컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 CSCRYPT Pro (c) 1995,96,97 by Christian Schwarz Version 3.30/386 GutsMuthsplatz 18 Shareware 99610 S봫merda 27.11.1997 Germany 컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 컴Inhalt der Dokumentation컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 Was ist CSCRYPT ? Generelle Arbeitsweise Systemvoraussetzungen Features Sicherheit Zuk걆ftige Versionen Status von CSCRYPT Hinweise Parameter ERRORLEVEL-Codes Quellcode Autor Entwicklungsgeschichte 컴Was ist CSCRYPT ?컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴� Angenommen, Sie haben ein Programm geschrieben, welches eine Passwortab- frage oder einen besonders wichtigen und sch걎zenswerten Algorithmus ent- h꼕t. Selbst f걊 einen mittelm꾞igen Assembler-Programmierer stellt das Patchen (Ver꼗dern) oder Diassemblieren Ihres Programmes keine Heraus- forderung dar. Um die Passwortabfrage zu umgehen, w꼛e wahrscheinlich nur das Patchen weniger Bytes n봳ig und den wichtigen Algorithmus bekommt der Hacker praktisch auf dem Silbernen Tablett serviert. Aus diesem Grund habe ich CSCRYPT entwickelt. Es verschl걌selt Programm- dateien (EXE- und COM-Erweiterung) mit oder ohne Passwort und sch걎zt damit Ihre Programme vor Modifikationen. Trotzdem sind die gesch걎zten Dateien weiterhin uneingeschr꼗kt lauff꼑ig, da Sie sich nach dem Starten im Arbeitsspeicher selbst entschl걌seln. Au�erdem unternimmt die Entschl걌sel- ungsroutine gro�e Anstrengungen, um das Debuggen (Programm Befehl f걊 Be- fehl ausf갿ren; beliebtestes Tool von Hackern ) des gesch걎zten Programmes zu verhindern. So ist die Entschl걌selungsroutine selbst auch mehrfach ver- schl걌selt, teilweise extrem polymorph und voll von Anti-Debugging-Tricks. 컴Generelle Arbeitsweise컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 Verschl걌selung der Programmdatei durch CSCRYPT: Zuerst wird der Programmcode und - falls vorhanden - die Relokations- tabelle durch CSCRYPT verschl걌selt. Soll ein Pa�wort verwendet werden, so geht dieses in die Verschl걌selung mit ein. Anschlie�end wird die Ent- schl걌selungsroutine initialisiert und mehrfach verschl걌selt. Diese Routine wird im n꼊hsten Schritt an den bereits verschl걌selten Programm- code angeh꼗gt. Entschl걌selung: Wird ein gesch걎ztes Programm gestartet, so wird zuerst die Entschl걌sel- ungsroutine aufgerufen, die den Orginalzustand des Programmcodes wieder- herstellt. Anschlie�end wird die Kontrolle an den Orginalcode 갶ergeben. Das gesch걎zte Programm merkt von diesen ganzen Vorg꼗gen nichts, es arbeitet wie gew봦nlich. 컴Features컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 + sehr sicher + komplexer Algorithmus + Mehrfachverschl걌selungen m봥lich (ab Pro v2.0) + Pa�wort geht in die Verschl걌selung ein + nur CRC-Summe des Pa�wortes wird in der erzeugten Datei gespeichert, nicht das gesamte Pa�wort + Schutz vor Entschl걌selung + Erschwerung des Debuggens durch verschiedene Anti-Debugging-Techniken + mehrfache Selbstverschl걌selung + Selbstverschl걌selungsroutine ist leicht polymorph, die Entschl걌selung durch spezielle Programme wird dadurch immens erschwert (ab v1.1) + ab v3.00� weitere 꼞�erst (!!!) polymorphe Entschl걌selungsroutine (durch Parameter /POLY steuerbar) + zuf꼕liger Anti-Debugger-Code nun auch in der extrem polymorphen 꼞�eren Entschl걌selungsroutine (ab v3.01�) + 꼞�erst schnell + 32-Bit CRC-Check beim Entschl걌seln + Relokationstabelle der EXE-Dateien wird komprimiert + eine beliebige Meldung kann in EXE-Header eingef갾t werden 컴Systemvoraussetzungen컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴� Voraussetzungen: � IBM PC oder 100% Kompatibler � DOS 3.3 � mindestens 100 KB freier Speicher empfohlenes System: � 80386 mit 33 MHz (oder besser) � Festplatte � TEMP-Verzeichnis auf RAM-Disk 컴Sicherheit컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 Generell kann man sagen, da� CSCRYPT sicher ist. Einen versierten Hacker- Profi mit sehr viel Zeit kann aber auch CSCRYPT nicht abschrecken - aber alle M봠htegern-Hacker (das sind die meisten) haben keine Chance. Wird die Verschl걌selung auch noch mit Pa�wort vorgenommen und ist dieses unbekannt, so ist es vollkommen unm봥lich (!) ein gesch걎ztes Programm zu modifizieren. 컴Zuk걆ftige Versionen컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 Was ich mir f걊 die n꼊hsten Versionen vorgenommen habe: � Steigerung der Geschwindigkeit durch Ausnutzung prozessorspezifischer Eigenschaften (u.a. Vermeidung von Abh꼗gigkeiten zur vollen Ausnutzung der beiden Integer-Piplines des Pentiums) � Benutzung eines Pack-Algorithmus (꼑nlich DIET, LZEXE, PKLITE) 컴Status von CSCRYPT컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 CSCRYPT ist Shareware. Es kann sowohl privat als auch kommerziell innerhalb einer Testfrist von 30 Tagen kostenlos genutzt werden und darf unter den folgenden Bedingungen weitergegeben werden: � Es darf nur unentgeltlich kopiert (Vertrieb auf Shareware/Freeware/ PD-CD-ROMs ausgenommen) und benutzt werden. � Alle zu CSCRYPT geh봱enden Dateien (CSCRYPT.EXE, FILE_ID.DIZ) d걊fen nur zusammen weitergegeben und in keinster Weise ver꼗dert werden. Ist die Testfrist verstrichen, m걌sen Sie entweder bei mir die Vollversion bestellen oder CSCRYPT und alle mit CSCRYPT gesch걎zten Programme aus Ihren Datenbest꼗den l봲chen. Die Shareware- und Vollversion haben exakt den- selben Funktionsumfang, da ich der Meinung bin, da� Sie nur auf diese Weise alle Funktionen testen k봭nen. Die aktuelle (Voll-)Version kann f걊 20 DM (bei anderen W꼑rungen bitte den aktuellen Tauschkurs beachten) von mir bezogen werden. Diesen Betrag sehe ich als eine kleine Anerkennung f걊 meine Arbeit an. Au�erdem unterst걎zen Sie damit die Entwicklung zuk걆ftiger CSCRYPT-Versionen sowie v봪lig neuer Programme aus dem Bereich der Datensicherheit: Anti-Virus, Verschl걌selung, ... Sollten Sie irgendwelche Bugs feststellen oder interessante Anregungen/Ver- besserungsvorschl꼏e haben, so w걊de ich mich freuen, wenn Sie mit mir Kontakt aufnehmen w걊den. 컴Hinweise컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 ACHTUNG! Bei der Analyse von, mit CSCRYPT (bis v2.13 und wieder ab v3.00�) gesch걎zten, Programmdateien erzeugen einige heuristische Anti-Virus-Pro- gramme wie F-PROT (mit Parameter /ANALYSE) und ThunderBYTE Anti-Virus Falschalarme (armored program, unbekannter Virus). Dies l꾞t sich vor allem darauf zur갷kf갿ren, da� die Entschl걌selungsroutine virentypische Merkmale aufweist (flexibler Einsprungspunkt, 꼞�erst polymorphe Entschl걌selungs- routine, ...). Es gibt einige Programme, die auf keinen Fall ver꼗dert werden d걊fen! Dazu z꼑len Anti-Virus-Programme (F-PROT, TBAV, ...), die sich selbst auf Ver- 꼗derungen 갶erpr갽en. Auch, den eigenen Code modifizierende Programme, wie SETVER.EXE (DOS), d걊fen nicht durch CSCRYPT gesch걎zt werden. Des weiteren rate ich dringend davon ab, den Kommandointerpreter (normalerweise COMMAND. COM, aber auch 4DOS.COM, NDOS.COM, ...) zu verschl걌seln. Die meisten der verwendeten Softwarebezeichnungen sind eingetragene Waren- zeichen und unterliegen als solche den gesetzlichen Bestimmungen und werden hiermit von mir anerkannt, unabh꼗gig davon, ob sie als solche gekenn- zeichnet sind oder nicht. Ich mache an dieser Stelle darauf aufmerksam, da� ich keinerlei Haftung oder Verantwortung f걊 Sch꼋en 갶ernehme, die direkt oder indirekt, beab- sichtigt oder unbeabsichtigt durch die Benutzung von CSCRYPT entstehen - die Benutzung erfolgt also auf eigene Gefahr. Au�erdem m봠hte ich nochmals unmi�verst꼗dlich zu verstehen geben, da� ein vergessenes Pa�wort den unwiderruflichen Verlust der verschl걌selten Daten darstellt. Es gibt auch keinen Trick, um die Daten wieder zu entschl걌seln, da das Pa�wort in die Verschl걌selung eingeht (siehe Features). 컴Parameter컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴� Syntax: CSCRYPT Dateiname [/PW:Pa�wort] [/T[:Textdatei]] [/POLY{0-9}] "Pa�wort" steht f걊 eine Zeichenkette, die 1-32 Zeichen umfassen mu�. Soll eine Zeichenkette in den EXE-Header eingef갾t werden, so wird mit der Option "/T:Textdatei" die Datei angegeben, deren Inhalt eingef갾t werden soll. Ohne die Angabe einer Textdatei ("/T") wird folgende Zeichenkette ge- nommen: This program was protected by CSCRYPT Pro v3.30/386 ! Modifications are explicitly prohibited by the author. Mit dem Schalter "/POLY" kann der Einschub sinnloser Befehle in die Ent- schl걌selungsroutine beeinflu�t werden. Die standardm꾞ig eingestellte Stufe ist 4. Je h봦er die Stufe ist, um so st꼛ker ist die Routine poly- morph. Mit der Stufe steigt jedoch auch die Gr붳e der Entschl걌selungs- routine ein wenig (Stufe 0: <= 17 Bytes; Stufe 9: bis 갶er 2000 Bytes). Beispiele: CSCRYPT GEHEIM.EXE /PW:ABCDEF /T Verschl걌selung von GEHEIM.EXE mit dem Pa�wort "ABCDEF", Einf갾en der oben genannten Zeichenkette CSCRYPT MYPROG.EXE -T:HDRTEXT.TXT -POLY9 Verschl걌selung von MYPROG.EXE ohne Pa�wort, Einf갾en des Inhalts von HDRTEXT.TXT in den EXE-Header, polymorphe Stufe 9 (maximal) 컴ERRORLEVEL-Codes컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 Um einen vern걆ftigen Einsatz in BAT-Dateien zu erlauben, liefert CSCRYPT ERRORLEVEL-Codes zur갷k. 0 - kein Fehler 1 - Syntaxfehler 2 - eine 꼕tere DOS-Version als 3.3 3 - nicht genug freier Speicher 4 - Pa�wort zu lang oder zu kurz 5 - Werte f걊 /POLY nicht zwischen 0 und 9 255 - CSCRYPT wurde modifiziert (wahrscheinlich eine Virusinf.) 컴Quellcode컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴� Der Quellcode besteht aus 6127 Zeilen (260 KB) Pascal/Inline-Assembler sowie aus 2169 Zeilen (50 KB) 8086-Assembler. 컴Autor컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴� � Christian Schwarz, 18 Jahre � Adresse: GutsMuthsplatz 18 99610 S봫merda Deutschland � Telefon: +03634-23559 컴Entwicklungsgeschichte컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴 v1.0: � Anfang Mai 1995 � private Version v1.1: � 18.6.1995 + polymorphe Entschl걌selungsroutine (verhindert Entschl걌selung durch Programme wie UNP und UP) v1.1b: � 20.6.1995 � keine 봣fentliche Version + interne Verbesserungen v1.1c: � 3.8.1995 + in den EXE-Header kann eine Meldung eingef갾t werden (/T[:XXX]) v1.1d: � 4.8.1995 + kleinere Fehler behoben, Fehlermeldungen erweitert Pro v2.0: � 6.8.1995 + Verschl걌selung mit anschlie�ender Pa�wortabfrage + Verbesserung der Entschl걌selungsroutinen Pro v2.10: � 8.9.1995 + Verbesserung der Selbstverschl걌selungsmethode + Mehrfachverschl걌selungen sind ab dieser Version m봥lich + Fehlerbehebung: TEMP-Verzeichnis (Kopieren bei anderem Laufwerk) Pro v2.11: � 25.9.1995 + Verbesserung der Selbstverschl걌selungsroutine + Abfangen von Ctrl-Break bzw. Ctrl-C + Wildcards sind ab sofort erlaubt + weitere kleinere Verbesserungen Pro v2.12: � 11.11.1995 + Behebung eines Fehlers bei der Entschl걌selung von COM-Dateien: Normalerweise wird der Stack vor der Ausf갿rung einer COM-Datei auf CS:FFFE (SS:SP) gesetzt (in s꼖tlichen Standardwerken nachlesbar). Beim Hochladen setzt DOS den Stack jedoch auf CS:"Dateigr붳e"+350h. Da mir dies bislang nicht bewu�t war, konnte es beim Hochladen von COM-Dateien, die mit einer 꼕teren Version von CSCRYPT gesch걎zt wurden, zu Systemabst걊zen kommen. + kleinere Verbesserungen am Entschl걌selungsalgorithmus (Geschwindig- keit geringf갾ig erh봦t) Pro v2.13: � 1.1.1996 + Verbesserung des Entschl걌selungsalgorithmus + kleine interne Ver꼗derung Pro v2.13b: � 3.1.1996 + kleine interne Ver꼗derung Pro v2.20: � 17.1.1996 + weitere Ebene der Selbstverschl걌selung + weitere Anti-Debugging-Techniken + CSCRYPT-gesch걎zte Programme von Anti-Viren-Programmen (TBAV, F-PROT) nicht mehr als unbekannte Viren identifiziert Pro v2.21: � 21.1.1996 + Relokationstabelle wird komprimiert (weniger Speicherverbrauch und kleinere EXE-Dateien) Pro v2.22: � 11.2.1996 + Verbesserung der Methode zum Komprimieren der Relokationstabelle (die neue Methode ist 꼑nlich der, die von LZEXE eingesetzt wird, aber noch ein wenig optimiert worden) + kleine Textver꼗derung + kleine interne Verbesserung Pro v2.22b: � 13.2.1996 + grober Fehler in der COM-Verschl걌selung behoben (f갿rte bei ver- 꼗dertem Code nach Ausgabe der Fehlermeldung zum Absturz des Programmes) Pro v2.22c: � 21.2.1996 + kleinere interne Umordnungen des Codes Pro v3.00�: � 12.8.1996 + NEU!!!: Diese Version verhindert die Erkennung der Entschl걌selungs- routine durch eine extrem polymorphe (zus꼝zliche) Verschl걌selung. + Um die Erkennung nochmals zu erschweren, k봭nen sinnlose Befehle zwischen die Entschl걌selungsanweisungen eingef갾t werden. Die H꼞- figkeit der Einstreuung solcher Befehle kann 갶er den neuen Schalter /POLY{0-9} beeinflu�t werden. + gesch걎zte Programme scheinen nun endlich unter MS-Windows zu laufen Pro v3.01�: � 13.8.1996 + zuf꼕liger Anti-Debugger-Code nun auch in der extrem polymorphen 꼞�eren Entschl걌selungsroutine + kleiner Bug bei Verschl걌selung mit Passwort behoben: Vektoren f걊 Interrupts 1Bh und 23h wurden auf noch verschl걌selten Handler (IRET) verbogen Pro v3.10� � 20.8.1996 + Verbesserung der Bildschirmausgaben und der Fehlerbehandlung + neuer Parameter "?", zeigt deutsche oder englische Hilfe an + schwerwiegenden Fehler bei der polymorphen Entschl걌selung behoben + Bug bei Einstreung bestimmter Anti-Debugg-Befehle in polymorphe Entschl걌selung beseitigt Pro v3.10b � 2.9.1996 + kleiner Bug behoben Pro v3.20a � 14.9.1996 + polymorphe Entschl걌selungsroutine verbessert Pro v3.21a � 21.10.1996 + CSCRYPT.EXE wird ab jetzt bei der Angabe von Wildcards (z.B. *.EXE) nicht mehr verschl걌selt + kleiner Bug in der Polymorphic Engine behoben Pro v3.22 � 16.02.1997 + weitere Anti-Debugging-Techniken Pro v3.30/386 � 27.11.1997 + spezielle 386-Anti-Debugging Tricks (keine Chance f걊 CUP386, GTR,...) - l꼞ft erst ab 386 컴Ende von CSCRYPT.TXT컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴컴