dnspy。每次我试图定位防篡改模块时,它最终都是错误的,我最终破坏了可执行文件..

然后我尝试调试它并检查 x64(32 位)调试器上的内存转储,我发现了一些反调试机制,但我仍然遗漏了一些东西,因为该程序一直在运行垃圾代码,直到我与它分离并崩溃,转储它当它已经加载到内存中时也会转储垃圾代码。

我在这里错过了什么?有没有人有拆开 confuserex 包装器的经验?你们能把我链接到我遗漏的一些信息吗?或者解释一下 ConfuserEx 是如何工作的?

如果您能帮助我了解如何打开它,我将不胜感激。我将在此处提供示例:

[WARNING THIS IS A LIVE MALWARE SAMPLE]
eagleepicsocks(dot)com/jk/jkeq.exe
[WARNING THIS IS A LIVE MALWARE SAMPLE]
1个回答

ConfuserEx在运行时解压缩您的可执行文件,然后对其进行控制。ConfuserEx装载完成其工作,你可以转储内存和装配。

为了避免检测,您可以在加载程序完成解包后恢复SysInternals Process ExplorerProcDump转储实时进程。如果在受保护的程序中没有实施其他措施,这可以避免对加载程序的早期干扰并简化您的转储。

您可以找到一个解包器,例如,ConfuserEx-Unpacker应该可以完成这项工作。然而,更有趣的部分是手工制作:这篇写得很好的博客展示了如何在真实案例中做到这一点。