Ayudenme a desempacar esta mañosa aplicación... porfa

[TM_Recargado]

Hola gente de EL HACKER como veran me atrevi a registrarme a esta maravillosa página, tiempo hace que la vengo siguiendo, por cierto muy interesante, y agradecer y felicitar a Shaddy y Karmany por tan maravillosos tutes...
Bueno vamos al grano... como dice un joven con ácne... jeje... sin insultar a nadie que quede claro...  

Tengo un problemón... món... món y es que quiero desempacar una aplicación llamada Exeinfo PE, ahi pongo la imagen  

 

El problema en si no esta en desempacarla, de poder se puede... lo que pasa es que cuando la desempaqueto y ejecuto la aplicación me pasa esto...  



Que es lo que quiero, quiero que alguién buena gente me diga que es lo que puede estar pasando... haber si karmany o Shaddy se aparecen por aqui y me ayudan...

Ya intente hasta con el OllyDBG y me sale archivo corrompido, la dumpeo, reconstruyo el PE y me llega a dar un error de ceros y efes, ahi pongo la imagen para que vean...  



Disculpenme si la imagen esta muy grande, como pueden ver en el EIP: 0000FFFF; hasta ahora no habia visto algo asi... con esto vuelvo a ser novato del OllyDBG....    

Bueno espero me ayuden, cualquier ayuda, cualquier comentario, es bienvenido... si me quieren putear, es aceptable...  

Me olvidaba, aqui esta la aplicación... pesa 1.70 MB 

http://www.mediafire.com/?frbckk97l6cwk1y

[Иōҳ]

Para mi que el error está en el head....

Y cómo lo unpackeastes?, para evitar cualquier problema, hazlo con la opción que trae el mismo UPX.

[karmany]

Eso tiene pinta de ser una protección anti desempacado de UPX.

¿Cómo lo has desempacado con UPX?

PD. Por experiencia diría que lo has desempacado bien pero que tienes una protección que te queda por resolver.

[Иōҳ]

Eso tiene pinta de ser una protección anti desempacado de UPX.

¿Cómo lo has desempacado con UPX?

PD. Por experiencia diría que lo has desempacado bien pero que tienes una protección que te queda por resolver.

o claro no contemplé esa opción... 

[.:UND3R:.]

No contiene detección CRC
No contiene detección de tamaño
No detecta modificación de nombre de segmento


Sigo viendo saludos

[TM_Recargado]

No contiene detección CRC
No contiene detección de tamaño
No detecta modificación de nombre de segmento


Sigo viendo saludos

Gracias .:UND3R:. - Karmany - Иōҳ - por el interes, y a los demas muchachos se les agradece tambien... espero encuentren la raiz del problema y me muestren una solucion, yo por lo pronto, sigo intentando... gracias

Ah me olvidaba, el programa no lo empaquete yo, pero segun averigue fue comprimido con el nivel 7 de compresion upx, segun los analisis... ojala sirva...

[apuromafo CLS]

1) el programa tiene upx, pero tiene un packer/ofuscador CUSTOM del autor de la aplicacion

2) el programa tiene antidebug/seh y detecciones, pero solo comienzan despues del verdadero oep reconstruido

3) tiene un gran antidump con la memoria, actualmente tengo un dumped de 87mb por ese tema

recontruido aproximadamente el oep seria asi:

0053FAD4 >  55              PUSH EBP
0053FAD5    54              PUSH ESP
0053FAD6    5D              POP EBP
0053FAD7    83C4 E0         ADD ESP,-20
0053FADA    53              PUSH EBX
0053FADB    56              PUSH ESI
0053FADC    57              PUSH EDI
0053FADD    33C0            XOR EAX,EAX
0053FADF    8945 E4         MOV DWORD PTR SS:[EBP-1C],EAX
0053FAE2    8945 E0         MOV DWORD PTR SS:[EBP-20],EAX
0053FAE5    8945 EC         MOV DWORD PTR SS:[EBP-14],EAX
0053FAE8    8945 E8         MOV DWORD PTR SS:[EBP-18],EAX
0053FAEB    B8 44EA5300     MOV EAX,53EA44

eso.animo en todo lo que sigue, yo tengo un unpacked, fixed de una version anterior, pero no creo tener el tiempo como en aquellos dias

pero aqui esta la version anterior (deben ser como 1 o 2 versiones anterior, no recuerdo)

http://www.mediafire.com/?f3k3vx9xqap2fbq

como bien esta el original y unpacked, pueden guiarse para este nuevo , pero ojo tb los recursos estan por sumas de id y variables, no es como cualquier programa esta aplicacion.
saludos Apuromafo

[Иōҳ]

grande Mafo!!!!.... 

como siempre sabemos, la mejor protección es la custom (aunque esto puede ser relativo, en fin...) XD.

Nox.

[TM_Recargado]

1) el programa tiene upx, pero tiene un packer/ofuscador CUSTOM del autor de la aplicacion

2) el programa tiene antidebug/seh y detecciones, pero solo comienzan despues del verdadero oep reconstruido

3) tiene un gran antidump con la memoria, actualmente tengo un dumped de 87mb por ese tema

recontruido aproximadamente el oep seria asi:
eso.animo en todo lo que sigue, yo tengo un unpacked, fixed de una version anterior, pero no creo tener el tiempo como en aquellos dias

pero aqui esta la version anterior (deben ser como 1 o 2 versiones anterior, no recuerdo)como bien esta el original y unpacked, pueden guiarse para este nuevo , pero ojo tb los recursos estan por sumas de id y variables, no es como cualquier programa esta aplicacion.
saludos Apuromafo

Gracias apuromafo... justamente me estaba leyendo unos tutes tuyos... veo que iba por buen camino... excelente... excelente... con esto creo que ya tengo una respuesta.... por lo pronto doy por cerrado el tema.... es asi... o los admin deciden cerrarlo o no.... de todas formas gracias a todos... viva el foro el hacker... siempre encontre soluciones aqui... una belleza... gracias... gracias...  

Apuromafo me olvidaba... no tendras un tute de alguna aplicacion parecida ya resuelta... me gustaria poder tener algo que guardar... 

[jackgris]

Grande MAfo, gracias