-
-
[原创]某南极动物厂新版XX分析——系统线程部分（新瓶旧酒）
-
发表于: 2020-6-27 11:29
-
这里分析的是6月18号的版本，由于某些原因这里隐去敏感内容
目前静态分析跟踪到7个系统线程创建，线程创建过程如下：
先判断hv是否存在
如果hv不存在则搜索SeSetAuditParameter中的FF E1特征码
根据如果成功搜索到上述fake thread entry则把线程入口指向上述entry，线程参数指向原真实线程入口（也就是rcx=真实线程入口，并且jmp rcx）
然后调用pscreatesysthrd创建系统线程
目前分析到的7个线程分别是：
CheckKSharedUserDataKdDebuggerEnabledThread
AntiKdDebuggerThread
CheckGameProcessDebuggedThread
CheckKeTimeAcceleratedThread
GameCommonCheckThread
sub_xxxxxxxx（作用不明，可能代码被注释或功能暂未实装）
判断KSHARED_USER_DATA->KdDebuggerEnabled & 1或 & 2 ?
每5秒检测一次，如果判断为true则蓝屏
如果系统版本大于等于win7则执行int2D指令触发SEH（由于静态分析无法分析SEH所以exception之后不知道发生了什么）
否则调用KdDisableDebugger
每5秒执行一次上述功能
ExecuteForGameProcess(AntiProcessDebug);对所有受XX保护的GameProcess执行AntiProcessDebug回调
如果EPROCESS.DebugPort != 0则触发蓝屏
上述检测每10秒执行一次
检测系统时间是否被加速，导致KeDelayExecutionThread的等待时间结果跟HalQueryRealTimeClock时间差不一致
如果时间不一致：
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
if(g_pObGetObjectType) g_pObGetObjectType(Object) |
|
|
|
|
|
|
|
|
|
|
|
感谢 |
|
|
CR4.TSD Time Stamp Disable (bit 2 of CR4) — Restricts the execution of the RDTSC instruction to procedures running at privilege level 0 when set; allows RDTSC instruction to be executed at any privilege level when clear. This bit also applies to the RDTSCP instruction if supported (if CPUID.80000001H:EDX[27] = 1). |
|
|
|
|
|
|
|
|
|
|
|
直接call ntoskrnl.ObGetObjectType |
|
|
直接call ntoskrnl的ObGetObjectType |
|
|
谢谢大表哥 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
大表哥牛批
|
|
|
|
|
|
大佬 想向你请教一下 刚入门 需要怎么学习好点 望指点迷津，让孤独的道路不再迷茫
|
|
|
|
|
|
|
hzqst
还是不太懂那个
