[原创]逆向分析某VT加持的三角洲行动外挂-逆向工程-看雪安全社区

# 前言
最近无意间打开之前的虚拟机,发现有个外挂。才想起来之前因为太忙给忘记了。
 ![图片描述](upload/attach/202503/878559_78NH9EAZENF9WVG.webp)
 ![图片描述](upload/attach/202503/878559_7YPVBFEW7X5SUUZ.webp)
首先感谢Rog的大力支持
ROG！！！！！！一瞬间想到了[[原创]逆向分析某VT加持的无畏契约纯内核挂](https://bbs.kanxue.com/thread-281181.htm)
不会是之前ROG逆过之后又来三角洲起个名字ROG名字吧。哈哈哈。那么就直接用ROG打败ROG。call ROG
现在都直接让用户自己加载驱动了吗?太卷了，随便在C盘整个卡密，直接加载驱动，老规矩，先dump。go go
 ![图片描述](upload/attach/202503/878559_EEFWB3SCDK6AWB6.webp)
 ![图片描述](upload/attach/202503/878559_MPG3WGM5NEG8PBG.webp)
mapper，删除自身。记录那些都不用看,基本就是清理三件套
既然验证在内核上面，会访问“C:\1.txt”。直接inline hook NtReadFile
 ![图片描述](upload/attach/202503/878559_2WWPKRHTYFQ5F3W.webp)
 ![图片描述](upload/attach/202503/878559_HSR2VGWZK9XRTG2.webp)
# Mapper
随便搜了下字符串即可看到。xrefs一下
 ![图片描述](upload/attach/202503/878559_KAU5MTBXS8FDS5B.webp)
 ![图片描述](upload/attach/202503/878559_VHNHQ5CMF3XXCZ2.webp)
 ![图片描述](upload/attach/202503/878559_3S75ZF7RAMX52EY.webp)
# 虚拟化
 ![图片描述](upload/attach/202503/878559_Q86A88F3ERFQPTX.webp)
 ![图片描述](upload/attach/202503/878559_BP2E96C95RVB9QN.webp)
这不是<a href="elink@44dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6B7L8$3&6G2L8h3q4F1k6$3!0Q4x3V1k6Z5N6R3`.`.">hv</a>吗。clone一份hv编译合并下pdb。除key以外完全一模一样，logger都不带删的
 ![图片描述](upload/attach/202503/878559_T2M35TV8H3HXVA2.webp)
# InitProcAddress
 ![图片描述](upload/attach/202503/878559_CY7FENSAKRBUT73.webp)

```
NtProtectVirtualMemory
NtAllocateVirtualMemory
NtQueryInformationProcess
NtQuerySystemInformation
IopLoadDriverImage
NtMapViewOfSection
NtOpenSection
NtClose
NtDebugActiveProcess
NtDeviceIoControlFile
NtQueryValueKey
MmCopyMemory
MmMapIoSpace
NtCreateSection
MmGetPhysicalAddress
RtlWalkFrameChain
PsLookupProcessByProcessId
MmAllocateIndependentPages
MmFreeIndependentPages
MmCreateKernelStack
MmDeleteKernelStack
PspExitProcess
KiPreprocessFault
MouseClassServiceCallback
gafAsyncKeyState
gptCursorAsync
```
还有一些WSK相关的和其它的懒得贴了
# EPT
## 无痕断点
 ![图片描述](upload/attach/202503/878559_YJDTX4NRUAXBBMJ.webp)
## InstallEptHook
 ![图片描述](upload/attach/202503/878559_KJVX3DV6QQD2HR5.webp)
分析前面的时候看到一些地址大概都在FFFF9D8100000000开始，IDA直接搜索
随便挑了一个0FFFF9D819186E000h 跳过去看一下。直接和去年腾讯游戏安全的一模一样
 ![图片描述](upload/attach/202503/878559_JMEQRSHVH6PGENU.webp)
```
oMouseClassServiceCallback
oPsLookupProcessByProcessId
oKiPreprocessFault
oPspExitProcess
oRtlWalkFrameChain
oMmCopyMemory
oNtCreateSection
oIopLoadDriverImage

```
初步怀疑就是抄的同一份
大致hook了KiPreprocessFault，MmCopyMemory，ZwMapViewOfSection，PspExitProcess
RtlWalkFrameChain怎么相比之前的还变少了。
## hkKiPreprocessFault
一模一样
 ![图片描述](upload/attach/202503/878559_MERXU32D5ZGCSU6.webp)
## hkPspExitProcess
游戏退出 移除EptHook
  ![图片描述](upload/attach/202503/878559_UNNUSKAZE47CYAR.webp)
## hkRtlWalkFrameChain
同样判断当前mapper驱动和自己存放链表的数据范围
 ![图片描述](upload/attach/202503/878559_4V45V5BZT3ZHT6V.webp)
## hkMmCopyMemory
flags != MM_COPY_MEMORY_PHYSICAL 时并且在当前mapper驱动和自己存放链表的数据范围内return STATUS_SUCCESS
 ![图片描述](upload/attach/202503/878559_VUBU6RJHZ7B5TZR.webp)
 ![图片描述](upload/attach/202503/878559_9FUQ5T54VGF48RC.webp)
## NtCreateSection
这部分被VM了  大概猜测就是游戏启动初始化hook 游戏的一些hook
 ![图片描述](upload/attach/202503/878559_M35MWXE8MT3762W.webp)
# DwmRender
## 内核DWM+ImGui
  无痕断点 dwm进程NtGdiDdDDIGetDeviceState保证自己在dwm上下文
  内核DWM的具体分析参考 [[原创]记一次仿写一个内核DWM绘制](https://bbs.kanxue.com/thread-279167.htm)
 ![图片描述](upload/attach/202503/878559_5ZJDBQ62ZVJQNWP.webp)
## ImGui Init

初始化ImGui和DircetX相关的。<a href="elink@472K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4j5X3q4T1P5g2)9J5c8V1c8G2N6h3u0D9k6f1y4S2L8r3I4n7j5h3y4C8i4K6u0r3j5X3I4G2j5W2)9J5c8X3t1H3x3r3j5J5y4e0N6V1j5h3b7^5x3h3j5I4z5r3q4X3z5e0f1H3x3K6l9K6k6r3y4T1y4e0R3I4z5o6u0W2x3h3k6S2x3U0V1I4x3r3k6Q4x3V1k6p5L8%4g2T1L8r3g2o6j5h3I4D9j5X3q4U0K9#2)9J5c8W2y4@1M7X3!0F1k6@1c8%4L8g2u0W2L8X3c8W2M7W2)9J5k6h3S2Q4x3U0y4x3z5o6l9`.">FindDWMSwapChain</a>
 ![图片描述](upload/attach/202503/878559_MDAXWN56YP6RKHW.webp)

![图片描述](upload/attach/202503/878559_H9B23GRQ7ACSW7T.webp)

![图片描述](upload/attach/202503/878559_3AVTG77Z68YAY8F.webp)

![图片描述](upload/attach/202503/878559_8YPBDPCRSREE24S.webp)
 截断的部分
 ![图片描述](upload/attach/202503/878559_3PHV4BEE5ZXNG88.webp)
其中的用户模式调用类似<a href="elink@815K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4j5X3q4T1P5g2)9J5c8V1c8G2N6h3u0D9k6f1y4S2L8r3I4n7j5h3y4C8i4K6u0r3j5X3I4G2j5W2)9J5c8X3#2S2M7%4c8W2M7W2)9J5c8V1c8G2N6h3u0D9k6f1y4S2L8r3I4T1j5h3y4C8i4K6u0r3j5$3q4D9L8p5u0S2j5$3E0Q4x3X3g2Z5">DoubleCallBack</a>
 ![图片描述](upload/attach/202503/878559_NFC69VHW6CFQQP6.webp)
 KiCallUserMode相比DoubleCallBack的基本一比一ntoskrnl的
 ![图片描述](upload/attach/202503/878559_J6U9ZSA2CHDFK3X.webp)
## HackMenu
因为没有卡密登录不了，所以不知道有什么功能,所以逆了下菜单。
上来就是字符串加密，写个简单脚本解密下
 ![图片描述](upload/attach/202503/878559_9J938G5J2U8YA2E.webp)
 ![图片描述](upload/attach/202503/878559_QMTU7Z72FCTX82F.webp)
```
xor_key = 0x9DFE2A8A2F8FCF2C

en_str = [
    0x756EB06300DC8165,
    0x873CF16A06740BB,
    0xB18B202C9BE8977,
    0xC071966F8E2729BB,

]

for i in range(len(en_str)):
    en_str[i] ^= xor_key

print("Decrypted values:")
for i, value in enumerate(en_str):
    print(f"en_str[{i}] = 0x{value:X}")

byte_data = b""
for value in en_str:
    byte_data += value.to_bytes(8, byteorder="little")

try:
    utf8_string = byte_data.decode("utf-8")
    print("Decrypted string (UTF-8):")
    print(utf8_string)
except UnicodeDecodeError:
    print("Failed to decode as UTF-8. Raw bytes:")
    print(byte_data)
```

```
INS/隐藏菜单[F1战斗模式]
[透视设置]
显示骨架
显示血量
显示方框
显示射线
显示昵称
显示人机
[物品设置]
基本就是品质过滤
[瞄准设置]
子弹追踪
障碍判断
漏打
调试信息
```
外挂的功能大概就这些

# LoopGameData
## Esp
Hook游戏,获取关键数据。由于我自己电脑没有游戏，所有没有分析具体是什么
 ![图片描述](upload/attach/202503/878559_TFJHX7WUB35W2FR.webp)
判断数据是否有效
 ![图片描述](upload/attach/202503/878559_YKEA3F5GM3KEFXC.webp)
寻找到人物以及物品的StaticClass并且从数组中过滤出来
 ![图片描述](upload/attach/202503/878559_9Y2F7JGZ6FXJWXN.webp)
 ![图片描述](upload/attach/202503/878559_99NKKAUKAEX8FJW.webp)
Skeletal
 ![图片描述](upload/attach/202503/878559_4ZVUUPVPT8RYTMK.webp)
## AimBot
漏打部分直接调用游戏LineTraceSingle自瞄算法大手子写法
 ![图片描述](upload/attach/202503/878559_WBNSEHCTQSKXJNY.webp)
 ![图片描述](upload/attach/202503/878559_G4HR4DATBA2Z6D4.webp)
# 总结
一句话概括就是大杂烩，而且四不像。各种抄，VT照搬hv,内核DWM没有解决桌面分辨率改变失效问题(估计也没能力解决)。给我的感觉就是啥都会点儿。对比之前的就改了下hook点，字符串加密，初始化和机器码部分加了VMP,不再有任何R3的可执行文件。
最后说一句，收手吧阿祖们，外面全是ACE。

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-3-26 08:08 被thisif编辑，原因：

#系统底层 #调试逆向

上传的附件：

Sample.rar （7.12MB，365次下载）

最新回复 (30) 1 2 ▶
fengyunabc 雪币： 5386 活跃值： (6187) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 632 粉丝 27 关注私信	fengyunabc 1 2 楼感谢分享。 2025-3-26 09:41 0
mb_ripshzdx 雪币： 603 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_ripshzdx 3 楼感谢分享，学习了 2025-3-26 10:25 0
mb_emstadsv 雪币： 24 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	mb_emstadsv 4 楼收手吗，阿祖，里面也全是ace 2025-3-26 11:49 0
灰灰Hui 雪币： 334 活跃值： (2237) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 1 关注私信	灰灰Hui 5 楼合并pdb是啥操作，求教最后于 2025-3-26 11:58 被灰灰Hui编辑，原因： 2025-3-26 11:58 0
Roger 雪币： 4869 活跃值： (4606) 能力值： ( LV8，RANK：147 ) 在线值：发帖 6 回帖 132 粉丝 133 关注私信	Roger 1 6 楼 mark 2025-3-26 14:55 0
Imxz 雪币： 112 活跃值： (9435) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 754 粉丝 9 关注私信	Imxz 7 楼合并pdb是啥操作，求教大佬 ,如何合并 2025-3-26 15:19 0
fanfall 雪币： 659 活跃值： (1555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	fanfall 8 楼灰灰Hui 合并pdb是啥操作，求教同求 2025-3-26 15:21 0
thisif 雪币： 1785 活跃值： (1605) 能力值： ( LV4，RANK：50 ) 在线值：发帖 5 回帖 13 粉丝 87 关注私信	thisif 9 楼 bindiff 最后于 2025-3-26 16:57 被thisif编辑，原因： 2025-3-26 15:44 0
syser 雪币： 6007 活跃值： (7440) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 240 粉丝 10 关注私信	syser 10 楼灰灰Hui 合并pdb是啥操作，求教我也想知道啥叫合并PDB 2025-3-26 17:48 0
syser 雪币： 6007 活跃值： (7440) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 240 粉丝 10 关注私信	syser 11 楼灰灰Hui 合并pdb是啥操作，求教 ACE不是预加载，他这个loader.sys是个过期签名啊，怎么加载的？ 2025-3-26 17:49 0
Godyp 雪币： 216 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	Godyp 12 楼不应该啊，他这个应该是截图截死的，除非vt干了检测 2025-3-27 07:52 0
木志本柯雪币： 6571 活跃值： (8624) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 9 关注私信	木志本柯 13 楼这个外挂作者啥都会一点，就是不知道，兼容性怎么样，有的电脑都下载不了符号表吧，靠特征码定位的nt函数吗？ 2025-3-27 08:11 0
Godyp 雪币： 216 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	Godyp 14 楼毫无新意，没有东西copy 2025-3-27 08:13 0
milko 雪币： 1507 活跃值： (2525) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 6 关注私信	milko 15 楼 syser ACE不是预加载，他这个loader.sys是个过期签名啊，怎么加载的？并不是所有的过期签名都会被拦截，只是一些在黑名单里面的签名会被拦截 2025-3-27 08:50 0
Cohen 雪币： 1347 活跃值： (3914) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 54 粉丝 0 关注私信	Cohen 16 楼大佬眼中的小菜我眼中的大佬内核实现外挂完全体功能太屌了吧 2025-3-30 22:26 0
AyaseMiya 雪币： 181 活跃值： (450) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 1 关注私信	AyaseMiya 17 楼这种程度也能过ACE吗（大佬求一份pdb） 2025-3-31 14:57 0
mb_ripshzdx 雪币： 603 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_ripshzdx 18 楼学习了，感谢分享 2025-3-31 22:38 0
thisif 雪币： 1785 活跃值： (1605) 能力值： ( LV4，RANK：50 ) 在线值：发帖 5 回帖 13 粉丝 87 关注私信	thisif 19 楼 AyaseMiya 这种程度也能过ACE吗（大佬求一份pdb）据说是还在用，不过换名字了。稳定性未知 2025-4-2 16:36 0
smile1110 雪币： 266 活跃值： (721) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 43 粉丝 1 关注私信	smile1110 20 楼谢谢大佬 2025-4-4 17:08 0
hungnguyen 雪币： 188 活跃值： (2156) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 21 楼 Thank you! 2025-4-6 09:54 0
mb_ynzogkgy 雪币： 38 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	mb_ynzogkgy 23 楼能帮我做个外挂吗大佬 2025-5-11 12:34 0
小希希雪币： 2869 活跃值： (5675) 能力值： ( LV2，RANK：10 ) 在线值：发帖 17 回帖 360 粉丝 18 关注私信	小希希 24 楼感谢分享 2025-6-14 14:58 0
jax006 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	jax006 25 楼感谢分享 2025-7-5 19:11 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复