Доступны основные категории упаковщиков. Вставные пакеры (механические пакеры) и порты для поверхностного монтажа.

SEALEXPERTS Механические пакеры обычно используются для закачки полиуретана и закачки эпоксидной смолы под высоким давлением. Так как они не приклеиваются к поверхности, они хорошо работают во влажных помещениях и с загнившим «проблемным» бетоном.
Механические пакеры поставляются с фитингами зерка и пуговицами (скользящими фитингами). Зеркальный тип используется чаще и дешевле. Он легко подключается и отсоединяется и хорошо работает при среднем и высоком давлении впрыска.Кнопочная головка может быть полезна при работе с большими объемами и обеспечивает превосходное соединение, что полезно для инъекций одним оператором и больших приложений.

Давление впрыска — ключевое слово. Чтобы определить качественный пакер, он должен выдерживать высокие давления закачки без утечек и выхода из скважины. Плотное прилегание и прочное соединение обязательны. Никто не любит, когда пакеры выходят из строя при давлении закачки 1000 фунтов на квадратный дюйм и выше. Теперь, реально говоря, даже самый лучший пакер может немного подтекать в месте соединения при экстремальных давлениях.Но есть разница между каплей и потоком. Пакеры
Premium изготовлены из металла и имеют расширяемую резиновую втулку для минимизации выкрашивания бетона и выброса пакеров. Резина средней мягкости, «сделанная для прилипания», которая равномерно расширяется в диаметре при сжатии, обеспечивает наилучшее сцепление. Механические пакеры из дешевой пластмассы и пластиковая втулка имеют недостатки при высоких давлениях, но могут быть достаточными при закачке меньшего объема. Всегда помните, что плотная и надежная посадка имеет важное значение для безопасности техника и является ключевым фактором успешной работы с инъекциями.

Размер выбранного пакера зависит от закачиваемого объема, глубины бурения, применяемого давления закачки, а также косметических и других соображений. Общие диаметры: 1/4 дюйма, 6 мм, 3/8 дюйма, 8 мм, 10 мм, 1/2 дюйма, 13 мм, 5/8 дюйма, 16 мм, а иногда и 3/4 дюйма или даже больше. (Например, в горнодобывающей промышленности пакеры могут иметь длину в несколько футов и толщину в несколько дюймов). Для инъектирования бетона, как правило, пакеры 1/2 дюйма и 5/8 дюйма кажутся лучшим компромиссом по прочности и размеру и могут называться стандартными. .

Тем не менее, набирают популярность меньшие типы 3/8″ (10 мм). Доступны также длинные версии и удлинители. При выборе размера пакера рекомендуется делать отверстия скорее меньшими, чем большими.
Особенности конструкции такие как расположение обратного клапана, простота использования и т. д. 
Мы обычно рекомендуем пакеры механического типа для большинства работ. низкий — упаковщик для любых условий.Если требуется высокий поток продукта при более низком давлении, хорошие результаты достигаются с помощью пакера с плоской головкой 5/8 дюйма. Пакер Hammer-In 3/8 работает при низком давлении в превосходном бетоне. Точные круглые отверстия важны для плотной посадки.

Поверхностные порты обычно используются для впрыска эпоксидной смолы при низком давлении впрыска. Они приклеиваются к бетонной поверхности. Для хорошей адгезии рекомендуется расправленное основание с отверстиями. После этого линию затирки можно прикрепить с помощью системы быстрого соединения. в поверхностных портах отсутствует обратный клапан, для использования после инъекции предусмотрена заглушка.
Мы предлагаем уникальные порты для специальных применений, такие как наземный порт с фитингом zerk для использования однокомпонентных систем впрыска для небольших работ с эпоксидной смолой и полиуретаном, инъекционный винт для системы инжекционных трубок SEALEXPERTS 2000 для холодных соединений и другие специальные пакеры.

Пакеры с механическим нагнетанием — Gomet

Пакеры с механическим нагнетанием

Пакеры с механическим нагнетанием используются для инъектирования трещин в бетоне, например, при ремонте трещин с помощью инъекции смолы, укреплении грунта или заполнении трещин.Диаметр отверстий и общее состояние бетона являются основными факторами, определяющими, где следует размещать пакеры.

Наши пакеры изготовлены из стали. Благодаря высококачественному материалу они также могут использоваться в условиях высокого давления. Это инструмент для широкого спектра уплотнительных работ. Поэтому мы осознаем свою ответственность в течение всего производства. Gomet использует только европейское высококачественное сырье для производства своих пакеров.У нас есть крупные и мелкие клиенты по всему миру.

1) Если вы обнаружили трещину или течь, проверьте ее толщину, ширину, глубину и состояние.

2) Если толщина бетона меньше 10 см, сверлите прямо в трещину. Вы должны соблюдать расстояние 1/5 толщины бетона для толщины 10 см ~ 50 см. Не забудьте просверлить его под углом 45 градусов. Не следует забывать, что он проникает в сечение трещины. Расстояние 20 см ~ 30 см следует соблюдать, если толщина превышает 50 см.При бурении необходимо соблюдать фиксированный интервал (5 отверстий на 1 метр. Не забывайте сверлить зигзагами).

3) Просверленные отверстия внутри прочистить компрессором. Стальная часть с резиной должна быть помещена в бетонную поверхность во время установки. Пакер должен быть полностью затянут. (Постарайтесь не затягивать его слишком сильно. В противном случае он может быть поврежден.)

4) Используйте устройство высокого давления или шприц для смазки, чтобы ввести гидроизоляционный материал. Не забудьте поддерживать начальное давление закачки на уровне около 40 кг/см и постепенно увеличивать его на 10 кг/см до тех пор, пока гидроизоляционный материал не перестанет вытекать из трещины.Сначала из трещины будет выходить вода, затем гидроизоляционная пена и, наконец, гидроизоляционная жидкость. Вы можете использовать следующий пакер для закачки, если гидроизоляционный материал поступает из секции. Он не должен быть вспененным.

5) Снять пакер и сломать его молотком или кусачками. 6) Если вы заметили мокрый участок, не забудьте еще раз ввести материал, препятствующий проникновению воды.

Инъекционный пакер | ШОМБУРГ Германия

ADF-Balkonfolie (балконная мембрана)Компенсационные ленты ADFКомпенсационные ленты ADFГильзы для труб ADFКлей для систем ADF FBADF-SystemkleberAK7PAQUAFIN-1KAQUAFIN-1K PREMIUMAQUAFIN-2K/M-PLUSAQUAFIN-CAAQUAFIN-CJ1AQUAFIN-CJ3AQUAFIN-CJ4AQUAFIN-CJ5AQUAFIN-QAFIN-CJ6A-JUAFINSet-CJ6AQUAFIN-Set 2AQUAFIN-FAQUAFIN-i380AQUAFIN-ICAQUAFIN-P1AQUAFIN-P4AQUAFIN-RB400AQUAFIN-RS300AQUAFIN-TC07AQUAFIN-WM12AQUAFIN-WM12 cornersASIKON-5005ASO-AnschlussdichtbandASO-Anschlussdichtecke-Язо-Anschlussdichtecke-MultiASO-AntislideASOCRET-БИС-1/6 ASOCRET-БИС-5/40 ASOCRET -BMASOCRET-HB-FLEXASOCRET-HFFASOCRET-IMASOCRET-KS/HBASOCRET-M30ASOCRET-QMASOCRET-VK100ASOCRET-VK30ASO-DecorChipsASO-Dichtband-120ASO-Dichtecke-AASO-Dichtecke-IASO-Dichtmanschette-BASO-Dichtmanschette-DMHASODURCHtman -B3311ASODUR-B351 ASODUR-EK/CASODUR-EKFASODUR-EMB ASODUR-EP/FMASODUR-EV200ASODUR-G1270 ASODUR-GBM ASODUR-GH-SASODUR-IH ASODUR-K4031 ASODUR-K900ASODUR-LEASODUR-SG2 ASODUR-SG2-thixASODUR-SG3 ASODUR -SG3-superfastASODUR-SG3-thixASODUR-V2250 ASODUR-V2 257 ASODUR-V360W ASO-EZ4ASO-EZ4-PLUSASO-FF ASOFLEX-AKB-полASOFLEX-AKB-стена ASOFLEX-SDMASO-Gefälleecke-20-LASO-Joint-Sleeve-FloorASO-Joint-Sleeve-WallASO-Joint-Tape-2000ASO- Лента-стык-2000-УглыАСО-Лента-стык-2000-КрестАСО-Лента-стык-2000-САСО-Лента-стык-2000-S-УголкиАСО-Лента-стык-2000-ТАСО-ЛБ АСОЛЬ-ФЕАСОЛИН-ДМКАСОЛИН- SFC45ASOLIN-WSASOLIT-LP/KASO-LLASO-LQ ASOPLAST-MZASO-R001 ASO-R003 ASO-R005ASO-R008Армирующая ткань ASOASO-SBASO-SEBASO-SEMASO-Systemvlies-02ASO-Лента ASO-Unigrund-DASO-Unigrund-GEASO-Unigrund- K, синийASO-Unigrund-K-EU, синийASO-Unigrund-SBETOCRETE-CL170-PBETOCRETE-CL210-WPBETOCRETE-CP350-CIBETOCRETE-CP-360-WPBETOCRETE-P10BLANKOL-0BLANKOL-2000BLANKOL-5006BLANKOL-92BLANKOL-F-CAR-K30BLANKOL-SUPERKOL FLEXСамоклеящаяся отделочная лента холодного нанесенияCOMBIDIC-1KCOMBIDIC-2K-CLASSICCOMBIDIC-2K-PREMIUMCOMBIFLEX-C2/SCOMBIFLEX-DSCOMBIFLEX-ELCRISTALLFUGECRISTALLFUGE-EPOXCRISTALLFUGE-FLEXCRISTALLFUGE-HFCRISTALLFUGE-PLUSCRISTALLIT-FLEXCRISTALLIT-MULTI-FLEXDS8-Putzkontak -PLUSESCODE-P80ESCO-FLUATESCOSIL-2000ESCOSIL-2000-STESCOSIL-2000-UWКрепежная сеткаFIX 10-MFIX 10-SFIX 20-TGБлеск для ASODUR-DESIGNЗажимы удерживающиеINDUFLEX-PS INDUFLEX-PU INDU-Primer-N INDU-Primer-S Герметик гидроизоляционный KSKKSK гидроизоляционный лист FBLIGHTFLEXМерный ковшВедро для смешиванияMONOFLEXMONOFLEX-fastMONOFLEX-FBMONOFLEX-белыйMONOFLEX-XLOC17-Frostschutz (защита от замерзания)Omega clipP79-AufbrennsperrePURCOLOR 5000PURCOLOR 6000 (DM)PURCOLOR-S1 (DM)PURCREV-VV-0PURCRETE-2000 (BV)PURCRETE-2000 (BV)PURCRETE-2000 Ленты ДФПВХКварцевый песокRD-SK50REINIT-BMREINIT-NaturREMICRETE-SP10 (BV)/(FM)REMICRYL-TOPREMIPHOB-B100 (DM)REMIPHOB-B100-SpezialREMIPHOB-B1 (DM)REMIPHOB-B3 (DM)REMISILREMISIL-HEREMISIL-SIRESIL-NB150RUXOLITH T5 (ВЗ) Sanifinsaniflexsaniflex-euscreed Clampssolocret-15SOLOCRET-50SOLOFLECSOLOFLEX-FASTSOLOLLANLOPLOPLAN-30-CA солоолн-30-плюссолоплан-фасб-entkopplungsfolie (обесцвечивание мембрана) сферы сферы сочинения (отделение мембраны) сферы сферы со стойкопэрмопал-FS334THERMOPAL-GP11THERMOPAL-SPTHERMOPAL-SR24THERMOPAL-SR44-SPTHERMOPAL-SR24THERMOPAL-SR44-GREYTHERMOPAL- SR44-белыйTHERMOPAL-ULTRATragfixUNIFIX-AEKUNIFIX-S3UNIFIX-S3-fastUNIFLEX-F

А-Я

Инъекционные пакеры Sika® | Аксессуары

Инъекционные пакеры

readmore=»3″ data-read-more=»Read more +» data-read-less=»Read less -«> Пакеры Sika® Injection Packers представляют собой заправочные клапаны или порты и соединительные детали между инъекционным оборудованием и конструкцией.Одноходовые клапаны (т.е. фитинги с головкой Zerk или круглой головкой) расположены в верхней части нагнетательного пакера и соединяются с нагнетательным оборудованием. Механические пакеры (инъекционный пакер Sika® MPS/MPR/MPC): Механические пакеры представляют собой нагнетательные пакеры цилиндрической формы, которые обычно устанавливаются путем ввинчивания их в просверленные отверстия, предназначенные для этой цели. При затягивании пакеров армированная тканью резиновая втулка прижимается к стенкам скважины, так что пакеры могут выдерживать даже самые высокие давления нагнетания в скважине.Кроме того, резиновая втулка инъекционных пакеров заполняет любые незначительные зазоры между стенками скважины и пакером, так что из отверстий не может вытечь материал, даже если они не идеально круглые. Пакер для инъекций Sika®, тип MPS , представляет собой простые в обращении и экономичные пакеры для бурения отверстий для стандартных инъекционных процедур. Инъекционный пакер Sika®, тип MPR , подходят для широкого спектра применений, поскольку они также могут быть оснащены фитингами с плоской головкой Zerk для еще более высоких давлений и скоростей потока (например,грамм. для завесы). Пакер для инъекций Sika®, тип MPC , специально разработан для инъекций мелкодисперсных цементных вяжущих. Они оснащены специальным головным креплением, которое можно использовать повторно. Поверхностные пакеры (Sika® Injection Packer SP) Поверхностные пакеры представляют собой заполняющие или нагнетательные порты, которые устанавливаются непосредственно в трещину, т.е. на поверхность конструкции. Основание инъекционного пакера имеет опорную пластину для обеспечения оптимальной адгезии. Sika® Injection Packer SP предназначен для инъекций, где сверление отверстий невозможно или не разрешено. Sika® Injection Packer SP обычно используется для закачки эпоксидных инъекционных смол Sika®, которые сами по себе чаще всего используются для закачки трещин, где требуется дополнительная структурная прочность и структурное сцепление.

Продукты для заливки трещин | Green Mountain Grout

Вода может проникнуть сквозь мельчайшие трещины, а бетонные заплатки просто не выдерживают испытания временем. Инъекция полиуретановой трещины является наиболее распространенным и наиболее эффективным методом ремонта для герметизации трещин и остановки утечек воды как в Соединенных Штатах, так и за рубежом.Будь то трещина в системе метро крупного города или в подвале жилого дома, метод закачки и герметизации трещины практически одинаков.

Mountain Grout впрыскивается в трещины с помощью насоса высокого давления для заполнения и герметизации трещин и прекращения проникновения воды.

Основные шаги следующие:

Безопасность прежде всего: Прочтите паспорт безопасности (SDS) и соблюдайте все меры предосторожности. Убедитесь, что все присутствующие носят необходимые для работы средства индивидуальной защиты (СИЗ).

Сверление отверстий: Установщики используют перфоратор, чтобы просверлить отверстия в виде строчки под углом 45 градусов, чтобы пересечь трещину посередине. Буровое долото должно быть того же размера, что и диаметр выбранного нагнетательного пакера. Расстояние для нагнетательных пакеров может составлять от шести до двадцати четырех дюймов, в зависимости от размера трещины.

Промывочные отверстия: Промойте отверстия водой, чтобы удалить бетонную пыль и убедиться, что вся поверхность, подлежащая заливке, мокрая.Бетон, который только что просверлил установщик, предположительно сухой, поэтому смачивание участка гарантирует, что полиуретановая смола вспенится в отверстии, а не только в трещине. Промывка отверстия также очищает от пыли, которая может препятствовать перемещению уретановой смолы и негативно влиять на производительность.

Установить пакеры: Поместите пакеры высокого давления в отверстия. Mountain Grout предлагает врезные пакеры 3/8”, механические пакеры ½”, механические пакеры 5/8”, а также другие нестандартные размеры.Шаровой кран (смазочный фитинг) на конце пакера позволяет смоле перекачиваться через пакер в скважину и, в конечном счете, в трещину. Пакеры действуют как переборка для буровой скважины, не давая пене вернуться обратно из той же скважины, в которую она только что была закачана.

Насосная смола: Полиуретановая смола закачивается до тех пор, пока она не станет видна на поверхности трещины, затем установщик переходит к следующей скважине и повторяет процесс. Полиуретановая смола вступает в реакцию с водой в трещине, образуя гибкую, водонепроницаемую пену.Установщики увидят, как пена образуется в течение нескольких минут (в некоторых случаях секунд), а пена полностью затвердевает примерно через 24 часа.

Удаление пакеров (при желании): пакеры можно снять или оставить в бетоне в качестве контрольной точки, в зависимости от предпочтений владельца. При необходимости их можно сбить заподлицо с бетоном или высверлить.

Заделка отверстий (при желании): Если уплотнители сняты, отверстия можно закрыть заплатками из раствора, чтобы придать бетонной стене гладкий законченный вид.

является методом выбора для герметизации трещин в плотинах, туннелях, гаражах, шахтах лифтов, резервуарах для очистки сточных вод, плавательных бассейнах, люках, фундаментах, стенах подвалов и в других местах, где встречается бетон и вода.

Распаковка Redaman Malware и основы упаковщиков с самоинъекцией

TL;DR

Гостевое видео от OALabs о распаковке вредоносного ПО с самоинъекцией.

Введение

OALabs — отличный канал на YouTube с видеороликами по обратному инжинирингу и анализу вредоносных программ. Поскольку я на самом деле не занимаюсь анализом вредоносных программ, я подумал, что было бы здорово организовать небольшое сотрудничество. Я очень рад представить вам видео и сообщение в блоге Распаковка базового вредоносного ПО , где мы быстро рассмотрим такие темы, как Типичные методы упаковки вредоносных программ , некоторые Внутренние компоненты Windows и даже рассмотрим такие инструменты, как x64dbg, IDA и PE-Bear. Итак, давайте прыгнем в него!

Сообщение в блоге, как правило, пытается охватить процесс, но видео покажет гораздо более подробные шаги, как следовать.

Peek at Packers

Вредоносное ПО часто реализует идею упаковки себя в более запутанный исполняемый файл, чтобы скрыться от антивируса или сделать анализ более громоздким. И в этом посте мы будем в основном рассматривать один конкретный метод распаковки, который вы можете использовать для победы над уловкой вредоносного ПО под названием Self-Injection .

Что такое самоинъекция?

Самостоятельная инъекция — это способ зашифровать большую часть кода вредоносного ПО, но позже, во время выполнения, вредоносное ПО расшифровывает вредоносный код в памяти, а затем передает выполнение только что распакованному вредоносному коду .

Self-Injection — это лишь один из методов, используемых авторами вредоносных программ для запутывания, существует множество других методов, таких как Process Injection (или Process Hollowing ), Classic DLL Injection и Thread Execution Hijacking . Существует несколько различных методов для самой самоинъекции, но общий метод заключается в том, чтобы сначала распаковать небольшую заглушку в памяти, она передает выполнение заглушке, затем код заглушки изменяет разрешение раздела в процессе, пишет вредоносный код в эти разделы и передать выполнение обратно в перезаписанные разделы PE-файла.

Это также часто называют перезаписью PE. Известным упаковщиком, который также использует эту технику, является UPX. Но в сегодняшнем посте мы рассмотрим другой пример, который также немного более продвинут, но принципы аналогичны.

Вредоносное ПО, которое мы рассматриваем сегодня, на самом деле пройдет 2 этапа запутывания:

• Техника перезаписи PE
• После внедрения DLL

Redaman

Блог анализа вредоносного трафика.Отличительной чертой этого образца является то, что он использует только технику самоинъекции, но имеет две стадии и имеет только один процесс. Так что это идеальная обучающая выборка.

Прежде чем мы перейдем к обратному инжинирингу, мы также можем запустить вредоносное ПО в песочнице. Интересное наблюдение заключается в том, что вредоносное ПО не порождает много процессов, что указывает на использование методов самоинъекции. Имея это предположение, мы можем искать это специально.

Первый этап — заглушка

Мы будем анализировать распаковку на виртуальной машине Windows с помощью таких инструментов, как PE-Bear, IDA и x64dbg. Поскольку распаковка происходит в памяти, нам нужно сначала посмотреть на распределение памяти, и мы запустим x64dbg , чтобы установить несколько точек останова, чтобы увидеть, как вредоносное ПО выделяет память для распаковки. Во-первых, мы начнем с разрыва при возврате вызова VirtualAlloc , и причина этого в том, что возвращаемое значение из этого вызова функции будет адресом вновь выделенной памяти, а возвращаемое значение помещается в регистр eax . Если мы найдем имя функции VirtualAlloc , вы увидите, что это просто оболочка вокруг основной базы ядра .API VirtualAllocEx , который находится внутри kernelbase.dll , поэтому нам нужно прыгать, пока мы не наткнемся на этот реальный API виртуального распределения, а затем поместим нашу точку останова ( F2 ).

Теперь второе, что нам нужно сделать, это установить точку останова на VirtualProtect , потому что, когда вредоносному ПО нужно записать в свой собственный процесс при выполнении техники самоинъекции, ему нужно изменить средства защиты, чтобы получить разрешение на запись, поэтому добавление точки останова здесь — отличная идея. То же самое и с перезаписью PE: если процесс перезаписывает раздел, то ему определенно нужны разрешения для этого, потому что по умолчанию он не будет разрешающим. Это также является триггером для антивирусных программ каждый раз, когда вы видите права доступа на запись в разделе PE.

Чтобы установить точку останова на VirtualProtect , мы найдем имя функции и поместим точку останова в точку входа, потому что нам нужно увидеть, что передается ей в качестве аргумента.Теперь, когда мы запустим программу, мы столкнемся с первой точкой останова в точке входа, которая автоматически размещается x64bdg , поэтому мы продолжаем выполнять код, пока не столкнемся с нашими точками останова. Проходя дальше, мы попадаем в точку останова VirtualAlloc сразу после возврата вызова, и в регистре eax мы видим адрес, указывающий на вновь выделенную память.

Если вы проследите за только что выделенной памятью в дампе и продолжите выполнение кода, мы увидим некоторые данные, записанные во вновь выделенную область памяти. Теперь это может быть какой-то исполняемый код, может быть заглушка, которая будет использоваться для распаковки реального кода вредоносного ПО.
И если мы проследим за этим на карте памяти, мы увидим, что защиты ERW , что означает исполняемый, доступный для чтения и записи, что означает, что поток выполнения кода может быть передан сюда, что опять же, как мы и ожидали.

Продолжая поток выполнения, мы наткнулись на другую точку останова на VirtualAlloc , что означает наличие второго раздела памяти, который необходимо выделить.Если мы проследим за дампом и продолжим, то попадем в точку останова VirtualProtect , и в дампе мы увидим PE-файл в памяти. Поэтому каждый раз, когда мы видим PE-файл в дампе, возможно, будет хорошей идеей сбросить содержимое в файл. Мы можем сбросить область памяти в файл из Memory Map.

Теперь, когда у нас есть еще один PE-файл, давайте запустим PE-Bear, чтобы просмотреть его. После загрузки файла дампа в PE-Bear и просмотра заголовков разделов мы видим, что это легитимный исполняемый файл.

Мы говорим «законные», потому что есть 2 типа файлов дампа. Один тип готов к выполнению в своем неотображенном формате, как любой обычный исполняемый файл, другой тип — это отображаемый формат, который вы получаете, когда он уже загружен в память. В нашем случае он готов к выполнению, и нам не нужно изменять значения в таблице разделов, чтобы превратить его в отображаемый исполняемый файл.

Возвращаясь к x64dbg или x32dbg, мы в настоящее время приостановили выполнение в точке останова VirtualProtect и, глядя на стек, видим, что адрес памяти, который необходимо изменить для защиты, указывает на сам исполняемый файл — redaman .exe , который выглядит так, будто вредоносное ПО выполняет перезапись PE. Еще интересно, что если мы перейдем к инструкции возврата VirtualProtect и шагу один, то увидим, что адрес указывает на первую виртуально выделенную память. Таким образом, исполняемый файл выделяет эту область памяти для размещения заглушки загрузчика для распаковки полезной нагрузки, а затем пытается изменить защиту PE-файла, чтобы перезаписать его. Нам не нужно выполнять инструкции по перезаписи, потому что мы уже сбросили полезную нагрузку на диск.

Теперь пришло время открыть полученный PE-файл в IDA Pro. Сразу видно, что это очередной запакованный файл по следующим причинам

• В «Обзорном навигаторе» много не проанализированного кода.
• В «Окне функций» почти нет функций.
• В «Таблице импорта» почти нет импорта.

Чтобы узнать, как он упакован, мы можем перейти к началу большого двоичного объекта раздела данных и следовать перекрестным ссылкам этих данных, чтобы мы могли найти места, где код использует этот большой двоичный объект данных. .Иногда следование им приводит нас прямо к логике распаковки. В нашем случае мы приземлились прямо перед ним, и это был просто цикл XOR + Rotate-Left, чтобы получить распакованное вредоносное ПО.

Глядя на дизассемблирование, мы можем выяснить, какой регистр какую роль играет, например, регистр ecx декрементируется в блоке, который, вероятно, является длиной зашифрованного блоба, что на самом деле является распространенным шаблоном, который вы увидеть, когда задействован цикл. Также есть edx , который выглядит так, как будто это ключ, используемый для расшифровки упакованного кода с помощью Rotate-Left перед операцией XOR.По сути, это очень простое шифрование.

Взглянув еще немного на поток выполнения вредоносной программы, мы видим, что она выделяет часть памяти и создает строку байт за байтом в стеке.

Быстрый совет IDA — вы можете выбрать шестнадцатеричный код и нажать «R», чтобы преобразовать его в символы по значению ASCII. Выполнение этого для каждого байта строки стека дает нам "ntdll.dll" . Сразу после построения строки происходит вызов LoadLibraryA , который используется для загрузки, и это имеет смысл, поскольку вредоносное ПО генерирует имя DLL побайтно, а затем использует LoadLibraryA для загрузки DLL. для доступа к его функциям.

Прямо под вызовом LoadLibraryA мы видим еще один набор байтов, используемых для построения строки, и это строка "RtlDecompressBuffer" , которая передается в GetProcAddress . Эта функция вернет адрес процедуры. В нашем случае вредоносная программа пытается разрешить адрес функции RtlDecompressBuffer после загрузки ntdll.dll .

RtlDecompressBuffer используется для распаковки сжатых данных (в некотором роде аналогично распаковке).Теперь, после захвата адреса RtlDecompressBuffer , он в основном вызывает его, передавая наш расшифрованный большой двоичный объект и другие вещи, такие как тип алгоритма сжатия, буфер, содержащий распакованные данные, размер распакованных данных и другие. Результат этого вызова даст нам распакованное вредоносное ПО.

После распаковки расшифрованных данных вредоносное ПО создает путь к временному файлу, используя GetTempFileNameW , создает файл, используя CreateFileW , наконец, записывает в файл, используя WriteFile , и загружает файл как DLL, используя LoadLibraryA

Идея записи расшифрованных и распакованных данных на диск довольно аркадна для современных вредоносных программ, но интересно посмотреть, как работали упаковщики в то время. Теперь давайте возьмем файл, который был записан на диск и позже загружен как DLL.

Есть два способа получить DLL-файл.

1. Напишите скрипт для расшифровки, распаковки и извлечения DLL.
2. Просто найдите путь к файлу DLL после его записи на диск.

Что ж, как вы можете видеть, второй вариант намного проще, поэтому мы сделаем его, но я призываю вас, ребята, написать скрипт, который сделает все за вас, потому что вы можете узнать гораздо больше, написав некоторые код для подобных ситуаций.

Теперь, чтобы получить путь к файлу, нам нужно установить точку останова на LoadLibraryA , потому что как только DLL будет записана на диск, вредоносная программа попытается загрузить ее обратно в процесс, и для этого ему потребуется путь, и мы можем поймать это в нашем отладчике.

Сначала мы запускаем вредоносное ПО из отладчика, который автоматически ломается в точке входа. Мы делаем это потому, что если мы установим точку останова на LoadLibraryA до того, как исполняемый файл будет полностью инициализирован, мы столкнемся со многими точками останова, которые нас не интересуют. Мы поместим точку останова на LoadLibraryW , потому что есть две версии Вызов API, который принимает строку в качестве аргумента, и любой Windows API, который принимает строку в качестве аргумента, имеет A (например, LoadLibraryA ) и W (например, LoadLibraryW ). 'A' означает ASCII, а 'W' означает байтовую строку, а вызовы 'A' являются просто обертками вокруг 'W' , поэтому установка точки останова на LoadLibraryW приведет к попаданию всех загрузочные вызовы DLL.

Продолжая наше выполнение, мы сразу же попали в точку останова для LoadLibraryW и в регистре eax у нас есть адрес строки пути, которая в нашем случае "C:\\Users\\Admin\\AppData\\ Локальный\\Временный\\EE54. tmp" . Просмотр местоположения файла с помощью проводника может быть немного неожиданным. Мы оказываемся в нужном месте, но не видим файл. Это связано с установленным для файла атрибутом hidden, и мы можно отключить с помощью команды attrib .

  # h => hidden
# с => система

# Прятаться
атрибут +s +h имя файла

# Чтобы показать
атрибут -s -h имя файла
  

Выполнение приведенной ниже команды в Powershell или командной строке отобразит файл.

  атрибут -s -h EE54.температура
  

Загружая файл в PE-Bear, мы ясно видим, что импорта больше, чем мы видели ранее, но это все еще не чистый файл, чтобы загрузить его в IDA для дальнейшей проверки, потому что происходит больше вещей после этого этапа, но я не буду освещать это время, потому что цель этого поста состояла в том, чтобы взглянуть на часть самоинъекции, и мы достигли этого. Заключение и выводыВо второй части распакованная DLL была записана на диск, и мы взяли файл из пути, который мы нашли при отладке.

Итак, в следующий раз, когда вы столкнетесь с запакованным PE-файлом, и вы знаете, что в нем запущен только один процесс, а другие процессы не порождаются, тогда, вероятно, он использует метод самоинъекции, и вот как вы его распаковываете. .

Ресурсы

Инъекционные пакеры, облегчающие обращение и работу

ООО «ИНДЕКС» , известное имя в области гидроизоляции и ремонта бетона в У.A.E. занимается диверсификацией в области поставки и продажи специализированных инъекционных пакеров в ОАЭ. с торговой маркой УКАЗАТЕЛЬ ИНЖЕКЦИОННЫХ ПАКЕРОВ .

ИНДЕКС инъекционные пакеры используются для инъекционных различных инъекционных тампонажных материалов. Эти разные размеры инъекционных пакеров представляют собой наполнительные горловины, которые будут работать в качестве соединения между инъекционным насосом  и конструктивным элементом, подлежащим инъектированию.

Любая система для инъекций включает в себя различные инъекционные материалы для заливки смолы и множество аксессуаров, таких как инъекционные пакеры для ремонта бетонных конструкций.

обычно имеют разные размеры, чтобы соответствовать различным процессам применения в соответствии с различными требованиями в различных условиях на месте.

ИНЪЕКЦИОННЫЙ ПАКЕР – эффективный инструмент для остановки утечек и заполнения трещин, используемый во всем мире в строительной отрасли.

Применение инъекционных пакеров для скважин и поверхностных инъекционных пакеров общего назначения, в зависимости от типа соединения с компонентом здания.

Типичные области применения, в которых используются ИНЖЕКЦИОННЫЕ ПАКЕТЫ следующим образом

• УТЕЧКА ВПРЫСКА
• РЕМОНТ ТРЕЩИН И ВПРЫСК
• КОМПЕНСАТОР ИНЖЕКЦИОННЫЙ
• ЗАНАВЕС ИНЖЕКЦИОННЫЙ
• УПЛОТНЕНИЕ ШВОВ
• СОЕДИНИТЕЛЬ ПОДВЕСНОЙ ИНЖЕКЦИИ
• ИНЪЕКЦИЯ В ВЕРТИКАЛЬНЫЕ ТРЕЩИНЫ ПОДДОННОЙ СТЕНКИ
• ИНЪЕКЦИЯ В ТРЕЩИНУ ПЛИТЫ ПОДВАЛКА
• ИНЪЕКЦИЯ В ТРЕЩИНУ ПЛИТЫ ПОЛА
• ИНЪЕКЦИЯ ЭПОКСИДНОЙ СМОЛЫ В СТРУКТУРНЫЕ ТРЕЩИНЫ
• КОНСТРУКЦИОННЫЙ РЕМОНТ И УПЛОТНЕНИЕ
• РЕМОНТ СТЕН ОЗЕРА И КАНАЛА
• РЕМОНТ БЕТОННОГО ФУНДАМЕНТА И ЗАЛИВКА

Эти ПАКЕРЫ ДЛЯ ИНЪЕКЦИИ могут быть очень полезны, когда технический специалист герметизирует структурные трещины или ремонтирует их, используя методику инъекции трещин.

 В качестве надежного соединения будет использоваться головка фитинга в форме верхней пуговицы.

 В зависимости от типа использования должны использоваться ИНЪЕКЦИОННЫЕ ПАКЕРЫ разных размеров.

 Все инъекционные пакеры оснащены фитингами высокого давления.

Инъекционные пакеры нормального размера, обычно доступные для продажи

• Диаметр: от 8 до 19 мм
• Длина: от 70 мм до 500 мм

Ассортимент инъекционных пакеров

• Пакер [сталь, нержавеющая сталь (INOX), латунь, алюминий]
• Пакер клейкий (сталь, пластик)
• Пластиковые пакеры для инъекций
• Упаковщик пластиковой плитки
• Пакер клиновой (сталь, пластик)

Загрузить брошюру