Obfuscation

Au lieu d'une table d'imports normale, le programme résout les API à l'exécution via LoadLibrary et GetProcAddress sur des chaînes chiffrées, laissant l'IAT statique quasi vide et l'analyste aveugle.

Une instruction arithmétique ou logique unique est remplacée par une séquence équivalente plus longue : la passe -sub d'OLLVM qui gonfle les expressions et casse la reconnaissance naïve de motifs.

Des séquences d'instructions sans effet et des octets de remplissage désalignés sont insérés pour gonfler le code et désynchroniser les désassembleurs en balayage linéaire, masquant le vrai flux d'instructions.

Des opérations simples sont remplacées par des mélanges sémantiquement équivalents d'opérateurs arithmétiques et booléens, déjouant la reconnaissance de motifs et la simplification du décompilateur tout en préservant le résultat.

Les instructions natives sont traduites en un bytecode personnalisé exécuté par un interpréteur embarqué : le reverser voit une boucle fetch-decode-dispatch au lieu du code machine d'origine.