Como todo exe automodificable, primero hay que "liberarlo" de dicha automodificación.
Para tener un exe "libre" hay que poner un BP luego de que se ejecuta la rutina de desencriptación del código, corregir la sección .data (porque ya tiene cosas inicializadas), NOPear el call a la rutina de desencriptación (no olvidar el PUSH!) y dumpear (arreglando el EP. Se puede agregar la IAT en una nueva sección.).
Luego, sólo es cuestión de parchear la rutina 404A10 para que devuelva siempre 0.
Y eso es todo.
Saludos!
PD: No doy más detalles sobre lo primero, para evitar posibles problemas...
PD2: @.:UND3R:.: El dump es el que te hace crashear Olly? Si es así, es porque la sección .data tiene variables inicializadas (crashea cuando llama una API de threads). Por eso puse de corregir la sección .data...
Para tener un exe "libre" hay que poner un BP luego de que se ejecuta la rutina de desencriptación del código, corregir la sección .data (porque ya tiene cosas inicializadas), NOPear el call a la rutina de desencriptación (no olvidar el PUSH!) y dumpear (arreglando el EP. Se puede agregar la IAT en una nueva sección.).
Luego, sólo es cuestión de parchear la rutina 404A10 para que devuelva siempre 0.
Y eso es todo.
Saludos!
PD: No doy más detalles sobre lo primero, para evitar posibles problemas...
PD2: @.:UND3R:.: El dump es el que te hace crashear Olly? Si es así, es porque la sección .data tiene variables inicializadas (crashea cuando llama una API de threads). Por eso puse de corregir la sección .data...
