강좌 / 팁

소프트웨어 PECMD CMPA 복호화

2023.11.15 02:40

sunshine 조회:1436 추천:25

참고 자료: 

夕影님의 자유 게시판: https://windowsforum.kr/index.php?mid=free&page=2&document_srl=20107591

왕초보님의 사용기: https://windowsforum.kr/review/20114925

 

- PECMD에서 CMPA로 암호화 된 스크립트를 복호화 하는 방법입니다.

복호화 스크립트 공개를 허락해 주신 夕影님께 감사드립니다. 

 

- 작업 진행은 [원본 파일]에서 스크립트 추출 -> [대상 파일]로 스크립트 이식 ->

디버거로 [대상 파일] 스크립트 복호화 -> 복호화된 스크립트를 [원본 파일]로 이식으로 진행됩니다.

한글화는 리소스해커로 복호화된 원본 파일을 직접 수정하시면 됩니다.

 

- 관련 파일

원본 파일: CGI-plus_5.0.0.7_x86.7z 

* 사전에 압축 해제가 되어야 리소스해커로 파일을 추출할 수가 있습니다.

 

대상 파일: PECMD101.7z 

* 복호화용 스크립트가 x86 전용이라서 x64도 추출하기 위해서 대상 파일(x86)을 사용하는 것입니다.

일반 PECMD에서 SCRIPTINIT 삭제, 그리고 SCRIPT에서 101를 제외한 나머지는 모두 삭제한 것입니다.

원본 파일이 x86이고 SCRIPT101만 있으면 직접 디버거로 복호화가 가능합니다.  대상 파일은 불필요합니다. 

 

복호화용 스크립트 파일: crypter1.2.7z   231115 

* 4 종류의 도구에서 스크립트 추출이 잘 되었지만 그 외의 도구는 어떻게 될 지는 모릅니다.  

 

리소스해커: ResHacker.exe

* 스크립트 교체시 사용하시면 됩니다.

 

디버거: x32dbg.7z   

* 출처: https://sourceforge.net/projects/x64dbg/files/snapshots/

x64dbg에서 x32dbg만 추출한 것입니다. 압축을 풀고 "x32dbgstart.cmd"를 실행하시면 됩니다.

 

 

1. 원본 파일에서 스크립트 추출하기

 

1-1. 리소스해커로 원본 파일 로드 -> SCRIPT101에 우클릭 -> BIN 파일로 저장을 클릭합니다.

만약 SCRIPT가 복수이면 모두 추출합니다. SCRIPT101, SCRIPT102, SCRIPT103 등으로.

1-1.png

 

1-2. SCRIPT101.BIN 파일로 저장합니다.1-2.png

 

 

2. 원본 파일 스크립트를 대상 파일(PECMD101.EXE)로 이식하기

 

2-1. 리소스해커로 대상 파일 로드 -> SCRIPT101에 우클릭 -> 리소스 교체를 클릭합니다.

만약 SCRIPT가 복수이면 SCRIPT101만 교체하고 추출한 후, 다시 1번부터 시작해서 SCRIPT102를 교체합니다. 이런 식으로 모두 교체.

2-1.png

 

2-2. 파일 선택을 클릭합니다.

2-2.png

 

2-3. 원본 파일에서 추출한 SCRIPT101를 선택 후 열기를 합니다.

2-3.png

 

2-4. 교체를 클릭합니다.

2-4.png

 

2-5. 저장 아이콘을 클릭합니다.

2-5.png

 

2-6. 원본 SCRIPT101를 대상 파일( PECMD101)로 이식 후 실행한 모습입니다.

2-6.png

 

3. x64dbg로 대상 파일(PECMD101.EXE)의 CMPA 스크립트 복호화 하기

 

3-1. x64dbg를 실행 후 x32dbg를 선택 -> 파일 -> 열기를 하세요.

3-1.png

 

3-2.  PECMD101.EXE를 선택 후 열기를 클릭하세요.

3-2.png

 

3-3. 처음에는 EIP가 노란색 jmp~에 있습니다.

3-3.png

 

3-4. 아래 화살표 아이콘을 클릭하면 EIP가 청색 push~로 진입합니다.

3-4.png

 

3-5. 아래 (1)번 스크립트 탭을 클릭 후 빈 칸에 마우스를 우클릭 -> 스크립트 로드 -> 열기를 클릭합니다. 

3-5.png

 

3-6. crypter1.2.txt를 선택 후 열기를 클릭합니다.

3-6.png

 

3-7. 스크립트가 나타나면, 빈 칸에 마우스를 우클릭 -> 실행을 클릭합니다. 또는 스페이스 키를 클릭합니다.

3-7.png

 

3-8. 복호화(디크립트) 성공 메시지가 나타나면 OK를 클릭합니다.

3-8.png

 

3-9. OK를 클릭하고 x64dbg 디버거를 종료합니다.

3-9.png

 

4. x32\memdumps 폴더에 복호화된 BIN 파일이 생성됩니다.

memdump_pid_addr_size.bin 형식으로 저장됩니다.

 

4-1.복호화 BIN 파일을 notepad2로 열고 [파일 - 다시 읽기 - 인코딩으로 - UTF-16LE]를 선택하면 문자가 깨지지 않고 잘 보입니다. 여기서 [모두 선택(Ctrl+A) - 복사(Ctrl+C) - 빈 곳에 마우스 우클릭 - 새로 만들기 - 텍스트 문서 - "새 텍스트 문서" 더블 클릭 - 붙여넣기(Ctrl+V) - 저장]하면 됩니다. 그리고 새 텍스트 문서.txt -> 새 텍스트 문서.bin 으로 확장자를 변경해야 리소스해커에서 로드할 수가 있습니다.  

 

4-2. 리소스해커로 원본 파일을 로드한 후 이 BIN 파일을 2번처럼 교체합니다.

교체 후 원본 파일을 실행하면 중어이지만 리소스해커로 한글화를 할 수가 있습니다.

 

5. 제목만 한글화를 해보았습니다.

5.png

 

 

 

 

https://windowsforum.kr/lecture/20114398 홈으로 위로 목록
홈으로 위로 목록
번호 제목 글쓴이 조회 추천 등록일
[공지] 강좌 작성간 참고해주세요 gooddew - - -
317 7 인증받은 토큰으로 새로설치후 인증받기 [7] 놈강도 25251 0 08-08
316 무한 하드 읽기와 GTA4 블루스크린 해결하기. [9] 후훗후 9450 0 08-06
315 탐색기에서 라이브러리 항목 없애기 [4] 구운얼음 7562 0 08-06
314 윈7에 Kaspersky 2010 설치후 부팅이 안되면 [5] 초음속 8512 0 08-05
313 ie6에서 윈도우 포럼 접근시에 javascript오류 발생으로 홈... [13] NayA 5904 0 08-05
312 태스크바와 메뉴 로딩 빠르게 하기 [17] bluespy 7698 0 08-03
311 XP Mode의 사용에 대해서 소개합니다. [16] 지나가던 10561 0 08-02
310 우측 하단 테스트모드 [3] Isitea 21237 0 08-01
309 윈도미디어플레이어 키매핑. [4] abcb 6605 0 08-01
308 Windows7에서 드림씬사용하기 [7] 미테니사키 7687 0 08-01
307 Win 7에서 드라이브 명 바꾸기~^^ [9] 척살단 9511 0 08-01
306 기가비트 랜카드 성능 향상 - 점보프레임 활성화 [12] x64 25094 0 08-01
305 필요한 성능 옵션으로 시스템 빠르게.. [7] x64 8774 0 08-01
304 나름 최적화한 서비스항목 [11] run2thesun 11066 0 08-01
303 윈7용 UxTheme 패치 [10] 오예스 12603 0 07-31
302 영구인증과 라이센스인증 확인 방법 [16] ejhdytfwnh 37856 0 07-31
301 윈7에서 스타 하기 [7] 윤상원 9017 0 07-31
300 Beta, RC, RTM… 의미는 무엇일까요? [4] run2thesun 6441 0 07-31
299 Windows Server 2008R2 Install 부터 A.I_090730 인증까지 [3] ASUS 30380 0 07-30
298 "Sweepram" 램 정리 프로그램 [11] 희나리 9342 0 07-30
홈으로 위로 목록
XE1.11.6 Layout1.4.8