Сейчас на форуме: (+5 невидимых)

 [email protected] —› Протекторы —› Неизвестный протектор
Посл.ответ Сообщение

Ранг: 1.5 (гость)
Активность: 0.010
Статус: Участник

Создано: 07 марта 2019 02:20 · Поправил: soonyo84
· Личное сообщение · #1

Скан-№1


Скан-№2


Размер файла: 5 Мегабайт.
Скачать: --> Link <--
Virustotal: --> Перейти <--

Пробовал распаковать стандартным UPX не получается. Кто подскажет реально ли такое распаковать: При запуске пишет вот что: "Размер файла не верен".

Рад и благодарен любым подсказкам, скриншотам, мыслям.




Ранг: 90.1 (постоянный), 89thx
Активность: 0.290.56
Статус: Участник

Создано: 07 марта 2019 02:29 · Поправил: Boostyq
· Личное сообщение · #2

Вот аналогичная ситуация --> Link <--
Код первого распаковщика очень схож с твоим сэмплом

-----
В облачке многоточия


| Сообщение посчитали полезным: soonyo84

Ранг: 1.5 (гость)
Активность: 0.010
Статус: Участник

Создано: 07 марта 2019 02:33 · Поправил: soonyo84
· Личное сообщение · #3

Boostyq, То есть думаете что это ASProtect? Я в этом не сильно опытный, по этому много спрашиваю.




Ранг: 1131.7 (!!!!), 447thx
Активность: 0.670.2
Статус: Участник

Создано: 07 марта 2019 02:37
· Личное сообщение · #4

во-первых, глянь энтропию, возможно файл и не упакован вовсе
во-вторых, имхо это левый проект с левой сигнатурой упикса поверх

Добавлено спустя 1 минуту
Boostyq пишет:
Код первого распаковщика


прям таки распаковщика? сбрось листинг в тему, плиз

| Сообщение посчитали полезным: soonyo84


Ранг: 90.1 (постоянный), 89thx
Активность: 0.290.56
Статус: Участник

Создано: 07 марта 2019 02:40
· Личное сообщение · #5

Мсье, почитайте пожалуйста все посты там, словам юпитера я доверяю больше
Но факт в том что ситуации одинаковы, можете посмотреть сорсы upx --> Link <--

-----
В облачке многоточия




Ранг: 1.5 (гость)
Активность: 0.010
Статус: Участник

Создано: 07 марта 2019 02:40
· Личное сообщение · #6

Gideon Vi, Получается, подменили сигнатуру ?




Ранг: 1131.7 (!!!!), 447thx
Активность: 0.670.2
Статус: Участник

Создано: 07 марта 2019 02:42 · Поправил: Gideon Vi
· Личное сообщение · #7

Boostyq, лол, а файл-то открывался где-нибудь?



Ранг: 1.5 (гость)
Активность: 0.010
Статус: Участник

Создано: 07 марта 2019 02:44 · Поправил: soonyo84
· Личное сообщение · #8

Gideon Vi, Да, на Пк своем. Там сообщение что размер файла не верный и все закрывается.




Ранг: 1131.7 (!!!!), 447thx
Активность: 0.670.2
Статус: Участник

Создано: 07 марта 2019 02:46
· Личное сообщение · #9

soonyo84 пишет:
Получается, подменили сигнатуру


у мну на руках ничего нет, чтобы уверенно говорить, мну в отпуске. Вот и прошу листинг от Boostyq, он-то файл открывал, чтобы так уверенно говорить о "аналогичной ситуации"




Ранг: 90.1 (постоянный), 89thx
Активность: 0.290.56
Статус: Участник

Создано: 07 марта 2019 02:47 · Поправил: Boostyq
· Личное сообщение · #10

Gideon Vi пишет:
прям таки распаковщика

Прям таки его, декомпрессор nrv2e.
https://github.com/upx/upx/blob/master/src/stub/src/arch/i386/nrv2e_d32.S
https://pastebin.com/pPCq8jyY
Gideon Vi пишет:
он-то файл открывал, чтобы так уверенно говорить о "аналогичной ситуации"

Мне пофиг на твой троллинг, юпксы ваши вижу второй раз в жизни, но стаб любой человек узнает.

-----
В облачке многоточия





Ранг: 1131.7 (!!!!), 447thx
Активность: 0.670.2
Статус: Участник

Создано: 07 марта 2019 02:47
· Личное сообщение · #11

soonyo84 пишет:
Да, на Пк своем


а экзешник-то хоть от чего?



Ранг: 14.3 (новичок), 5thx
Активность: 0.070
Статус: Участник

Создано: 07 марта 2019 03:17
· Личное сообщение · #12

Чем не упых? Версия только постарей. Около тройки. Естественно новый упых не распакует.

bfb1_07.03.2019_EXELAB.rU.tgz - Безымянный.png

| Сообщение посчитали полезным: soonyo84

Ранг: 315.1 (мудрец), 631thx
Активность: 0.30.33
Статус: Модератор
CrackLab

Создано: 07 марта 2019 03:29
· Личное сообщение · #13

Есть отдельная тема которая закреплена --> Link <--


 [email protected] —› Протекторы —› Неизвестный протектор
Эта тема закрыта. Ответы больше не принимаются.
   Для печати Для печати