Mal wieder: dillo dumpen
Hi Leute,
aus reinem Interesse und Langeweile hab ich mir vorgenommen, ein Programm zu unpacken, das laut PEiD und RDG Packer Detector mit Armadillo gepackt ist. PEiD sagt mir, das sei mit Armadillo 3.xx - 4.xx gepackt. RDG Packer Detector sagt das auch, allerdings nur im normalen Modus. Im tiefenreinen Modus sagt es mir, das Programm sei mit Armadillo 8.0 gepackt. Es benötigt beim ersten Starten die Eingabe einer (Trial)-Lizenz.
LordPE hat mir erfolgreich den OEP ermittelt, welcher auch von RDG Packer Detector bestätigt wurde. Allerdings nur als OEP A (laut RDG). RDGs OEP B ist noch an einer etwas anderen Position, was nur noch zu meiner allgemeinen Verwirrung beigetragen hat.
Ich habe schon eine Anzahl automatischer Unpacker ausprobiert, darunter ArmaGeddon 1.9 und ArmaGUI; ohne Erfolg. Einzig LordPE erzeugte mir eine EXE, die zwar startete, dann aber als toter (oder auch äußerst aktiver) Prozess ohne Fenster im Taskmanager rumoxidierte.
ArmaRaider exportiert eine security.dll, die allerdings nur eine einzige Funktion exportiert (SetFunctionAddress oder so ähnlich). Nebst DllEntry.
Darüber hinaus habe ich es mit OllyDbg 1.10 und OllyDump 2.21 manuell probiert (OllyDbg versteckt mit diversen Hide-Plugins, weil Armadillo hier wirklich hartnäckig gegen Debugger unterwegs ist). OllyDump hängt sich dabei auf mit 100% CPU Last (25% auf'm Vierkerner, also 100% auf einem Kern). Die EXE, die OllyDump erzeugt, ist überhaupt nicht lauffähig. Geöffnet in einem Editor sind die ersten 2 Zeichen 'MZ', also nach meinem Verständnis, wenn OllyDump das nicht selbst erzeugt, korrekt gedumpt. Wahrscheinlich sind da noch irgendwelche Referenzen falsch.
Anmerkung zwischendurch: das zu dumpende Programm hat laut Prozessliste nur einen einzigen Prozess laufen.
Vielleicht hat ja jemand von euch, freundlich wie ihr seid (lese schon ein wenig länger mit hier), den zündenden Tipp für mich, wo ich noch weitermachen kann. Wie kriege ich zum Beispiel raus, warum OllyDump sich beim Dumpen aufhängt?
Ich beiß mir daran echt die Zähne aus.
Betriebssysteme, unter denen ich den Dump versuche:
* Windows 7 Ultimate 32bit
* Windows 7 Ultimate 64bit
* Windows XP SP3 32bit
Danke schon mal im Voraus für alles, was ihr dazu beitragen könnt!
Viele Grüße!
 |
