.

[Shout]

MCKSys es un monstruo, yo le he retado en varias ocasiones con crackmes y me los resuelve todos practicamente. Te aconsejo que trabajes un buen crackme con alguna rutina de generación de serial o keyfile. Añadas alguna protección antidebug (las más jodidas son las basadas en ticks o timming) y luego lo enmascares todo con una buena VM y/o Packer.

Suerte!

Ya, ya me he revisado algunos de sus posts (y también hubo algún crackme tuyo), y veo que no se le resiste nada...

Así que nada, gracias por el consejo, pero antes de hacer crackmes, aprenderé a crackearlos (mi nivel de unpacker es... muy bajo). Así tendré claro qué es lo más jodido que hay, y podré hacer crackmes buenos.

Saludos!

[.:UND3R:.]

MCKSys Argentina, por cierto a que te refieres con "IN" podrías explicar este truco?

SHOUT: No creo que sea muy entretenido un packer muy difícil, entretenido es la habilidad del reversing ya que muchos se aburren intentando desempaquetar por lo cual prefieren no aceptar el reto, saludos y excelente reto  .

[MCKSys Argentina]

MCKSys Argentina, por cierto a que te refieres con "IN" podrías explicar este truco?

Sería algo como esto (detección del Hypervisor de VMWare):

Código (asm) [Seleccionar] Expandir


function IsInsideVMware: Boolean;
begin
 Result := True;

 try
   asm
     push edx;
     push ecx;
     push ebx;

     mov eax, 'VMXh';
     mov ebx, 0;
     mov ecx, 10;
     mov edx, 'VX';

     in eax, dx;

     cmp ebx, 'VMXh';
     setz [Result];

     pop ebx;
     pop ecx;
     pop edx;
   end;
 except
   Result := False;
 end;
end;


Lo que se busca es el 'VMXh' o el 'VX'. En el caso de Enigma, copia el string 'VMXh' en la sección .data y luego lo compara con lo devuelto por el comando IN. Creo que hace eso para ocultar la comparación. De todas formas, entre una cosa y otra hay varias instrucciones, lo que te permite buscar el valor en memoria, cambiarlo y chau detección...  

Saludos!

EDIT:

Me olvidé de decir que esta detección se puede quitar desde el mismo VMWare (editando el .vmx): click.

Pero como te jode las VMTools (te quita el copy/paste entre OS host y OS emulado), no las uso (excepto con VMProtect  ).

[.:UND3R:.]

Increíble estuve investigando el cómo funcionaba esto y no tengo nada que decir, increíble  eres un genio