UnPackMe: Sepanta 1.00b Basic

[Raham]

سلام بر دوستان عزیزم


یه مدت سرگرم تربیت فرزند عزیزم (Sepanta) بودم...
این ورژن از سپنتا هیچ ربطی به سپنتای قبلی نداره.... و کاملا از نو بازنویسی شده...
این آنپک می از ورژن Basic پروتکتورم هستش..تکنیک های 100% اختصاصی خودم رو روی Ultimate دارم میزارم که هروقت تمام شد احتمالا آنپک می میزارم.
واسه آنتی دیباگ کار زیادی انجام ندادم متاسفانه...اما از نظر تکنیکی فکر کنم حرفهایی داشته باشه واسه درد دل... اما بازم نظر اساتید ملاک هستش...

خوشحالم که سپنتا رو به VM مجهز کردم... اما چون آخر کار بهش اضافه کردم.... وقت نشد خیلی روش کار کنم... اما ایشالا تو نسخه Ultimate سر قضیه VM & Nanomites داستان ها خواهیم داشت:چشمک:
تو این آنپک می روی Nanomites اصلا کار خاصی انجام ندادم...(تکنیک هایی که مدنظرم بود واسه نانو)
همچنین Anti Attach & Anti Dump غیر فعال هستش....
ای بابا تو که بدون سپر دفاعی اومدی تو میدون نبرد... شرمنده دستمون خالیه:لبخندساده:

از اساتید عزیزی که موفق به آنپک خواهند شد خواهش می کنم لطف کنن میزان امنیت رو حتما ذکر کنن.
و خواهش می کنم امنیت هر تکنیک رو جداگانه بگن... مثلا امنیت کلی x از 10
قدرت نانومیتس : y از 10

راستی یادم رفت: واسه Import Protection اصلااااااا باب دلم کار نکردم:گریه:


پیشاپیش از اساتید عزیز Narnia & Strong Bytes که افتخاری هستن برای همه ما تشکر می کنم که بزودی آنپک می کنن:قلب:

جای استاد عزیز Magic هم واقعا خالیه...:ناراحت:




راستی یه خواهش دیگه: دوستانی که آنپک می رو دریافت کردن اگه رو سیستمشون اجرا نشد حتما پست بدن (دو تا فحش هم بدن) که بدونم سازگاری در چه حد هستش.

به امید موفقیت همه
یا حق

[Mask]

سلام بر دوست گرامی
برنامه بر روی ویندوزایکس ‍‍‍‍‍‍‍پی سرویس پک3 این خطا رو میده و اجرا نمیشه

---------------------------
UnPackMe_SP.exe - Application Error
---------------------------
The instruction at "0x84634300" referenced memory at "0x84634300". The memory could not be "read".


Click on OK to terminate the program
---------------------------
OK
---------------------------

[Raham]

سلام بر دوست گرامی
برنامه بر روی ویندوزایکس ‍‍‍‍‍‍‍پی سرویس پک3 این خطا رو میده و اجرا نمیشه

---------------------------
UnPackMe_SP.exe - Application Error
---------------------------
The instruction at "0x84634300" referenced memory at "0x84634300". The memory could not be "read".


Click on OK to terminate the program
---------------------------
OK
---------------------------


سلام دوست عزیز

ممنونم ازینکه تست کردین...راستش این مورد رو تا نبینم نمیدونم مشکلش کجاست.
روی سیستم دیگه ای هم اگر امکانش هست واستون تست کنید. یک دنیا ممنون میشم


دوستان عزیزی هم که اگر اجرا نشد لطف کنن پست بدن


موفق باشیم
یا حق

[narnia.xx]

آنپک شده

مخصوص ایکس پی سرویس پک 2 و 3 چون روی این دو تا تست شده .

موفق باشید.

[Raham]

سلام بر استاد عزيز Narnia
شما و StrongByte
سالار نباشين بس كي باشه؟:x

دست مريزاد. من موندم تاحالا كدوم بروكتور زير دست شما دوون آورده؟
استاد عزيز لطف ميكني بكين بروتكتور رو جطور ارزيابي ميكنين؟
واقعا واسم مهم هستش كه

Anti debug

Nanomites

VM

Stolen Res

CODE Obfuscation

Import Redirection

به تفكيك جطور ارزيابي مي كنيد عزيز؟ هدف من از قراردادن UnpackMe دقيقا دونستن قدرت هر كدوم از تكنيك هام هستش.



بي نوشت: به قول دوستي PE وقتي به شما ها ميرسه خودبه خود شروع ميكنه به درد دل كردن!


ممنونم استاد
يا علي

[Raham]

با سلام و عرض ادب



استاد 5و6 تا JUMP نانو رو بنظر میرسه اشتباه فیکس شدن
بعضی ها نوع اون...بعضی ها هم نوع هم آدرس مقصد
مثل آدرس های:
417D36
418903
418988
418E19

داستان چیه استاد؟


(در هر صورت دمتون گرم)



یا حق

[narnia.xx]

سلام

ادرس 418E19 باید jmp باشه اما در اینجا jz هم همون کار رو انجا میده چون دو تا دستور بالایی jnz داریم اگر flag ست نشده باشه پرش به ادرس دیگه ای انجام میشه و اگر flag ست شده باشه دستور بعدی fdiv هست که کاری با zf نداره و بعدش به 418E19 میرسیم که صددرصد پرش مثل jmp صورت میگیره .
سه تای دیگه هم ادرس هاش همونهایی بودند که برنامه ی خودت به اونجا ها پرش می کرد .

ادرس 418988و418A6B هم در بررسی اول باید jz می بودن که بعد با jnz راحت کار کرد .:متفکر:
شاید هم باید به ادرس 418D4D پرش می کرد که اونهم مشکلی نداشت.
jnz 418D4D
البته ادرسها همونی بودن که برنامه به اونجا ها پرش می کرد و من تغییرشون ندادم

حتی ادرسهایی هم بودند که میشد nop شون کرد چون اگر پرش انجام بشه برنامه با یک runtime error میاد بیرون حالا اگر nop باشن و برنامه بخواد error بده اونوقت با یک runtime error دیگه میاد بیرون در غیر اینصورت برنامه راحت اجرا میشه.

با تشکر

[joker]

دیدن فیلم آنپک را خواستاریم ( انجمن حمایت از پروتکتورها )

[Raham]

دیدن فیلم آنپک را خواستاریم ( انجمن حمایت از پروتکتورها )
سلام جوکر جان

بعید می دونم نارنیای عزیز اینکارو انجام بده.... ولی انجام بده من از خدامه:بامزه:


پی نوشت: آنپک می رو سیستم شما اجرا شد ؟


موفق باشید
یا علی

[joker]

به علت آبرو ریزی ادیت شد :بامزه:

[narnia.xx]

این اررور هیچ ربطی به خرابی فایل اجرایی انپک شده نداره .
اگر ضد ویروس به فایلی گیر بده مطمئنا اجازه ی اجرای صحیح رو هم نمیده.
من خودم رو دستگاهم comodo وصل بود و اصلا فایل انپک می اصلی اجرا نشد و وقتی comodo رو از رو سیستمم بر داشتم اجرا شد.
در ضمن دو تا سکشن اخری مربوط میشه به vm جناب رهام که کدهای اجرایی هستن (یا حداقل یکیش) و به فایل اصلی چسبیدن و اون dropper رو هم برای این حالتها بکار می برن و منظور این هست که به فایلت تیکه کد اجرایی چسبیده یا اضافه شده.
من vm رو گذاشتم تو فایل انپک شده باقی بمونه و اون اررور ربطی به ویروس و این چیزها نداره البته به همون vm جناب رهام گیر داده چون بقیه فایل یک فایل اجرایی ویژوال بیسیک معمولی هستش.
با یک برنامه سکشنها رو یه نگاهی بنداز اگر با ساختار فایلهای اجرایی اشنا باشی ویروسی توش نمیبینی .
بدون شید اجراش کن البته در این جور موارد باید uninstall ش کنی چون اگر Gui رو End Task کنی اصل کار درایورهاش هست که داره کار میکنه. (windows\system32\drivers)
راستش من رو دوتا دستگاه یکی ایکس پی سرویس پک دو و دیگری سرویس پک سه و روی دو تا virtual machine هم تستش کردم مشکلی نبود حتی مقادیر رجیستر ها رو هم در قسمتهای مختلف برنامه با خود انپک می تست کردم در همه ی موارد یکی بودن و همچنین تستهای دیگه .
اگر دستگاهی گیرم بیاد بازم تست می کنم.

با تشکر

[Raham]

سلام جوكر جان

ازين عكسي كه كذاشتين اينطور بر مياد كه به علت تشخيص صد ويروس شما دسترسي به فايل اجرايي مسدود شده و فكر نميكنم مشكل از فايل UnPack شده باشه


موفق باشيم
يا علي

(داشتم بست ميدادم نارنياي عزيز هنوز بست نداده بودن بعد از ارسال ديدم ايشون جواب رو نوشتن. ديكه نشد بست رو حذف كنم)

[joker]

سوتی ضایعی دادم اصلا حواسم نبود ( شکلکی که سر را میکوبه به دیوار )