هدية للمنتدى Delphi Tips Manager v1.0 مع أكثر من 3800 كود

[I3CT]

بعد الفحص تبين انه تروجان ما التعليل

الاجابة السريعة للمستعمل العادي:
الباكر المستعمل يثير حساسية برامج الحماية...
PE FISH Packer يقوم بالضغط و تغيير حصائص بنية الملف المضغوط بطريقة تثير الشكوك حوله.


الاجابة التقنية لمحبي الهندسة العكسية:
لفك الضغط و الوصول لنقطة البداية الحقيقية ما عليك الا بتنقيح الملف:

PHP كود :

<ModuleEn>  60                   PUSHAD
004F4894    B8 24004000          MOV EAX,TipsMana.00400024
004F4899    FFD0                 CALL EAX 


ثم دخول CALL EAX

و النزول الى:

PHP كود :

004001E3    5F                   POP EDI
004001E4    C703 61EBF600        MOV DWORD PTR DS:[EBX],0F6EB61
004001EA    66:C743 F8 9068      MOV WORD PTR DS:[EBX-8],6890
004001F0    66:C743 FE C390      MOV WORD PTR DS:[EBX-2],90C3
004001F6    C3                   RET 


و ضع نقطة توقف على RET و منه الضغط 5 مرات على F8 لتجد نفسك في نقطة بداية البرنامج الغير مضغوط، ثم Dump و اصلاح الدوال... ثم حذف البايتات و التعديل في خصائص بنيته التي يعتمد علىيها برنامج الحماية في تصنيف الباكر...

يصبح حجم البرنامج بعد عمل التعديلات عليه من 345KB الى حوالي 2MB

الأدوات المستعملة:
OllyDbg
Scylla - x64/x86 Imports Reconstruction