Packing & Crypters

Les sauts conditionnels sont remplacés par des points d'arrêt INT3 tandis qu'un processus débogueur parent détient une table associant chaque adresse à la cible et à la condition réelles du saut, corrigeant l'exécution à chaque exception de débogage.

Après le chargement, le stub met à zéro l'en-tête PE en mémoire ou corrompt SizeOfImage, si bien que les dumpers mémoire qui s'appuient sur l'en-tête échouent, forçant l'analyste à reconstruire l'en-tête avant de pouvoir analyser un dump.

Le packer copie les premières instructions du point d'entrée d'origine dans une mémoire de stub allouée dynamiquement et redirige l'EP, si bien qu'un dump naïf manque de ces octets et que le véritable OEP reste caché jusqu'à leur récupération.

Les packers effacent ou redirigent la table des adresses d'import et résolvent les API via un thunk personnalisé à l'exécution, si bien qu'un dump statique n'a aucun import exploitable et doit être reconstruit avant analyse.

Un crypter encapsule une charge utile chiffrée et un petit stub qui, à l'exécution, déchiffre le code d'origine en mémoire et lui transfère l'exécution, si bien que l'antivirus statique ne voit que le stub et un blob à forte entropie.