Themida 2.0

From UIC

Themida 2.0 Unpack

Infos
Author:	Root
Email:	duat66@gmail.com
Website:	none
Date:	21/07/2009 (dd/mm/yyyy)
Level:
Language:	Italian
Comments:	Formattazione Wiki: Antelox

Introduzione

Bene iniziamo a vedere questa protezione di cui avevo sentito parlare e letto qualcosa, ma su cui non avevo ancora voluto addentrarmi perché sapevo che non sarebbe stato semplice.

Tools

DarkOlly

StrongOD 0.2.5.388

Memory Manager

Target

Questi sono i tool indispensabili, gli altri li troverete nel corso del tutorial.

Primo avvio ( se si avvia… )

Lanciamo il programma con Olly e StrongOD settato in questo modo:

Diamo uno sguardo iniziale al programma qui per esempio:

Come si vede il loader di Themida non carica la IAT per cui non si vedono le normali call[indirizzo iat] o jmp[indirizzo iat] ma vi sostituisce direttamente l’indirizzo dell’api per cui il dump in queste condizioni non sarebbe utilizzabile al prossimo riavvio o su un altro pc poichè la mappatura delle dll e quindi delle api non è su indirizzi fissi.

Ora diamo un’occhiata alla memoria:

Questa è la memoria che Themida carica per i sui scopi, tra cui vi sono tutte le sezioni necessarie per far funzionare la Virtual machine di Themida, che dovremo Dumpare come sezione unica ( io preferisco cosi che il dump di 6 sezioni ) che poi aggiungeremo al dump finale.

Dump Virtual Machine

Iniziamo proprio dalla VM, riavviamo Olly ed inseriamo un bph su VirtualAlloc ( gli deve pur allocare lo spazio necessario alle sezioni ) al primo Break guardiamo lo stack e vediamo:

Alloca 2000 byte, adesso premiamo Alt+F9 e ci troviamo qui:

In Eax abbiamo l’indirizzo della memoria allocata il cui valore viene salvato alla riga 00624c4d, bene diamo Run ed al break Alt+F9 ci troviamo in questa parte interessante:

Viene allocata la memoria per altre 4 sezioni di cui quella alla riga 006f7593 più grande delle altre ( alloca 125000 byte ), se scorriamo il listato vediamo che dopo aver caricato i dati in queste sezione alloca spazio per un’altra sezione:

Bene, adesso abbiamo tutte le sezioni della VirtuAl Machine di Themida, ricapitolando:

Come facciamo a mettere tutto questo in una sezione e poi fare il Dump della regione interessata? Bhè facile scriviamo un piccolo script come questo che ci aiuta:

Lo script è abbastanza semplice l’unica cosa che non ho inserito nello script perchè complicava le cose inutilmente è quello di far allocare la memoria necessaria per le sezioni e poi mostrarmi quale indirizzo aveva utilizzato ( chi vuole può pure farlo… ).

Quindi per farlo funzionare basta utilizzare il Plug-In Memory Manager ed al System Break Point ( poichè dopo potremmo non avere la disponibilità dell’indirizzo di memoria che vogliamo usare ) agire in questo modo:

L’indirizzo è stato scelto a caso invece per la lunghezza è la somma della grandezza delle 6 sezioni + un pochino di spazio libero ( non si sa mai… ).

OEP

Per trovare l’Oep basta mettere un bph su GetProcessHeap ed al secondo break mettere un bpm on access sulla prima sezione e siamo sull’Oep . Come mai si è scelto questa Api? Vi chiederete ( ma anche no…haha ) , basta mettere un bph su GetProcAddress dopo che ha caricato le +6 sezioni della Vm e vedrete quali api carica perche servono al loader. Noterete che carica rtlAllocateHeap ( su Vista ) e questa è quella che ci fa steppare di meno , anzi per niente ( anche se non è sempre cosi ):

Il nostro Oep è 005154e8, adesso però bisogna mettere in ordine la IAT e le call e jmp che non vi fanno riferimento come abbiamo visto all’inizio.

Fix Jmp&Call

In alcuni tutorial troverete che per sistemare la IAT a questo punto molti usano il tools UIF che carica la IAT o in una nuova sezione o dove c’è dello spazio libero sul file e fixa tutte le call e jmp, il problema che ho riscontrato con questo software e che la vm in alcune parti cerca le api all’indirizzo originale e non trovando nulla di valido va in errore, vabbè direte per una facciamo manualmente, e se invece fossero dieci? O se fossero in parti particolari del programma? Quindi la soluzione migliore e sistemare le cose a monte cioè dove Themida scrive quelle call e jmp , vediamo come procedere:

Inseriamo un bph come vedete nell’immagine sulla prima call che troviamo e riavviamo il Olly.

Al primo break se guardiamo a quell’indirizzo vediamo che vi scrive dei nop:

+ un nop prima ( per rispettare il size dell’istruzione originale... e per una sua verifica, ed a noi fa molto comodo… )

Al secondo break ci troviamo in queste condizioni:

L’istruzione a 0079a532 stos byte [edi] inserisce il byte E8 ( call ) in edi, cioè nella nostra locazione di memoria. Adesso steppiamo con F8 e vediamo quando inserisce l’indirizzo della api. Se si trattava di un jmp inseriva E9 invece che E8:

Come vedete in questo punto scrive l’indirizzo o meglio il dispacement ( distanza ) dell’api. Continuiamo a steppare e controlliamo se notiamo qualche riferimento all’indirizzo della IAT che a noi serve per poterlo prelevare ( ci deve essere per forza ) quindi troviamo questo:

Scrive l’indirizzo della funzione nella IAT originale. Bene abbiamo tutto quello che ci serve in questo caso poiché la IAT non viene reindirizzata ( ma le cose non si complicavano di molto, bisognava cambiare qualche altra cosa sempre in questa routine ).

Adesso completiamo il nostro script con le informazioni trovate:

Diciamo che l’unica cosa da precisare sullo script è quel ‘mov edi ,61b800’. Questo viene inserito per evitare che le nostre modifiche vengano sovrascritte quindi si sceglie un indirizzo vuoto ed accessibile per far scrivere al loader le sue istruzioni.

Bene adesso possiamo provare il tutto. Togliamo tutti i bp e riavviamo Olly al System BreakPoint inseriamo la nostra sezione con Memory Manager e avviamo lo script; dopo un po’ il risultato è questo:

Tutto ok sembrerebbe, vi è solo un’api non risolta, ma basta andare all’indirizzo segnato per capire che si tratta di wsprintfA

Quindi la IAT inizia a 53900 e finisce a 539cf0, quindi dump del file dump della sezione della vm. Avviamo ImpRec mettiamo a posto la IAT ed aggiungiamo la sezione della vm in questo modo:

Come avrete notato io ho eliminato due sezioni che non mi servono più, ho rinominato qualche sezione ed ho sistemato il VA ( naturalmente ) della sezione della VM. Molto bene, adesso direte, è tutto sistemato…? Io vi dico no, manco per niente il programma va subito in errore all’avvio…uffffff adesso viene tutta la parte dei vari trick AntiDump.

AntiDump

Se adesso facciamo partire il programma dumpato va miseramente in errore ma cominciamo a guardare perché. Guardiamo la differenza che salta subito all’occhio quando siamo sull’OEP:

Come notate lo stack è sfalsato, ma non solo, la dword che si trova a 0012ff88 viene utilizzata come metodo antidump. Se inseriamo quella dword in quella posizione nel nostro file il programma parte ( da altri errori che vedremo dopo ) ma il controllo viene superato. Si potrebbe pensare di inserire quella dword con del codice prima di arrivare all’OEP ma appena riavviamo vedremo che và in errore nuovamente e nell’originale quella dword sarà diversa, allora che facciamo? Bhe io ho fatto il trace fino all’errore e poi mi sono salvato il file per analizzarlo con UltraEdit, ho messo una dword qualsiasi nella posizione 12ff88 e poi l’ho cercata nel trace per vedere di capire ed ho trovato questo, come dword ho inserito FFF5870A:

In pratica fa lo xor tra la dword a 0012ff88 e la dword a 0012ff8c, molto bene allora noi che facciamo ? Noi avviamo l’originale e facciamo lo xor tra la dword a 0012ff88 e quella a 0012ff8c per noi il risultato rappresenta la costante ( anche per Themida ) e prima di arrivare all’OEP lo xoriamo con la dword che si trova a 0012ff8c praticamente inseriamo questo:

Ancora il programma va in errore; un altro fix facile da trovare.

E’ il controllo relativo al Header del PE. A noi basta mettere un bpm on access sulla sezione del PE per vedere cosa modificare . Themida non controlla tutti i campi dell’header del PE ma soltanto il campo AddressOfEntryPoint che sul programma originale quando si trova sull’OEP è settato a 0 e noi faremo lo stesso in questo modo:

La funzione VirtualProtect non è presente nella IAT del programma, noi ci ricorderemo di aggiungerla prima di dumpare il file e prima di avviare ImpRec ( aumentando anche la lunghezza della stessa ) in questo modo:

Proviamo ad avviare il programma ma ancora non và. Prima di procedere una piccola nota per dire che in questi trick in effetti non vi è proprio nulla di complicato ma è stata solo fatta una buona opera di mascheramento niente di più ( il trucco più vecchio del mondo, nascondere le cose ). Anche per i prossimi trick utilizzo il run trace per trovare le parti da sistemare perché, se usato bene, aiuta molto, logicamente si deve cercare di tracciare il meno possibile poichè la VM è ricorsiva si arriva facilmente a trace di 40, 50 Mb ma con un po’ di astuzia si riesce a risolvere questi trick guardando dove l’originale e il dump prendono valori diversi:

Come si vede prende il valore contenuto in 0061cff9 che nel caso del dump è 77099433 invece nel caso del file originale corrisponde a LoadLibraryA quindi noi sistemiamo così:

Poi noteremo che ogni tanto va in errore in questa call:

Che nell’originale corrisponde alla funzione Sleep. Per fixarlo basta vedere da dove preleva l’indirizzo, in questo caso da qui:

Noi sistemiamo in questo modo:

Quindi ricapitolando le modifiche che dobbiamo effettuare prima di arrivare all’entry point sono queste:

Ok siamo quasi alla fine mancano altri due fix, che non credo dipendano propriamente da Themida ma da come è strutturato il programma, anche se Themida fa del suo meglio per incasinare le cose. Si tratta di trovare due costanti:

Un fix è questo, nella locazione 0061dffd si trova un puntatore ad una sezione non presente nel dump ( mica possiamo dumpare tutte le sezioni ) a sua volta questo puntatore punta ad una costante che Themida utilizza quindi noi sistemiamo così:

Come avrete notato nei casi più ostici io inserisco i trace del dump e dell’originale nello stesso file cosi mi riesce più facile capire le cose.

Adesso manca un ultimo fix che io ho sistemato cosi:

Per trovare la costante ho sempre utilizzato il metodo del run trace anche se in questo ultimo caso vi sono degli xor che confondono un pochino le cose.

Ok adesso abbiamo finito ed il file funziona perfettamente:

Logicamente il file è solo unpackato... ( solo questo era il nostro scopo… )

Se in Themida cambieranno alcuni trick noi in ogni caso avremo gli strumenti per provare a risolvere senza stare li ed affidarsi a cose che ti dicono gli altri. Io ho cercato di risolvere le cose senza tener conto di tutto quello scritto in giro perché altrimenti si corre il rischio di rimanere bloccati non appena quelli della Oreans cambiano una virgola.

Nota: Nei trace se vi trovate in difficoltà e non riuscite a capire cercate sempre [Edi+70] Edi è il VM_Context ed a +70 si trova eFlags, se il programma prende una strada diversa lo vedete subito da qui ,quindi andate a ritroso nel trace.

Ciao.

Disclaimer