CrackMe Medium Crackme on C++. Loader imitation with memes and VMP

[xLamantine]

Задача: вывести месседж бокс с надписью stop abusing my pasted protection
Как запустить: запустите tikni.exe и нажмите init the shit. После чего окно пропадет, у вас будет 30 секунд чтобы заинжектить длл в любой процесс. Если появится окно с выше указанным текстом, то все сделали правильно.
Задача: убрать зависимость dll от tikni.exe. (обязательно заставить все работать без нажатия кнопки init the shit, а лучше вообще без лоадера)
Ентри поинты накрыты вмп, без виртуализации. В длл есть небольшой xor, ну и конечно пару рофлов. Удачи. В процессе работы можете делиться рофлами, которые найдете при попытке кряка, будет интересно)

https://drive.google.com/file/d/1n3OMw63kV3unjkDCw4DttjATM2FZt18R/view?usp=sharing

Пароль: lamantine

 

[sky1e]

VT:

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[xLamantine]

VT: VirusTotal - Analysing file

Молодец конечно, но архив запаролен

 

[sky1e]

Молодец конечно, но архив запаролен

типо как

 

[xLamantine]

типо как

Антивирусы не могут проверить содержимое архива, если на нем есть пароль. Пароль в теме.

 

[Zaria]

Писать отдельный патчер не стану т.к лень, да и времени особо нету.
Скажу так.
Проверка FindWindowA RVA: 1280.
Если она не проходит, то поток не создаётся.

MessageBoxA

RVA: 115F.
Если же проверка не проходит, то наш молодой человек открывает через ShellExecuteA ссылочку на видео.

(Которая у меня почему-то не сработала.)
Ну в принципе все.

 

[xLamantine]

Писать отдельный патчер не стану т.к лень, да и времени особо нету.
Скажу так.
Проверка FindWindowA RVA: 1280.
Если она не проходит, то поток не создаётся.
Посмотреть вложение 176453
MessageBoxA
Посмотреть вложение 176454
RVA: 115F.
Если же проверка не проходит, то наш молодой человек открывает через ShellExecuteA ссылочку на видео.
Посмотреть вложение 176455

(Которая у меня почему-то не сработала.)
Ну в принципе все.

Ну отреверсить, то ты отреверсил, а патчить кто будет?
И такой вопрос, что бы ты делал если бы я спрятал импорты? (не критикую, просто интересно)

 

[Zaria]

Ну отреверсить, то ты отреверсил, а патчить кто будет?

Для патча вмп нужно писать патчер, а писать патчер ради одной проверки я не стану, мне просто на просто лень, как я писал выше, да и времени нету.

Ну отреверсить, то ты отреверсил, а патчить кто будет?
И такой вопрос, что бы ты делал если бы я спрятал импорты? (не критикую, просто интересно)

Импорты спрятал, хахаха.
Так они у тебя и так спрятаны, я их сам подписал, если ты не заметил.

 

[xLamantine]

Для патча вмп нужно писать патчер, а писать патчер ради одной проверки я не стану, мне просто на просто лень, как я писал выше, да и времени нету.

Так что там с импортами все таки?

 

[Zaria]

Так что там с импортами все таки?

Читать разучили?
А так сказать сказал, делай, и посмотрим на то, как ты импорты спрячешь, ахаха.
Не найду их наверное :(

 

[xLamantine]

Читать разучили?
А так сказать сказал, делай, и посмотрим на то, как ты импорты спрячешь, ахаха.
Не найду их наверное :(

Ну lazy importer например, просто интересно прикольнуться и усложнить жизнь в плане поиска винапи функций

 

[Zivs]

4:19

4:20

 

[xLamantine]

Импорты спрятал, хахаха.
Так они у тебя и так спрятаны, я их сам подписал, если ты не заметил.

Импорты спрятал вмп, а не я.

 

[Zaria]

Ну lazy importer например, просто интересно прикольнуться и усложнить жизнь в плане поиска винапи функций

Даже вмп отработает лучше, чем LZI.

Импорты спрятал вмп, а не я.

Я знаю, что импорты спрятал вмп, под виртуализацией.
Ладно, больше по этому поводу писать не стану, жду некст версию, раз ты считаешь, что лейзи тебе поможет лучше чем вмп.

 

[xLamantine]

Даже вмп отработает лучше, чем LZI.

ну так вмп это протектор, его цель запротектить, так что он просто делает для этого все возможное, с помощью lzi просто прячутся импорты. В вмп то что было изначально мутирует из вне, а lzi прячет импорты уже на ходу после компиляции и назревает вопрос, что будет работать лучше.
В теории если снять вмп, то можно увидить и импорты, которые изначально никто не прятал.

 

[Zaria]

ну так вмп это протектор, его цель запротектить, так что он просто делает для этого все возможное, с помощью lzi просто прячутся импорты. В вмп то что было изначально мутирует из вне, а lzi прячет импорты уже на ходу после компиляции и назревает вопрос, что будет работать лучше.
В теории если снять вмп, то можно увидить и импорты, которые изначально никто не прятал.

Лейзи просто будет вызывать из регистров, не думаю что реверсеру это жизнь усложнит, а ну и в IAT функ не будет - всё.

ну так вмп это протектор, его цель запротектить, так что он просто делает для этого все возможное, с помощью lzi просто прячутся импорты. В вмп то что было изначально мутирует из вне, а lzi прячет импорты уже на ходу после компиляции и назревает вопрос, что будет работать лучше.
В теории если снять вмп, то можно увидить и импорты, которые изначально никто не прятал.

Перед снятием вмп, тебе нужно пофиксить импорты и релоки, если они имеются.

 

[Dark_Bull]

 

[xLamantine]

Скрытое содержимое

Расскажи последовательность действий, стало интересно