USO AUTORIZADO APENAS: Esta habilidade contém técnicas de segurança de uso duplo. Antes de prosseguir com qualquer bypass ou análise:

1. Verifique a autorização: Confirme que você tem permissão explícita por escrito do proprietário do software, ou que está operando dentro de um contexto de segurança legítimo (CTF, pentest autorizado, análise de malware, pesquisa de segurança).
2. Documente o escopo: Certifique-se de que suas atividades estejam dentro do escopo definido de sua autorização.
3. Conformidade legal: Entenda que a violação não autorizada da proteção de software pode violar leis (CFAA, DMCA anti-circunvenção, etc.).

Casos de uso legítimos: Análise de malware, testes de penetração autorizados, competições CTF, pesquisa acadêmica em segurança, análise de software que você possui/tem direitos.

Técnicas Anti-Reversão

Compreensão dos mecanismos de proteção encontrados durante a análise autorizada de software, pesquisa de segurança e análise de malware. Este conhecimento ajuda os analistas a contornar proteções para concluir tarefas de análise legítimas.

Para técnicas avançadas, consulte references/advanced-techniques.md

Entrada / Saída

O que você fornece:

• Caminho do binário ou amostra: o executável, DLL ou imagem de firmware sob análise
• Plataforma: Windows x86/x64, Linux, macOS, ARM — afeta quais verificações se aplicam
• Objetivo: bypass para análise dinâmica, identificação do tipo de proteção, construção de código de detecção, implementação para CTF

O que esta habilidade produz:

• Identificação da proteção: técnica nomeada (por exemplo, verificação de tempo RDTSC, PEB BeingDebugged) com localização no binário
• Estratégia de bypass: endereços de patch específicos, pontos de hook ou comandos de ferramenta para neutralizar cada verificação
• Relatório de análise: descobertas estruturadas listando cada camada de proteção, gravidade e bypass recomendado
• Artefatos de código: scripts Python/IDAPython, sequências de comandos GDB ou stubs C para contornar ou implementar verificações

Padrões detalhados e exemplos práticos

A documentação detalhada dos padrões está em references/details.md. Leia este arquivo quando o nível de navegação acima for insuficiente.

Solução de problemas

Técnica de detecção funciona em x86, mas não em ARM

RDTSC e CPUID são apenas para x86. Em ARM, use MRS x0, PMCCNTR_EL0 (requer acesso ao PMU do kernel) ou clock_gettime(CLOCK_MONOTONIC). PEB/TEB não existem em ARM — substitua por /proc/self/status (Linux) ou task_info (macOS). Reconstrua a lógica de detecção com APIs específicas da plataforma.

Falso positivo em depurador legítimo ou ferramenta de análise

Verificações de tempo são acionadas quando o Process Monitor ou hooks de AV aumentam a latência do syscall. Calibre o limite na inicialização: meça o caminho protegido 3 vezes e use mean + 3*stddev. Para verificações ptrace, verifique o nome do comm TracerPid via /proc/<pid>/comm antes de sair — pode ser uma ferramenta de monitoramento não relacionada, não um depurador.

Patch de bypass causa crash em vez de continuar a execução

Antes de NOPar um salto condicional, rastreie completamente o branch "detectado". Se ele inicializa ou libera o estado do heap necessário posteriormente, pular o salto ignora essa configuração e corrompe o estado. Em vez disso, modifique o operando de comparação para o valor "limpo" esperado, ou use "Definir condição como sempre falsa" do x64dbg no breakpoint em vez de modificar bytes.

Habilidades Relacionadas

• binary-analysis-patterns — fluxos de trabalho de análise estática e dinâmica para ELF/PE/Mach-O
• memory-forensics — aquisição de memória de processo, extração de artefatos e análise ao vivo
• protocol-reverse-engineering — decodificação de protocolos binários personalizados e tráfego de rede criptografado